Du SSID, du išėjimai: kuri taisyklė kur laimi?

Du SSID vienuose vartuose atrodo kaip du tinklai ir jais nėra, kol vartai su jais taip nesielgia. Radijas abu perduoda tam pačiam tiltui, nebent prieigos taškas kiekvieną SSID susieja su savo VLAN. Ir net su atskiromis sąsajomis srautas seka tuo maršrutu ir ugniasienės taisykle, kuriuos vartai taiko tam įėjimui. SSID yra etiketė; taisyklė yra tai, ką užsirašote.

SSID nėra taisyklė

Pavadinkite du tinklus ir užrašykite numatomus jų išėjimus prieš liesdami maršrutizatorių. Namai eina į įprastą WAN, Darbas eina į VPN sąsają, ir nė vienas nepaveldi kito kelio. Jei abu SSID patenka į vieną nesuskaidytą tiltą, vardai nieko nesukūrė. Tas plokščias tiltas yra dažniausias būdas, kuriuo šis projektas tyliai žlunga.

Prieigos taškas turi pateikti juos kaip atskiras sąsajas, su žymomis arba atskirai sujungtus tiltu. Tai būtina sąlyga, o ne smulkmena. Užrašykite susiejimą prieš pirmąją taisyklę.

Klasifikuokite pagal įėjimo sąsają

Klasifikuokite tame taške, kuriame paketas patenka į vartus. Įėjimo sąsajos parinkiklis taisyklėje yra atskiras nuo šaltinio prefikso, ir tai yra sąžiningas būdas pasakyti, kad šis srautas atėjo iš Darbo. Atitikimas tik pagal šaltinio adresą leidžia Darbe esančiam klientui pareikšti Namų adresą ir pasirinkti Namų kelią.

ip rule show

Patikrinkite šaltinį ir įėjimo atžvilgiu, kad abu testai sutaptų, o ne prieštarautų vienas kitam. Taisyklė, kuri tikrina tik vieną iš jų, yra pusė taisyklės.

Išlaikykite pačių vartų tunelį nuošalyje

Išlaikykite pačių vartų išorinį VPN ryšį ant veikiančio pagrindo. Taisyklė, parašyta perduodamiems Darbo klientams, neturi rekursyviai užčiuopti jų nešančio tunelio, nes tai klasikinis būdas sukurti kilpą, kuri pasirodo tik esant apkrovai. Išskirkite vietinį išėjimo kelią arba apribokite taisyklę perduodamu srautu. Kilpos atvejį išbandykite dideliu perdavimu, o ne vienu ping.

Vertimui reikia tokio pat rūpestingumo. Jei VPN išėjimas reikalauja vartų tunelio adreso kaip šaltinio, taikykite tai tik Darbo šaltiniams, paliekantiems VPN sąsają. Įprastas Namų WAN vertimas yra kita sritis, ir viena besąlyginė masquerade taisyklė negali išreikšti abiejų.

Rašykite abi taisykles greta, kad pora būtų matoma kaip sprendimas, o ne kaip dvi nesusijusios eilutės. Pakanka komentaro, įvardijančio šaltinį ir numatomą išėjimą.

Sąmoningai nuspręskite gedimo būseną

Nuspręskite, kas atsitiks, kai VPN maršrutas išnyks. Darbo tinklui sąžiningas atsakymas paprastai yra atmesti: jokio grįžimo prie įprasto WAN, nes atskiro SSID esmė yra ta, kad jo srautas neišeina neteisingu keliu. Automatinis prisijungimas iš naujo yra patogumas, o ne blokavimo taisyklė. Atmetimo taisyklė, kuri niekada nieko neįrašo į žurnalą, neatskiriama nuo sugedusio tinklo.

ip route show table work

Išbandykite naują ryšį iš kiekvieno SSID, tada pašalinkite tunelį ir bandykite dar kartą. Namai turėtų išlaikyti įprastą kelią, o Darbas turėtų žlugti uždarai. Patikrinkite IPv6 atskirai, nes du IPv4 potinkliai apie tai nieko nesako, o taisyklių žinynas dokumentuoja aukščiau naudotus parinkiklius.