Dois SSID, duas saídas: qual política vence e onde?

Dois SSID num mesmo gateway parecem duas redes e não o são até o gateway tratá-los assim. O rádio entrega ambos à mesma bridge, a menos que o ponto de acesso mapeie cada SSID para o seu próprio VLAN. E mesmo com interfaces separadas, o tráfego segue a rota e a política de firewall que o gateway aplica a essa entrada. O SSID é um rótulo; a política é o que você escreve.

O SSID não é a política

Nomeie as duas redes e escreva as saídas pretendidas antes de tocar no roteador. Casa vai para a WAN comum, Trabalho vai para a interface VPN, e nenhuma herda o caminho da outra. Se ambos os SSID caírem numa única bridge não segmentada, os nomes não criaram nada. Essa bridge plana é a forma mais comum de este desenho falhar em silêncio.

O ponto de acesso precisa apresentá-los como interfaces separadas, marcadas ou separadas por bridge. Isso é um pré-requisito, não um detalhe. Escreva o mapeamento antes da primeira regra.

Classifique por interface de entrada

Classifique no ponto em que o pacote entra no gateway. O seletor de interface de entrada numa regra de política é distinto de um prefixo de origem, e é a forma honesta de dizer que este tráfego veio do Trabalho. Corresponder apenas o endereço de origem permite que um cliente no Trabalho reivindique um endereço de Casa e tome o caminho de Casa.

ip rule show

Valide também a origem contra a entrada, para que os dois testes concordem em vez de se contradizerem. Uma regra que verifica só uma das duas é meia política.

Mantenha o túnel do próprio gateway fora disso

Mantenha a conexão VPN externa do próprio gateway sobre a camada subjacente que funciona. Uma regra escrita para clientes de Trabalho encaminhados não deve capturar recursivamente o túnel que os transporta, porque é a forma clássica de criar um laço que só aparece sob carga. Isente o caminho de saída local ou limite a regra ao tráfego encaminhado. Teste o caso do laço com uma transferência grande, não com um único ping.

A tradução exige o mesmo cuidado. Se a saída VPN exigir o endereço do túnel do gateway como origem, aplique isso apenas a origens de Trabalho que saem da interface VPN. A tradução WAN comum da Casa é outro escopo, e uma única regra de masquerade sem qualificação não consegue expressar as duas.

Escreva as duas regras lado a lado, para que o par seja visível como desenho e não como duas linhas sem relação. Um comentário que nomeie a origem e a saída pretendida basta.

Decida o estado de falha de propósito

Decida o que acontece quando a rota VPN desaparece. Para uma rede de trabalho a resposta honesta costuma ser negar: sem retorno à WAN comum, porque o sentido do SSID separado é que o seu tráfego não saia pelo caminho errado. A reconexão automática é uma comodidade, não a política de bloqueio. Uma regra de negação que nunca registra é indistinguível de uma rede avariada.

ip route show table work

Teste uma conexão nova de cada SSID, depois remova o túnel e teste de novo. Casa deve manter o caminho comum enquanto Trabalho falha fechado. Verifique IPv6 separadamente, porque duas sub-redes IPv4 não dizem nada sobre isso, e a referência de regras de política documenta os seletores usados acima.