Două SSID-uri, două ieșiri: care politică câștigă unde?

Două SSID-uri pe un singur gateway arată ca două rețele și nu sunt, până când gateway-ul le tratează astfel. Radioul le predă pe amândouă aceluiași pod, dacă punctul de acces nu asociază fiecare SSID propriului VLAN. Și chiar cu interfețe separate, traficul urmează ruta și politica de firewall pe care gateway-ul le aplică acelei intrări. SSID-ul este o etichetă; politica este ceea ce scrieți.

SSID-ul nu este politica

Numiți cele două rețele și scrieți ieșirile intenționate înainte de a atinge routerul. Acasă merge pe WAN-ul obișnuit, Serviciu merge pe interfața VPN, și niciuna nu moștenește calea celeilalte. Dacă ambele SSID-uri ajung pe un singur pod nesegmentat, numele nu au creat nimic. Acel pod plat este modul cel mai frecvent în care acest design eșuează în tăcere.

Punctul de acces trebuie să le prezinte ca interfețe separate, etichetate sau separate prin pod. Aceasta este o precondiție, nu un detaliu. Scrieți maparea înainte de prima regulă.

Clasificați după interfața de intrare

Clasificați în punctul în care pachetul intră în gateway. Selectorul de interfață de intrare dintr-o regulă de politică este separat de un prefix sursă, și aceasta este modalitatea onestă de a spune că acest trafic a venit din Serviciu. Potrivirea doar pe adresa sursă permite unui client din Serviciu să revendice o adresă de Acasă și să ia calea Acasă.

ip rule show

Validați sursa și față de intrare, astfel încât cele două teste să fie de acord în loc să se contrazică. O regulă care verifică doar una dintre ele este jumătate de politică.

Țineți tunelul gateway-ului însuși în afara acestui lucru

Țineți conexiunea VPN externă a gateway-ului însuși pe stratul de bază care funcționează. O regulă scrisă pentru clienții Serviciu redirecționați nu ar trebui să captureze recursiv tunelul care îi transportă, pentru că acesta este modul clasic de a construi o buclă care apare doar sub sarcină. Exceptați calea de ieșire locală sau limitați regula la traficul redirecționat. Testați cazul buclei cu un transfer mare, nu cu un singur ping.

Traducerea necesită aceeași grijă. Dacă ieșirea VPN cere adresa tunelului gateway-ului ca sursă, aplicați-o doar surselor Serviciu care părăsesc interfața VPN. Traducerea WAN obișnuită a Acasă este un alt domeniu, iar o singură regulă masquerade necalificată nu poate exprima ambele.

Scrieți ambele reguli una lângă alta, astfel încât perechea să fie vizibilă ca design, nu ca două linii fără legătură. Un comentariu care numește sursa și ieșirea intenționată este suficient.

Decideți starea de defecțiune intenționat

Decideți ce se întâmplă când ruta VPN dispare. Pentru o rețea de serviciu răspunsul onest este de obicei refuzul: fără revenire la WAN-ul obișnuit, pentru că scopul SSID-ului separat este ca traficul său să nu iasă pe calea greșită. Reconectarea automată este o comoditate, nu politica de blocare. O regulă de refuz care nu înregistrează niciodată nu poate fi distinsă de o rețea defectă.

ip route show table work

Testați o conexiune nouă din fiecare SSID, apoi eliminați tunelul și testați din nou. Acasă ar trebui să își păstreze calea obișnuită în timp ce Serviciu eșuează închis. Verificați IPv6 separat, pentru că două subrețele IPv4 nu spun nimic despre asta, iar referința regulilor de politică documentează selectorii folosiți mai sus.