Dva SSID-a, dva izlaza: koja politika gdje pobjeđuje?

Dva SSID-a na jednom pristupniku izgledaju kao dvije mreže i nisu, dok ih pristupnik tako ne tretira. Radio predaje oba istom mostu, osim ako pristupna točka svaki SSID preslika na vlastiti VLAN. I čak i s odvojenim sučeljima, promet slijedi rutu i politiku vatrozida koju pristupnik primjenjuje na taj ulaz. SSID je oznaka; politika je ono što zapišete.

SSID nije politika

Imenujte dvije mreže i zapišite njihove predviđene izlaze prije nego dodirnete usmjerivač. Dom ide na obični WAN, Posao ide na VPN sučelje, i nijedan ne nasljeđuje put onoga drugog. Ako oba SSID-a završe na jednom nesegmentiranom mostu, imena nisu stvorila ništa. Taj ravni most najčešći je način na koji ovaj dizajn tiho propada.

Pristupna točka mora ih predstaviti kao odvojena sučelja, označena ili mostom razdvojena. To je preduvjet, ne detalj. Zapišite preslikavanje prije prvog pravila.

Razvrstajte po ulaznom sučelju

Razvrstajte na mjestu gdje paket ulazi u pristupnik. Birač ulaznog sučelja u pravilu politike odvojen je od prefiksa izvora, i to je iskren način da se kaže da je ovaj promet došao iz Posa. Podudaranje samo po adresi izvora dopušta klijentu na Poslu da zatraži adresu Doma i preuzme put Doma.

ip rule show

Provjerite izvor i prema ulazu, kako bi se dva testa slagala umjesto da si proturječe. Pravilo koje provjerava samo jedno od njih je pola politike.

Držite vlastiti tunel pristupnika izvan toga

Držite vlastitu vanjsku VPN vezu pristupnika na podlozi koja radi. Pravilo napisano za proslijeđene klijente Posa ne treba rekurzivno hvatati tunel koji ih nosi, jer je to klasičan način da se izgradi petlja koja se pojavljuje samo pod opterećenjem. Izdvojite lokalnu izlaznu putanju ili ograničite pravilo na proslijeđeni promet. Provjerite slučaj petlje velikim prijenosom, a ne jednim pingom.

Prevođenje treba istu pažnju. Ako VPN izlaz zahtijeva adresu tunela pristupnika kao izvor, primijenite to samo na izvore Posa koji napuštaju VPN sučelje. Obično WAN prevođenje Doma je drugi opseg, i jedno bezuvjetno masquerade pravilo ne može izraziti oboje.

Napišite oba pravila jedno uz drugo, kako bi par bio vidljiv kao dizajn, a ne kao dva nepovezana retka. Komentar koji imenuje izvor i predviđeni izlaz dovoljan je.

Odlučite stanje kvara namjerno

Odlučite što se događa kada VPN ruta nestane. Za poslovnu mrežu iskren odgovor obično je odbiti: nema povratka na obični WAN, jer je svrha odvojenog SSID-a da njegov promet ne izlazi pogrešnim putem. Automatsko ponovno povezivanje je pogodnost, a ne politika blokiranja. Pravilo odbijanja koje nikad ne bilježi ne može se razlikovati od pokvarene mreže.

ip route show table work

Provjerite novu vezu sa svakog SSID-a, zatim uklonite tunel i provjerite ponovno. Dom treba zadržati svoj obični put dok Posao pada zatvoreno. Provjerite IPv6 odvojeno, jer dvije IPv4 podmreže ne govore ništa o tome, i referenca za pravila politike dokumentira birače korištene gore.