To SSID-er, to utganger: hvilken policy vinner der?

To SSID-er på samme gateway ser ut som to nett og er det ikke, inntil gatewayen behandler dem slik. Radioen gir begge til samme bro med mindre aksesspunktet knytter hvert SSID til sitt eget VLAN. Og selv med atskilte grensesnitt følger trafikken den ruten og brannmurpolicyen som gatewayen bruker på den inngangen. SSID-et er en merkelapp; policyen er det du skriver ned.

SSID-et er ikke policyen

Gi de to nettene navn og skriv ned de tiltenkte utgangene før du tar på ruteren. Hjem går til det vanlige WAN-et, Arbeid går til VPN-grensesnittet, og ingen av dem arver den andres vei. Dersom begge SSID-ene ender på én usegmentert bro, har navnene ikke skapt noe. Den flate broen er den vanligste måten dette designet svikter stille på.

Aksesspunktet må vise dem som atskilte grensesnitt, merket eller broet hver for seg. Det er en forutsetning, ikke en detalj. Skriv ned mappingen før den første regelen.

Klassifiser etter inngangsgrensesnitt

Klassifiser der pakken kommer inn i gatewayen. Inngangsgrensesnitt-velgeren i en policyregel er atskilt fra et kilde-prefiks, og det er den ærlige måten å si at denne trafikken kom fra Arbeid. Å bare matche på kildeadressen lar en klient på Arbeid kreve en Hjem-adresse og ta Hjems vei.

ip rule show

Valider kilden også mot inngangen, slik at de to testene stemmer i stedet for å motsi hverandre. En regel som bare sjekker én av dem, er en halv policy.

Hold gatewayens egen tunnel utenfor

Hold gatewayens egen ytre VPN-forbindelse på underlaget som virker. En regel skrevet for videresendte Arbeid-klienter skal ikke rekursivt fange tunnelen som bærer dem, for det er den klassiske måten å bygge en løkke som bare dukker opp under last. Unnta den lokale utgangsveien eller begrens regelen til videresendt trafikk. Prøv løkketilfellet med en stor overføring, ikke en enkelt ping.

Oversettelse trenger samme omhu. Hvis VPN-utgangen krever gatewayens tunneladresse som kilde, bruk det bare på Arbeid-kilder som forlater VPN-grensesnittet. Hjems vanlige WAN-oversettelse er et annet område, og én ubetinget masquerade-regel kan ikke uttrykke begge.

Skriv begge reglene ved siden av hverandre, slik at paret er synlig som et design og ikke som to urelaterte linjer. En kommentar som navngir kilden og den tiltenkte utgangen, er tilstrekkelig.

Bestem feiltilstanden med vilje

Bestem hva som skjer når VPN-ruten forsvinner. For et arbeidsnett er det ærlige svaret som regel å avvise: ingen tilbakefall til det vanlige WAN-et, fordi poenget med det atskilte SSID-et er at trafikken ikke går ut gjennom feil vei. Automatisk gjenoppkobling er en bekvemmelighet, ikke blokkeringspolicyen. En avvisningsregel som aldri logger, kan ikke skilles fra et ødelagt nett.

ip route show table work

Prøv en fersk tilkobling fra hvert SSID, fjern så tunnelen og prøv igjen. Hjem bør beholde sin vanlige vei mens Arbeid svikter lukket. Sjekk IPv6 separat, fordi to IPv4-subnett sier ingenting om det, og policyregel-referansen dokumenterer velgerne som er brukt ovenfor.