İki SSID, iki çıkış: hangi politika nerede kazanır?

Tek bir ağ geçidindeki iki SSID iki ağ gibi görünür ve ağ geçidi onları öyle ele alana kadar iki ağ değildir. Erişim noktası her SSID'yi kendi VLAN'ına eşlemezse radyo ikisini de aynı köprüye verir. Ve ayrı arayüzler olsa bile trafik, ağ geçidinin o girişe uyguladığı rotayı ve güvenlik duvarı politikasını izler. SSID bir etikettir; politika ise yazdığınız şeydir.

SSID politika değildir

İki ağı adlandırın ve yönlendiriciye dokunmadan önce amaçlanan çıkışlarını yazın. Ev olağan WAN'a gider, İş VPN arayüzüne gider ve hiçbiri diğerinin yolunu devralmaz. İki SSID de bölünmemiş tek bir köprüye düşerse, adlar hiçbir şey yaratmamıştır. O düz köprü, bu tasarımın sessizce başarısız olmasının en yaygın yoludur.

Erişim noktası onları ayrı arayüzler olarak sunmalıdır; etiketlenmiş ya da ayrı köprülenmiş olarak. Bu bir ön koşuldur, ayrıntı değildir. Eşlemeyi ilk kuraldan önce yazın.

Giriş arayüzüne göre sınıflandırın

Paketin ağ geçidine girdiği noktada sınıflandırın. Bir politika kuralındaki giriş arayüzü seçicisi kaynak önekinden ayrıdır ve bu trafiğin İş'ten geldiğini söylemenin dürüst yolu budur. Yalnızca kaynak adresle eşleştirmek, İş'teki bir istemcinin Ev adresini talep edip Ev'in yolunu izlemesine izin verir.

ip rule show

Kaynağı girişe karşı da doğrulayın, böylece iki test birbiriyle çelişmek yerine uyuşur. Yalnızca birini denetleyen kural, politikanın yarısıdır.

Ağ geçidinin kendi tünelini bunun dışında tutun

Ağ geçidinin kendi dış VPN bağlantısını çalışan alt katmanda tutun. İş için yönlendirilen istemciler adına yazılmış bir kural, onları taşıyan tüneli özyinelemeli olarak yakalamamalıdır; çünkü yalnızca yük altında görünen bir döngü kurmanın klasik yolu budur. Yerel çıkış yolunu muaf tutun ya da kuralı yönlendirilen trafikle sınırlayın. Döngü durumunu tek bir ping ile değil, büyük bir aktarımla test edin.

Çeviri de aynı özeni gerektirir. VPN çıkışı kaynak olarak ağ geçidinin tünel adresini gerektiriyorsa, bunu yalnızca VPN arayüzünden çıkan İş kaynaklarına uygulayın. Ev'in olağan WAN çevirisi başka bir kapsamdır ve koşulsuz tek bir masquerade kuralı ikisini birden ifade edemez.

İki kuralı yan yana yazın, böylece çift iki ilgisiz satır olarak değil bir tasarım olarak görünür. Kaynağı ve amaçlanan çıkışı adlandıran bir yorum yeterlidir.

Arıza durumuna bilerek karar verin

VPN rotası kaybolduğunda ne olacağına karar verin. Bir iş ağı için dürüst yanıt genellikle reddetmektir: olağan WAN'a geri dönüş yoktur, çünkü ayrı SSID'nin amacı trafiğinin yanlış yoldan çıkmamasıdır. Otomatik yeniden bağlanma bir kolaylıktır, engelleme politikası değildir. Hiç günlük tutmayan bir ret kuralı, bozuk bir ağdan ayırt edilemez.

ip route show table work

Her SSID'den yeni bir bağlantı test edin, sonra tüneli kaldırıp yeniden test edin. Ev olağan yolunu korumalı, İş ise kapalı olarak başarısız olmalıdır. IPv6'yı ayrıca denetleyin, çünkü iki IPv4 alt ağı bunun hakkında hiçbir şey söylemez, ve politika kuralları başvurusu yukarıda kullanılan seçicileri belgeler.