Dve SSID, dva výstupy: ktorá politika kde vyhrá?

Dve SSID na jednej bráne vyzerajú ako dve siete a nie sú, kým s nimi brána tak nezaobchádza. Rádio odovzdá obe na ten istý most, ak prístupový bod nepriradí každú SSID jej vlastnému VLAN. A aj s oddelenými rozhraniami premávka sleduje trasu a politiku firewallu, ktorú brána na tento vstup uplatňuje. SSID je štítok; politika je to, čo zapíšete.

SSID nie je politika

Pomenujte obe siete a zapíšte ich zamýšľané výstupy, skôr než sa dotknete routera. Domov ide na bežný WAN, Práca ide na rozhranie VPN a ani jedno nededí cestu toho druhého. Ak obe SSID skončia na jednom nerozdelenom moste, mená nič nevytvorili. Ten plochý most je najčastejší spôsob, akým tento návrh potichu zlyháva.

Prístupový bod ich musí predstaviť ako oddelené rozhrania, označené alebo mostom oddelené. To je predpoklad, nie detail. Zapíšte mapovanie pred prvým pravidlom.

Klasifikujte podľa vstupného rozhrania

Klasifikujte v mieste, kde paket vstupuje do brány. Selektor vstupného rozhrania v pravidle politiky je oddelený od prefixu zdroja a je to úprimný spôsob, ako povedať, že táto premávka prišla z Práce. Zhoda iba podľa zdrojovej adresy dovolí klientovi v Práci nárokovať si adresu Domova a ísť cestou Domova.

ip rule show

Overte zdroj aj voči vstupu, aby sa oba testy zhodovali, namiesto toho, aby si odporovali. Pravidlo, ktoré kontroluje len jedno z nich, je polovica politiky.

Nechajte vlastný tunel brány bokom

Držte vlastné vonkajšie pripojenie VPN brány na podloží, ktoré funguje. Pravidlo napísané pre preposielaných klientov Práce by nemalo rekurzívne zachytiť tunel, ktorý ich nesie, pretože je to klasický spôsob, ako postaviť slučku, ktorá sa objaví len pod záťažou. Vyjmite lokálnu výstupnú cestu alebo obmedzte pravidlo na preposielanú premávku. Otestujte prípad slučky veľkým prenosom, nie jedným pingom.

Preklad si vyžaduje rovnakú starostlivosť. Ak výstup VPN vyžaduje adresu tunela brány ako zdroj, použite to len na zdroje Práce, ktoré opúšťajú rozhranie VPN. Bežný preklad WAN pre Domov je iný rozsah a jedno neobmedzené pravidlo masquerade nemôže vyjadriť oboje.

Napíšte obe pravidlá vedľa seba, aby bola dvojica viditeľná ako návrh, a nie ako dva nesúvisiace riadky. Stačí komentár, ktorý pomenuje zdroj a zamýšľaný výstup.

Rozhodnite stav zlyhania zámerne

Rozhodnite, čo sa stane, keď trasa VPN zmizne. Pri pracovnej sieti je úprimná odpoveď zvyčajne odmietnuť: žiadny návrat na bežný WAN, pretože zmyslom oddelenej SSID je, že jej premávka neodchádza nesprávnou cestou. Automatické opätovné pripojenie je pohodlie, nie blokovacia politika. Pravidlo odmietnutia, ktoré nikdy nezapisuje do logu, sa nedá odlíšiť od pokazenej siete.

ip route show table work

Otestujte nové pripojenie z každej SSID, potom tunel odstráňte a otestujte znova. Domov by si mal udržať svoju bežnú cestu, kým Práca zlyháva zavretá. Skontrolujte IPv6 osobitne, pretože dve podsiete IPv4 o tom nič nehovoria, a referencia pravidiel politiky dokumentuje použité selektory.