Две SSID, два выхода: какая политика где побеждает?

Две SSID на одном шлюзе выглядят как две сети и не являются ими, пока шлюз не станет обращаться с ними именно так. Радио передаёт обе в один и тот же мост, если точка доступа не сопоставит каждую SSID своему VLAN. И даже при отдельных интерфейсах трафик следует по тому маршруту и той политике межсетевого экрана, которые шлюз применяет к этому входу. SSID — это метка; политика — это то, что вы записываете.

SSID — не политика

Назовите две сети и запишите их предполагаемые выходы, прежде чем трогать маршрутизатор. Дом идёт в обычный WAN, Работа идёт в интерфейс VPN, и ни одна не наследует путь другой. Если обе SSID оказываются на одном несегментированном мосту, имена ничего не создали. Этот плоский мост — самый распространённый способ, которым такой замысел тихо проваливается.

Точка доступа должна представлять их как отдельные интерфейсы, с тегами или разделённые мостом. Это предварительное условие, а не деталь. Запишите сопоставление до первого правила.

Классифицируйте по входному интерфейсу

Классифицируйте в точке, где пакет входит в шлюз. Селектор входного интерфейса в правиле политики отделён от префикса источника, и это честный способ сказать, что этот трафик пришёл из Работы. Сопоставление только по адресу источника позволяет клиенту в Работе заявить адрес Дома и пойти путём Дома.

ip rule show

Проверяйте источник и по отношению ко входу, чтобы два теста согласовывались, а не противоречили друг другу. Правило, которое проверяет только одно из двух, — половина политики.

Держите собственный туннель шлюза в стороне

Держите собственное внешнее соединение VPN шлюза на той нижней прослойке, которая работает. Правило, написанное для перенаправляемых клиентов Работы, не должно рекурсивно захватывать туннель, который их несёт, потому что это классический способ построить петлю, проявляющуюся только под нагрузкой. Исключите локальный путь выхода или ограничьте правило перенаправляемым трафиком. Проверьте случай петли большой передачей, а не одним ping.

Переводу нужна та же аккуратность. Если выход VPN требует адрес туннеля шлюза как источник, применяйте это только к источникам Работы, покидающим интерфейс VPN. Обычный перевод WAN для Дома — другая область, и одно безусловное правило masquerade не может выразить оба.

Напишите оба правила рядом, чтобы пара выглядела как замысел, а не как две несвязанные строки. Достаточно комментария, называющего источник и предполагаемый выход.

Осознанно определите состояние отказа

Определите, что происходит, когда маршрут VPN исчезает. Для рабочей сети честный ответ обычно — отклонить: без возврата к обычному WAN, потому что смысл отдельной SSID в том, что её трафик не уходит по неверному пути. Автоматическое переподключение — удобство, а не политика блокировки. Правило отклонения, которое никогда не пишет в журнал, неотличимо от сломанной сети.

ip route show table work

Проверьте новое соединение с каждой SSID, затем удалите туннель и проверьте снова. Дом должен сохранить обычный путь, а Работа — отказать закрыто. Проверьте IPv6 отдельно, потому что две подсети IPv4 ничего об этом не говорят, и справочник по правилам политики документирует использованные выше селекторы.