Divi SSID, divas izejas: kura politika kur uzvar?

Divi SSID vienā vārtejā izskatās kā divi tīkli un nav, līdz vārteja tos tā uzskata. Radio nodod abus vienam un tam pašam tiltam, ja vien piekļuves punkts katru SSID nesaista ar savu VLAN. Un pat ar atsevišķām saskarnēm trafiks seko maršrutam un ugunsmūra politikai, ko vārteja piemēro šai ieejai. SSID ir birka; politika ir tas, ko jūs pierakstāt.

SSID nav politika

Nosauciet abus tīklus un pierakstiet to paredzētās izejas pirms maršrutētāja aizskaršanas. Mājas iet uz parasto WAN, Darbs iet uz VPN saskarni, un neviena nemanto otras ceļu. Ja abi SSID nonāk vienā nesašķeltā tiltā, nosaukumi neko nav radījuši. Tas plakanais tilts ir visizplatītākais veids, kā šis projekts klusi sabrūk.

Piekļuves punktam tie jāparāda kā atsevišķas saskarnes, ar birkām vai atsevišķi savienotas ar tiltu. Tas ir priekšnoteikums, nevis sīkums. Pierakstiet sasaisti pirms pirmā noteikuma.

Klasificējiet pēc ieejas saskarnes

Klasificējiet tajā punktā, kur pakete nonāk vārtejā. Ieejas saskarnes atlasītājs politikas noteikumā ir atsevišķs no avota prefiksa, un tas ir godīgais veids, kā pateikt, ka šis trafiks nāca no Darba. Atbilstība tikai avota adresei ļauj klientam Darbā pieprasīt Mājas adresi un izvēlēties Mājas ceļu.

ip rule show

Pārbaudiet avotu arī attiecībā pret ieeju, lai abi testi saskanētu, nevis būtu pretrunā viens otram. Noteikums, kas pārbauda tikai vienu no tiem, ir puse politikas.

Turiet pašas vārtejas tuneli ārpus šī

Turiet vārtejas pašas ārējo VPN savienojumu uz apakšslāņa, kas darbojas. Noteikums, kas rakstīts pārsūtītajiem Darba klientiem, nedrīkst rekursīvi satvert tuneli, kas tos pārvadā, jo tas ir klasiskais veids, kā izveidot cilpu, kas parādās tikai slodzes laikā. Atbrīvojiet vietējo izejas ceļu vai ierobežojiet noteikumu ar pārsūtīto trafiku. Pārbaudiet cilpas gadījumu ar lielu pārraidi, nevis vienu ping.

Tulkojumam vajadzīga tāda pati rūpība. Ja VPN izeja pieprasa vārtejas tuneļa adresi kā avotu, piemērojiet to tikai Darba avotiem, kas atstāj VPN saskarni. Parastais Mājas WAN tulkojums ir cita joma, un viens beznosacījuma masquerade noteikums nevar izteikt abus.

Rakstiet abus noteikumus blakus, lai pāris būtu redzams kā risinājums, nevis kā divas nesaistītas rindas. Pietiek ar komentāru, kas nosauc avotu un paredzēto izeju.

Apzināti izlemiet atteices stāvokli

Izlemiet, kas notiek, kad VPN maršruts pazūd. Darba tīklam godīgā atbilde parasti ir atteikt: bez atgriešanās pie parastā WAN, jo atsevišķā SSID jēga ir tā, ka tā trafiks neiziet pa nepareizo ceļu. Automātiska atkārtota savienošana ir ērtība, nevis bloķēšanas politika. Atteikšanas noteikums, kas nekad neieraksta žurnālā, nav atšķirams no bojāta tīkla.

ip route show table work

Pārbaudiet jaunu savienojumu no katra SSID, pēc tam noņemiet tuneli un pārbaudiet vēlreiz. Mājām jāsaglabā parastais ceļš, kamēr Darbs cieš neveiksmi slēgti. Pārbaudiet IPv6 atsevišķi, jo divi IPv4 apakštīkli par to neko nepasaka, un politikas noteikumu uzziņa dokumentē iepriekš izmantotos atlasītājus.