To SSID-er, to utganger: hvilken policy vinner hvor?

To SSID-er på én gateway ser ut som to nettverk og er det ikke, før gatewayen behandler dem slik. Radioen leverer begge til samme bro med mindre aksesspunktet knytter hvert SSID til sitt eget VLAN. Og selv med adskilte grensesnitt følger trafikken den ruten og brannmurpolicyen som gatewayen bruker på den inngangen. SSID-et er en etikett; policyen er det du skriver ned.

SSID-et er ikke policyen

Navngi de to nettverkene og skriv ned de tiltenkte utgangene før du rører ruteren. Hjem går til det vanlige WAN-et, Arbeid går til VPN-grensesnittet, og ingen av dem arver den andres vei. Hvis begge SSID-ene havner på én usegmentert bro, har navnene ikke skapt noe. Den flate broen er den vanligste måten dette designet feiler lydløst på.

Aksesspunktet må presentere dem som adskilte grensesnitt, tagget eller broet fra hverandre. Det er en forutsetning, ikke en detalj. Skriv ned mappingen før den første regelen.

Klassifiser etter inngangsgrensesnitt

Klassifiser på punktet der pakken kommer inn i gatewayen. Inngangsgrensesnitt-velgeren i en policyregel er atskilt fra et kilde-prefiks, og det er den ærlige måten å si at denne trafikken kom fra Arbeid. Bare å matche på kildeadressen lar en klient på Arbeid kreve en Hjem-adresse og ta Hjems vei.

ip rule show

Valider kilden også mot inngangen, slik at de to testene stemmer overens i stedet for å motsi hverandre. En regel som bare kontrollerer én av dem, er en halv policy.

Hold gatewayens egen tunnel utenfor

Hold gatewayens egen ytre VPN-forbindelse på underlaget som fungerer. En regel skrevet for videresendte Arbeid-klienter bør ikke rekursivt fange tunnelen som bærer dem, for det er den klassiske måten å bygge en løkke som bare vises under last. Unnta den lokale utgangsveien eller begrens regelen til videresendt trafikk. Test løkketilfellet med en stor overføring, ikke en enkelt ping.

Oversettelse krever samme omhu. Hvis VPN-utgangen krever gatewayens tunneladresse som kilde, bruk det bare på Arbeid-kilder som forlater VPN-grensesnittet. Hjems vanlige WAN-oversettelse er et annet omfang, og én ubetinget masquerade-regel kan ikke uttrykke begge.

Skriv begge reglene ved siden av hverandre, slik at paret er synlig som et design og ikke som to urelaterte linjer. En kommentar som navngir kilden og den tiltenkte utgangen, er nok.

Bestem feiltilstanden med vilje

Bestem hva som skjer når VPN-ruten forsvinner. For et arbeidsnettverk er det ærlige svaret vanligvis å avvise: ingen tilbakefall til det vanlige WAN-et, fordi poenget med det adskilte SSID-et er at trafikken ikke forlater gjennom feil vei. Automatisk gjenoppkobling er en bekvemmelighet, ikke blokkeringspolicyen. En avvisningsregel som aldri logger, kan ikke skilles fra et ødelagt nettverk.

ip route show table work

Test en frisk tilkobling fra hvert SSID, fjern deretter tunnelen og test igjen. Hjem bør beholde sin vanlige vei mens Arbeid feiler lukket. Sjekk IPv6 separat, fordi to IPv4-subnett sier ingenting om det, og policyregel-referansen dokumenterer velgerne som er brukt ovenfor.