Dve SSID, dva izhoda: katera politika kje zmaga?

Dve SSID na enem prehodu sta videti kot dve omrežji in nista, dokler ju prehod ne obravnava tako. Radio oba izroči istemu mostu, razen če dostopna točka vsak SSID preslika v lasten VLAN. In tudi z ločenimi vmesniki promet sledi poti in politiki požarnega zidu, ki ju prehod uporabi za ta vhod. SSID je oznaka; politika je tisto, kar zapišete.

SSID ni politika

Poimenujte obe omrežji in zapišite predvidena izhoda, preden se dotaknete usmerjevalnika. Dom gre na običajni WAN, Delo gre na vmesnik VPN, in nobeno ne podeduje poti drugega. Če oba SSID pristaneta na enem nerazdeljenem mostu, imena niso ustvarila ničesar. Ta ploski most je najpogostejši način, kako ta zasnova tiho odpove.

Dostopna točka ju mora predstaviti kot ločena vmesnika, označena ali ločeno premostena. To je predpogoj, ne podrobnost. Zapišite preslikavo pred prvim pravilom.

Razvrstite po vhodnem vmesniku

Razvrstite na mestu, kjer paket vstopi v prehod. Izbirnik vhodnega vmesnika v pravilu politike je ločen od predpone vira, in to je pošten način povedati, da je ta promet prišel iz Dela. Ujemanje samo po naslovu vira omogoči odjemalcu v Delu, da zahteva naslov Doma in ubere pot Doma.

ip rule show

Preverite vir tudi glede na vhod, da se oba testa ujemata, namesto da si nasprotujeta. Pravilo, ki preverja samo enega od njiju, je pol politike.

Pustite lastni tunel prehoda ob strani

Držite lastno zunanjo povezavo VPN prehoda na spodnjem sloju, ki deluje. Pravilo, napisano za posredovane odjemalce Dela, ne sme rekurzivno ujeti tunela, ki jih nosi, ker je to klasičen način za zgraditev zanke, ki se pojavi le pod obremenitvijo. Izvzemite lokalno izhodno pot ali omejite pravilo na posredovani promet. Preizkusite primer zanke z velikim prenosom, ne z enim pingom.

Prevajanje potrebuje enako skrbnost. Če izhod VPN zahteva naslov tunela prehoda kot vir, uporabite to le za vire Dela, ki zapuščajo vmesnik VPN. Običajno prevajanje WAN za Dom je drugo območje, in eno brezpogojno pravilo masquerade ne more izraziti obojega.

Napišite obe pravili eno ob drugem, da bo par viden kot zasnova in ne kot dve nepovezani vrstici. Dovolj je komentar, ki poimenuje vir in predvideni izhod.

Zavestno določite stanje okvare

Določite, kaj se zgodi, ko pot VPN izgine. Za delovno omrežje je pošten odgovor običajno zavrnitev: brez vrnitve na običajni WAN, ker je smisel ločenega SSID v tem, da njegov promet ne odhaja po napačni poti. Samodejna ponovna povezava je udobje, ne politika blokiranja. Pravilo zavrnitve, ki nikoli ne beleži, se ne razlikuje od pokvarjenega omrežja.

ip route show table work

Preizkusite novo povezavo z vsakega SSID, nato odstranite tunel in preizkusite znova. Dom naj bi obdržal običajno pot, medtem ko Delo odpove zaprto. Preverite IPv6 ločeno, ker dve podomrežji IPv4 o tem ne povesta ničesar, in referenca pravil politike dokumentira uporabljene izbirnike.