Dwie SSID, dwa wyjścia: która polityka gdzie wygrywa?

Dwie SSID na jednej bramie wyglądają jak dwie sieci i nimi nie są, dopóki brama tak ich nie traktuje. Radio przekazuje obie do tego samego mostu, chyba że punkt dostępowy przypisze każdą SSID do własnego VLAN-u. I nawet z osobnymi interfejsami ruch podąża za trasą i polityką firewalla, którą brama stosuje do tego wejścia. SSID to etykieta; polityka to to, co zapisujesz.

SSID nie jest polityką

Nazwij obie sieci i zapisz ich zamierzone wyjścia, zanim dotkniesz routera. Dom idzie do zwykłego WAN, Praca idzie do interfejsu VPN, i żadne nie dziedziczy ścieżki drugiego. Jeśli obie SSID trafią na jeden niepodzielony most, nazwy nic nie stworzyły. Ten płaski most to najczęstszy sposób, w jaki ten projekt po cichu zawodzi.

Punkt dostępowy musi przedstawić je jako osobne interfejsy, otagowane lub rozdzielone mostem. To warunek wstępny, nie detal. Zapisz mapowanie przed pierwszą regułą.

Klasyfikuj według interfejsu wejściowego

Klasyfikuj w miejscu, w którym pakiet wchodzi do bramy. Selektor interfejsu wejściowego w regule polityki jest oddzielony od prefiksu źródła i jest to uczciwy sposób powiedzenia, że ten ruch przyszedł z Pracy. Dopasowanie tylko po adresie źródła pozwala klientowi w Pracy zgłosić adres Domu i pójść ścieżką Domu.

ip rule show

Sprawdź źródło także względem wejścia, aby oba testy się zgadzały, a nie przeczyły sobie. Reguła, która sprawdza tylko jedno z nich, to połowa polityki.

Trzymaj własny tunel bramy z dala od tego

Trzymaj własne zewnętrzne połączenie VPN bramy na warstwie bazowej, która działa. Reguła napisana dla przekazywanych klientów Pracy nie powinna rekurencyjnie przechwytywać tunelu, który ich niesie, bo to klasyczny sposób budowania pętli pojawiającej się tylko pod obciążeniem. Wyłącz lokalną ścieżkę wyjściową lub ogranicz regułę do ruchu przekazywanego. Przetestuj przypadek pętli dużym transferem, a nie jednym pingiem.

Tłumaczenie wymaga tej samej staranności. Jeśli wyjście VPN wymaga adresu tunelu bramy jako źródła, stosuj to tylko do źródeł Pracy opuszczających interfejs VPN. Zwykłe tłumaczenie WAN dla Domu to inny zakres, a jedna bezwarunkowa reguła masquerade nie może wyrazić obu.

Zapisz obie reguły obok siebie, aby para była widoczna jako projekt, a nie jako dwie niepowiązane linie. Wystarczy komentarz nazywający źródło i zamierzone wyjście.

Świadomie zdecyduj o stanie awarii

Zdecyduj, co się stanie, gdy trasa VPN zniknie. Dla sieci roboczej uczciwa odpowiedź to zwykle odmowa: bez powrotu do zwykłego WAN, bo sensem osobnej SSID jest to, że jej ruch nie wychodzi złą ścieżką. Automatyczne ponowne połączenie to wygoda, a nie polityka blokowania. Reguła odmowy, która nigdy nie loguje, jest nie do odróżnienia od zepsutej sieci.

ip route show table work

Przetestuj nowe połączenie z każdej SSID, potem usuń tunel i przetestuj ponownie. Dom powinien zachować zwykłą ścieżkę, podczas gdy Praca zawodzi zamknięta. Sprawdź IPv6 osobno, bo dwie podsieci IPv4 nic o tym nie mówią, a odniesienie do reguł polityki dokumentuje użyte powyżej selektory.