Två SSID, två utgångar: vilken policy vinner var?

Två SSID på en och samma gateway ser ut som två nätverk och är det inte, förrän gatewayen behandlar dem så. Radion lämnar båda till samma brygga om inte åtkomstpunkten kopplar varje SSID till sitt eget VLAN. Och även med separata gränssnitt följer trafiken den rutt och brandmurspolicy som gatewayen tillämpar på den ingången. SSID:t är en etikett; policyn är det du skriver ner.

SSID:t är inte policyn

Namnge de två nätverken och skriv ner deras avsedda utgångar innan du rör routern. Hem går till det vanliga WAN:et, Arbete går till VPN-gränssnittet, och ingen av dem ärver den andras väg. Om båda SSID:na hamnar på en enda osegmenterad brygga har namnen inte skapat något. Den platta bryggan är det vanligaste sättet detta upplägg misslyckas tyst på.

Åtkomstpunkten måste presentera dem som separata gränssnitt, taggade eller bryggade isär. Det är en förutsättning, inte en detalj. Skriv ner mappningen före den första regeln.

Klassificera efter ingångsgränssnitt

Klassificera vid punkten där paketet kommer in i gatewayen. Ingångsgränssnittsväljaren i en policyregel är skild från ett källprefix, och det är det ärliga sättet att säga att denna trafik kom från Arbete. Att bara matcha på källadressen låter en klient på Arbete kräva en Hem-adress och ta Hems väg.

ip rule show

Validera källan också mot ingången, så att de två testerna stämmer överens i stället för att motsäga varandra. En regel som bara kontrollerar en av dem är halv policy.

Håll gatewayens egen tunnel utanför

Håll gatewayens egen yttre VPN-anslutning på det underlager som fungerar. En regel skriven för vidarebefordrade Arbete-klienter bör inte rekursivt fånga tunneln som bär dem, eftersom det är det klassiska sättet att bygga en slinga som bara dyker upp under last. Undanta den lokala utgångsvägen eller begränsa regeln till vidarebefordrad trafik. Testa slingfallet med en stor överföring, inte en enda ping.

Översättning kräver samma omsorg. Om VPN-utgången kräver gatewayens tunneladress som källa, tillämpa det bara på Arbete-källor som lämnar VPN-gränssnittet. Hems vanliga WAN-översättning är ett annat omfång, och en enda ovillkorlig masquerade-regel kan inte uttrycka båda.

Skriv båda reglerna bredvid varandra, så att paret syns som en design och inte som två orelaterade rader. En kommentar som namnger källan och den avsedda utgången räcker.

Bestäm feltillståndet med avsikt

Bestäm vad som händer när VPN-rutten försvinner. För ett arbetsnätverk är det ärliga svaret vanligtvis att neka: ingen återgång till det vanliga WAN:et, eftersom poängen med det separata SSID:t är att dess trafik inte lämnar genom fel väg. Automatisk återanslutning är en bekvämlighet, inte blockeringspolicyn. En nekningsregel som aldrig loggar går inte att skilja från ett trasigt nätverk.

ip route show table work

Testa en ny anslutning från varje SSID, ta sedan bort tunneln och testa igen. Hem bör behålla sin vanliga väg medan Arbete misslyckas stängt. Kontrollera IPv6 separat, eftersom två IPv4-subnät inte säger något om det, och policyregelreferensen dokumenterar väljarna som används ovan.