สอง SSID สองทางออก: นโยบายไหนชนะที่ไหน

สอง SSID บนเกตเวย์เดียวกันดูเหมือนสองเครือข่ายและไม่ใช่ จนกว่าเกตเวย์จะปฏิบัติต่อมันเช่นนั้น วิทยุส่งทั้งสองไปยังบริดจ์เดียวกัน เว้นแต่แอ็กเซสพอยต์จะเชื่อมแต่ละ SSID เข้ากับ VLAN ของตัวเอง และแม้มีอินเทอร์เฟซแยกกัน การรับส่งก็ยังไปตามเส้นทางและนโยบายไฟร์วอลล์ที่เกตเวย์ใช้กับขาเข้านั้น SSID คือป้ายชื่อ นโยบายคือสิ่งที่คุณเขียนลงไป

SSID ไม่ใช่นโยบาย

ตั้งชื่อสองเครือข่ายและเขียนทางออกที่ตั้งใจไว้ก่อนแตะเราเตอร์ บ้านไปยัง WAN ปกติ งานไปยังอินเทอร์เฟซ VPN และไม่มีใครสืบทอดเส้นทางของอีกฝ่าย ถ้าทั้งสอง SSID ไปลงบนบริดจ์เดียวที่ไม่แบ่งส่วน ชื่อไม่ได้สร้างอะไรเลย บริดจ์แบนนั้นคือวิธีที่การออกแบบนี้ล้มเหลวอย่างเงียบ ๆ บ่อยที่สุด

แอ็กเซสพอยต์ต้องนำเสนอเป็นอินเทอร์เฟซแยกกัน ติดแท็กหรือแยกบริดจ์ออกจากกัน นี่เป็นข้อกำหนดเบื้องต้น ไม่ใช่รายละเอียด เขียนการแมปก่อนกฎข้อแรก

จำแนกตามอินเทอร์เฟซขาเข้า

จำแนกที่จุดที่แพ็กเก็ตเข้าสู่เกตเวย์ ตัวเลือกอินเทอร์เฟซขาเข้าในกฎนโยบายแยกจากคำนำหน้าแหล่งที่มา และนี่คือวิธีที่ซื่อตรงในการบอกว่าการรับส่งนี้มาจากงาน การจับคู่เฉพาะที่อยู่ต้นทางทำให้ไคลเอนต์ในงานอ้างที่อยู่บ้านและใช้เส้นทางของบ้านได้

ip rule show

ตรวจสอบต้นทางเทียบกับขาเข้าด้วย เพื่อให้การทดสอบทั้งสองสอดคล้องกันแทนที่จะขัดแย้งกัน กฎที่ตรวจเพียงข้อเดียวคือครึ่งหนึ่งของนโยบาย

กันอุโมงค์ของเกตเวย์เองออกไป

เก็บการเชื่อมต่อ VPN ภายนอกของเกตเวย์เองไว้บนชั้นพื้นฐานที่ทำงานได้ กฎที่เขียนสำหรับไคลเอนต์งานที่ถูกส่งต่อไม่ควรดักจับอุโมงค์ที่บรรทุกพวกมันซ้ำ เพราะนั่นคือวิธีคลาสสิกในการสร้างลูปที่ปรากฏเฉพาะภายใต้ภาระ ยกเว้นเส้นทางออกภายในเครื่องหรือจำกัดกฎให้แค่การรับส่งที่ถูกส่งต่อ ทดสอบกรณีลูปด้วยการถ่ายโอนขนาดใหญ่ ไม่ใช่ ping เดียว

การแปลต้องใช้ความระมัดระวังแบบเดียวกัน ถ้าทางออก VPN ต้องการที่อยู่ของอุโมงค์เกตเวย์เป็นต้นทาง ให้ใช้กับต้นทางของงานที่ออกจากอินเทอร์เฟซ VPN เท่านั้น การแปล WAN ปกติของบ้านเป็นขอบเขตอื่น และกฎ masquerade หนึ่งข้อที่ไม่ระบุเงื่อนไขไม่สามารถแสดงทั้งสองอย่างได้

เขียนกฎทั้งสองไว้คู่กัน เพื่อให้คู่นั้นมองเห็นเป็นการออกแบบ ไม่ใช่สองบรรทัดที่ไม่เกี่ยวข้องกัน ความคิดเห็นที่ระบุต้นทางและทางออกที่ตั้งใจไว้ก็เพียงพอ

ตัดสินสถานะความล้มเหลวอย่างตั้งใจ

ตัดสินว่าเกิดอะไรขึ้นเมื่อเส้นทาง VPN หายไป สำหรับเครือข่ายงาน คำตอบที่ซื่อตรงมักคือปฏิเสธ ไม่มีการถอยกลับไปยัง WAN ปกติ เพราะจุดประสงค์ของ SSID แยกคือการรับส่งของมันไม่ออกจากเส้นทางที่ผิด การเชื่อมต่อใหม่อัตโนมัติเป็นความสะดวก ไม่ใช่นโยบายการบล็อก กฎการปฏิเสธที่ไม่บันทึกเลยแยกจากเครือข่ายที่เสียไม่ได้

ip route show table work

ทดสอบการเชื่อมต่อใหม่จากแต่ละ SSID แล้วถอดอุโมงค์ออกและทดสอบอีกครั้ง บ้านควรคงเส้นทางปกติไว้ ขณะที่งานล้มเหลวแบบปิด ตรวจสอบ IPv6 แยกต่างหาก เพราะสองซับเน็ต IPv4 ไม่ได้บอกอะไรเกี่ยวกับเรื่องนี้ และ เอกสารอ้างอิงกฎนโยบาย ได้บันทึกตัวเลือกที่ใช้ข้างต้น