Dy SSID, dy dalje: cila politikë fiton ku?

Dy SSID në një portë të vetme duken si dy rrjete dhe nuk janë, derisa porta t'i trajtojë ashtu. Radiot i dorëzojnë të dyja te i njëjti urë, përveç nëse pika e aksesit e lidh secilën SSID me VLAN-in e vet. Dhe edhe me ndërfaqe të ndara, trafiku ndjek rrugën dhe politikën e murit të zjarrit që porta zbaton për atë hyrje. SSID është një etiketë; politika është ajo që ju shkruani.

SSID nuk është politika

Emërtoni dy rrjetet dhe shkruani daljet e synuara përpara se të prekni ruterin. Shtëpia shkon te WAN-i i zakonshëm, Puna shkon te ndërfaqja VPN, dhe asnjëra nuk trashëgon rrugën e tjetrës. Nëse të dyja SSID përfundojnë në një urë të pandarë, emrat nuk krijuan asgjë. Ajo urë e sheshtë është mënyra më e zakonshme se si ky dizajn dështon në heshtje.

Pika e aksesit duhet t'i paraqesë ato si ndërfaqe të veçanta, të etiketuara ose të ndara me urë. Ky është një parakusht, jo një detaj. Shkruani hartëzimin përpara rregullit të parë.

Klasifikoni sipas ndërfaqes hyrëse

Klasifikoni në pikën ku paketa hyn në portë. Përzgjedhësi i ndërfaqes hyrëse në një rregull politike është i ndarë nga një prefiks burimi, dhe kjo është mënyra e ndershme për të thënë se ky trafik erdhi nga Puna. Përputhja vetëm me adresën e burimit lejon një klient në Punë të kërkojë një adresë Shtëpie dhe të marrë rrugën e Shtëpisë.

ip rule show

Vërtetoni burimin edhe kundrejt hyrjes, në mënyrë që dy provat të bien dakord në vend që të kundërshtojnë njëra-tjetrën. Një rregull që kontrollon vetëm njërën prej tyre është gjysmë politike.

Mbajeni tunelin e vetë portës jashtë kësaj

Mbajeni lidhjen e jashtme VPN të vetë portës mbi shtresën bazë që funksionon. Një rregull i shkruar për klientët e Punës që përcillen nuk duhet ta kapë në mënyrë rekursive tunelin që i mbart ata, sepse kjo është mënyra klasike për të ndërtuar një lak që shfaqet vetëm nën ngarkesë. Përjashtoni rrugën lokale të daljes ose kufizoni rregullin te trafiku i përcjellë. Provoni rastin e lakut me një transferim të madh, jo me një ping të vetëm.

Përkthimi kërkon të njëjtin kujdes. Nëse dalja VPN kërkon adresën e tunelit të portës si burim, zbatojeni atë vetëm për burimet e Punës që lënë ndërfaqen VPN. Përkthimi i zakonshëm WAN i Shtëpisë është një fushë tjetër, dhe një rregull masquerade pa kushte nuk mund t'i shprehë të dyja.

Shkruani të dy rregullat pranë njëri-tjetrit, në mënyrë që çifti të duket si dizajn dhe jo si dy rreshta të palidhur. Mjafton një koment që emërton burimin dhe daljen e synuar.

Vendosni gjendjen e dështimit me qëllim

Vendosni çfarë ndodh kur rruga VPN zhduket. Për një rrjet pune përgjigjja e ndershme është zakonisht të refuzosh: pa kthim te WAN-i i zakonshëm, sepse qëllimi i SSID-së së veçantë është që trafiku i saj të mos dalë nga rruga e gabuar. Rilidhja automatike është një lehtësi, jo politika e bllokimit. Një rregull refuzimi që nuk regjistron kurrë nuk dallohet nga një rrjet i prishur.

ip route show table work

Provoni një lidhje të re nga secila SSID, më pas hiqni tunelin dhe provoni përsëri. Shtëpia duhet të mbajë rrugën e zakonshme ndërsa Puna dështon e mbyllur. Kontrolloni IPv6 veçmas, sepse dy nënrrjete IPv4 nuk thonë asgjë për këtë, dhe referenca e rregullave të politikës dokumenton përzgjedhësit e përdorur më sipër.