Два SSID-а, два излаза: која политика где побеђује?

Два SSID-а на једном пролазу изгледају као две мреже и нису, док их пролаз тако не третира. Радио предаје оба истом мосту, осим ако приступна тачка сваки SSID преслика на сопствени VLAN. И чак и са одвојеним интерфејсима, саобраћај следи руту и политику заштитног зида коју пролаз примењује на тај улаз. SSID је ознака; политика је оно што запишете.

SSID није политика

Именујте две мреже и запишите њихове предвиђене излазе пре него што дотакнете рутер. Дом иде на обични WAN, Посао иде на интерфејс VPN, и ниједан не наслеђује пут оног другог. Ако оба SSID-а заврше на једном несегментираном мосту, имена нису створила ништа. Тај равни мост је најчешћи начин на који овај дизајн тихо пропада.

Приступна тачка мора да их представи као одвојене интерфејсе, означене или мостом раздвојене. То је предуслов, не детаљ. Запишите пресликавање пре првог правила.

Класификујте по улазном интерфејсу

Класификујте на месту где пакет улази у пролаз. Бирач улазног интерфејса у правилу политике одвојен је од префикса извора, и то је искрен начин да се каже да је овај саобраћај дошао из Посла. Подударање само по адреси извора дозвољава клијенту на Послу да затражи адресу Дома и преузме пут Дома.

ip rule show

Проверите извор и према улазу, како би се два теста слагала уместо да си противрече. Правило које проверава само једно од њих је пола политике.

Држите сопствени тунел пролаза изван овога

Држите сопствену спољну VPN везу пролаза на подлози која ради. Правило написано за прослеђене клијенте Посла не треба рекурзивно да хвата тунел који их носи, јер је то класичан начин да се изгради петља која се појављује само под оптерећењем. Издвојите локалну излазну путању или ограничите правило на прослеђени саобраћај. Проверите случај петље великим преносом, а не једним ping-ом.

Превођење тражи исту пажњу. Ако VPN излаз захтева адресу тунела пролаза као извор, примените то само на изворе Посла који напуштају интерфејс VPN. Обично WAN превођење Дома је други опсег, и једно безусловно masquerade правило не може изразити обоје.

Напишите оба правила једно уз друго, како би пар био видљив као дизајн, а не као два неповезана ретка. Довољан је коментар који именује извор и предвиђени излаз.

Одлучите стање квара намерно

Одлучите шта се дешава када VPN рута нестане. За пословну мрежу искрен одговор је обично одбити: нема повратка на обични WAN, јер је сврха одвојеног SSID-а да његов саобраћај не излази погрешним путем. Аутоматско поновно повезивање је погодност, а не политика блокирања. Правило одбијања које никада не бележи не може се разликовати од покварене мреже.

ip route show table work

Проверите нову везу са сваког SSID-а, затим уклоните тунел и проверите поново. Дом треба да задржи свој обични пут док Посао пада затворено. Проверите IPv6 одвојено, јер две IPv4 подмреже не говоре ништа о томе, и референца за правила политике документује бираче коришћене горе.