To SSID-ar, to utgangar: kva for politikk vinn kvar?

To SSID-ar på éin gateway ser ut som to nettverk og er det ikkje, før gatewayen handsamar dei slik. Radioen leverer båe til same bru med mindre aksesspunktet knyter kvart SSID til sitt eige VLAN. Og sjølv med skilde grensesnitt følgjer trafikken den ruta og brannmurpolitikken som gatewayen nyttar på den inngangen. SSID-et er ei etikett; politikken er det du skriv ned.

SSID-et er ikkje politikken

Namngje dei to nettverka og skriv ned dei tiltenkte utgangane før du rører rutaren. Heim går til det vanlege WAN-et, Arbeid går til VPN-grensesnittet, og ingen av dei arvar vegen til den andre. Viss båe SSID-a hamnar på éi usegmentert bru, har namna ikkje skapt noko. Den flate brua er den vanlegaste måten dette designet feilar lydlaust på.

Aksesspunktet må presentere dei som skilde grensesnitt, tagga eller brua frå kvarandre. Det er ein føresetnad, ikkje ein detalj. Skriv ned mappinga før den første regelen.

Klassifiser etter inngangsgrensesnitt

Klassifiser på punktet der pakken kjem inn i gatewayen. Inngangsgrensesnitt-veljaren i ein politikregel er skild frå eit kjelde-prefiks, og det er den ærlege måten å seie at denne trafikken kom frå Arbeid. Berre å matche på kjeldadressa lèt ein klient på Arbeid krevje ei Heim-adresse og ta vegen til Heim.

ip rule show

Valider kjelda også mot inngangen, slik at dei to testane stemmer overeins i staden for å motså kvarandre. Ein regel som berre kontrollerer éin av dei, er ein halv politikk.

Hald gatewayen sin eigen tunnel utanfor

Hald gatewayen si eiga ytre VPN-tilkopling på underlaget som fungerer. Ein regel skriven for vidaresende Arbeid-klientar bør ikkje rekursivt fange tunnelen som ber dei, for det er den klassiske måten å byggje ei løkke som berre viser seg under last. Unnta den lokale utgangsvegen eller avgrens regelen til vidaresendt trafikk. Test løkketilfellet med ein stor overføring, ikkje ein enkelt ping.

Omsetjing krev same omsut. Viss VPN-utgangen krev tunneladressa til gatewayen som kjelde, bruk det berre på Arbeid-kjelder som forlèt VPN-grensesnittet. Heimen si vanlege WAN-omsetjing er eit anna omfang, og éin uvilkårleg masquerade-regel kan ikkje uttrykkje båe.

Skriv båe reglane ved sida av kvarandre, slik at paret er synleg som eit design og ikkje som to urelaterte linjer. Ein kommentar som nemner kjelda og den tiltenkte utgangen, er nok.

Avgjer feiltilstanden med vilje

Avgjer kva som skjer når VPN-ruta forsvinn. For eit arbeidsnettverk er det ærlege svaret vanlegvis å avvise: ikkje noko tilbakefall til det vanlege WAN-et, fordi poenget med det skilde SSID-et er at trafikken ikkje går ut gjennom feil veg. Automatisk attilkopling er ei lettvintheit, ikkje blokkeringspolitikken. Ein avvisningsregel som aldri loggar, kan ikkje skiljast frå eit øydelagt nettverk.

ip route show table work

Test ei fersk tilkopling frå kvart SSID, fjern deretter tunnelen og test på nytt. Heim bør halde sin vanlege veg medan Arbeid feilar lukka. Sjekk IPv6 separat, fordi to IPv4-subnett seier ingenting om det, og politikkregel-referansen dokumenterer veljarane som er brukte ovanfor.