Dua SSID, dua laluan keluar: dasar mana menang di mana?

Dua SSID pada satu gateway kelihatan seperti dua rangkaian dan memang bukan, sehingga gateway memperlakukannya begitu. Radio menyerahkan kedua-duanya kepada jambatan yang sama melainkan titik akses memetakan setiap SSID kepada VLANnya sendiri. Dan walaupun dengan antara muka berasingan, trafik mengikut laluan dan dasar tembok api yang gateway gunakan pada kemasukan itu. SSID ialah label; dasar ialah apa yang anda tuliskan.

SSID bukan dasar

Namakan kedua-dua rangkaian dan tulis laluan keluar yang dimaksudkan sebelum menyentuh penghala. Rumah pergi ke WAN biasa, Kerja pergi ke antara muka VPN, dan tiada satu mewarisi laluan yang lain. Jika kedua-dua SSID mendarat pada satu jambatan tanpa segmentasi, nama-nama itu belum mencipta apa-apa. Jambatan rata itulah cara paling biasa reka bentuk ini gagal secara senyap.

Titik akses mesti membentangkannya sebagai antara muka berasingan, ditag atau dijambatkan berasingan. Itu prasyarat, bukan perincian. Tulis pemetaan sebelum peraturan pertama.

Kelaskan mengikut antara muka masuk

Kelaskan pada titik paket memasuki gateway. Pemilih antara muka masuk dalam peraturan dasar berasingan daripada awalan sumber, dan itulah cara jujur untuk mengatakan bahawa trafik ini datang dari Kerja. Memadankan hanya alamat sumber membolehkan klien di Kerja menuntut alamat Rumah dan mengambil laluan Rumah.

ip rule show

Sahkan sumber terhadap kemasukan juga, supaya kedua-dua ujian bersetuju dan bukannya bercanggah. Peraturan yang hanya memeriksa salah satu daripadanya ialah separuh dasar.

Jauhkan terowong gateway sendiri daripada hal ini

Kekalkan sambungan VPN luar gateway sendiri pada lapisan asas yang berfungsi. Peraturan yang ditulis untuk klien Kerja yang diteruskan tidak sepatutnya menangkap terowong yang membawa mereka secara rekursif, kerana itulah cara klasik membina gelung yang hanya muncul di bawah beban. Kecualikan laluan keluar tempatan atau hadkan peraturan kepada trafik yang diteruskan. Uji kes gelung dengan pemindahan besar, bukan satu ping.

Terjemahan memerlukan penjagaan yang sama. Jika laluan keluar VPN memerlukan alamat terowong gateway sebagai sumber, gunakan itu hanya pada sumber Kerja yang meninggalkan antara muka VPN. Terjemahan WAN biasa untuk Rumah ialah skop lain, dan satu peraturan masquerade tanpa syarat tidak dapat menyatakan kedua-duanya.

Tulis kedua-dua peraturan bersebelahan, supaya pasangan itu kelihatan sebagai reka bentuk dan bukan dua baris yang tidak berkaitan. Komen yang menamakan sumber dan laluan keluar yang dimaksudkan sudah memadai.

Tentukan keadaan gagal dengan sengaja

Tentukan apa yang berlaku apabila laluan VPN hilang. Untuk rangkaian kerja, jawapan jujur biasanya menolak: tiada sandaran ke WAN biasa, kerana inti SSID berasingan ialah supaya trafiknya tidak keluar melalui laluan yang salah. Penyambungan semula automatik ialah kemudahan, bukan dasar penyekatan. Peraturan penolakan yang tidak pernah mencatat log tidak dapat dibezakan daripada rangkaian rosak.

ip route show table work

Uji sambungan baharu daripada setiap SSID, kemudian buang terowong dan uji semula. Rumah harus mengekalkan laluan biasanya sementara Kerja gagal tertutup. Periksa IPv6 secara berasingan, kerana dua subrangkaian IPv4 tidak menyatakan apa-apa mengenainya, dan rujukan peraturan dasar mendokumenkan pemilih yang digunakan di atas.