Dalawang SSID, dalawang labasan: aling patakaran ang nananalo saan?

Dalawang SSID sa isang gateway ay mukhang dalawang network at hindi, hanggang sa ituring sila ng gateway nang ganoon. Ibinibigay ng radyo ang dalawa sa parehong tulay maliban kung itinatalaga ng access point ang bawat SSID sa sarili nitong VLAN. At kahit may magkahiwalay na interface, sinusundan ng trapiko ang ruta at patakaran ng firewall na ipinapataw ng gateway sa ingress na iyon. Ang SSID ay etiketa; ang patakaran ang isinusulat mo.

Ang SSID ay hindi ang patakaran

Pangalanan ang dalawang network at isulat ang nilalayong labasan bago hawakan ang router. Pumupunta ang Bahay sa karaniwang WAN, ang Trabaho ay pumupunta sa interface ng VPN, at wala sa kanila ang nagmamana ng landas ng isa. Kung mapunta ang dalawang SSID sa isang tulay na hindi nahahati, wala pang nilikha ang mga pangalan. Ang patag na tulay na iyon ang pinakakaraniwang paraan na tahimik na nabigo ang disenyong ito.

Kailangang ipakita sila ng access point bilang magkahiwalay na interface, naka-tag o hiwalay na nakatulay. Iyon ay isang paunang kondisyon, hindi detalye. Isulat ang pagmamapa bago ang unang tuntunin.

Uriin ayon sa ingress interface

Uriin sa puntong pumapasok ang packet sa gateway. Ang tagapili ng ingress interface sa isang tuntunin ng patakaran ay hiwalay sa prefix ng pinagmulan, at iyon ang tapat na paraan ng pagsasabi na galing sa Trabaho ang trapikong ito. Ang pagtutugma lamang sa address ng pinagmulan ay nagpapahintulot sa isang kliyente sa Trabaho na angkinin ang address ng Bahay at tahakin ang landas ng Bahay.

ip rule show

Patunayan din ang pinagmulan laban sa ingress, upang ang dalawang pagsubok ay magkasundo sa halip na magsalungat. Ang tuntuning sumusuri lamang ng isa sa kanila ay kalahating patakaran.

Ilayo ang sariling tunel ng gateway

Panatilihin ang panlabas na koneksyon ng VPN ng gateway mismo sa underlay na gumagana. Ang tuntuning isinulat para sa mga naipasa na kliyente ng Trabaho ay hindi dapat rekursibong mahuli ang tunel na nagdadala sa kanila, dahil iyon ang klasikong paraan ng pagbuo ng loop na lumilitaw lamang sa ilalim ng karga. Ibukod ang lokal na landas ng labasan o limitahan ang tuntunin sa naipasang trapiko. Subukan ang kaso ng loop gamit ang malaking paglilipat, hindi isang ping.

Kailangan ng pagsasalin ang parehong pag-iingat. Kung hinihingi ng labasan ng VPN ang address ng tunel ng gateway bilang pinagmulan, ilapat iyon lamang sa mga pinagmulan ng Trabaho na lumalabas sa interface ng VPN. Ang karaniwang pagsasalin ng WAN para sa Bahay ay ibang saklaw, at isang tuntuning masquerade na walang kondisyon ay hindi maipahahayag ang dalawa.

Isulat ang dalawang tuntunin nang magkatabi, upang makita ang pares bilang disenyo at hindi bilang dalawang linyang walang kaugnayan. Sapat na ang komentong nagpapangalan sa pinagmulan at sa nilalayong labasan.

Sadyang pagpasyahan ang kalagayan ng pagpalya

Pagpasyahan kung ano ang mangyayari kapag nawala ang ruta ng VPN. Para sa isang network ng trabaho ang tapat na sagot ay karaniwang tanggihan: walang pagbabalik sa karaniwang WAN, dahil ang layunin ng hiwalay na SSID ay hindi lumalabas ang trapiko nito sa maling landas. Ang awtomatikong muling pagkonekta ay kaginhawahan, hindi ang patakaran ng pagharang. Ang tuntunin ng pagtanggi na hindi kailanman nagtatala ay hindi makikilala mula sa sirang network.

ip route show table work

Subukan ang bagong koneksyon mula sa bawat SSID, pagkatapos ay alisin ang tunel at subukan muli. Dapat panatilihin ng Bahay ang karaniwang landas nito habang nabibigo ang Trabaho nang sarado. Suriin ang IPv6 nang hiwalay, dahil walang sinasabi ang dalawang subnet ng IPv4 tungkol dito, at ang sanggunian sa mga tuntunin ng patakaran ay nagdodokumento ng mga tagapiling ginamit sa itaas.