Две SSID, два излеза: која политика каде победува?

Две SSID на една порта изгледаат како две мрежи и не се, додека портата не постапи така. Радиото ги предава двете на истиот мост, освен ако пристапната точка не ја поврзе секоја SSID со сопствен VLAN. И дури со одделни интерфејси, сообраќајот следи ја маршрутата и политиката на ѕидот што портата ја применува на тој влез. SSID е ознака; политиката е она што го запишувате.

SSID не е политиката

Именувајте ги двете мрежи и запишете ги нивните предвидени излези пред да го допрете рутерот. Домот оди на обичниот WAN, Работата оди на интерфејсот VPN, и ниту една не го наследува патот на другата. Ако двете SSID завршат на еден несегментиран мост, имињата не создале ништо. Тој рамен мост е најчестиот начин на кој овој дизајн тивко пропаѓа.

Пристапната точка мора да ги претстави како одделни интерфејси, означени или одвоено мостени. Тоа е предуслов, не детаљ. Запишете го поврзувањето пред првото правило.

Класифицирајте по влезен интерфејс

Класифицирајте во точката каде пакетот влегува во портата. Селекторот за влезен интерфејс во правило за политика е одделен од префиксот на изворот и тоа е чесниот начин да се каже дека овој сообраќај дојде од Работата. Поклопувањето само по изворната адреса му дозволува на клиент во Работата да бара адреса од Домот и да го земе патот на Домот.

ip rule show

Проверете го изворот и спрема влезот, за да се согласат двата теста наместо да си противречат. Правило што проверува само едно од двете е половина политика.

Држете го сопствениот тунел на портата надвор од ова

Држете ја сопствената надворешна VPN врска на портата на подлогата што работи. Правило напишано за проследени клиенти на Работата не треба рекурзивно да го фаќа тунелот што ги носи, бидејќи тоа е класичниот начин да се изгради јамка што се појавува само под оптоварување. Изземете ја локалната излезна патека или ограничете го правилото на проследен сообраќај. Тестирајте го случајот на јамка со голем пренос, а не со еден ping.

Преводот бара исто внимание. Ако излезот на VPN бара адресата на тунелот на портата како извор, применете го тоа само на извори на Работата што го напуштаат интерфејсот VPN. Обичниот превод на WAN за Домот е друг опсег, и едно безусловно правило за masquerade не може да ги изрази двете.

Запишете ги двете правила едно до друго, за да се гледа парот како дизајн, а не како две неповрзани линии. Доволен е коментар што го именува изворот и предвидениот излез.

Одлучете ја состојбата при отказ намерно

Одлучете што се случува кога маршрутата VPN исчезнува. За работна мрежа чесниот одговор обично е одбивање: без враќање на обичниот WAN, бидејќи смислата на одделната SSID е дека нејзиниот сообраќај не излегува по погрешниот пат. Автоматското повторно поврзување е удобност, а не политиката на блокирање. Правило за одбивање што никогаш не запишува во дневник е неразлично од расипана мрежа.

ip route show table work

Тестирајте нова врска од секоја SSID, потоа отстранете го тунелот и тестирајте повторно. Домот треба да го задржи обичниот пат, додека Работата пропаѓа затворено. Проверете IPv6 одделно, бидејќи две подмрежи IPv4 не кажуваат ништо за тоа, и упатството за правилата на политиката ги документира селекторите употребени погоре.