Дві SSID, два виходи: яка політика де перемагає?

Дві SSID на одному шлюзі виглядають як дві мережі й не є ними, доки шлюз не почне поводитися з ними саме так. Радіо передає обидві до одного й того самого мосту, якщо точка доступу не зіставить кожну SSID її власному VLAN. І навіть із окремими інтерфейсами трафік іде тим маршрутом і тією політикою міжмережевого екрана, які шлюз застосовує до цього входу. SSID — це мітка; політика — це те, що ви записуєте.

SSID — не політика

Назвіть дві мережі та запишіть їхні передбачені виходи, перш ніж торкатися маршрутизатора. Дім іде до звичайного WAN, Робота йде до інтерфейсу VPN, і жодна не успадковує шлях іншої. Якщо обидві SSID опиняться на одному несегментованому мосту, назви нічого не створили. Цей плоский міст — найпоширеніший спосіб, у який цей задум тихо провалюється.

Точка доступу має подати їх як окремі інтерфейси, з тегами або розділені мостом. Це передумова, а не дрібниця. Запишіть зіставлення до першого правила.

Класифікуйте за вхідним інтерфейсом

Класифікуйте в точці, де пакет входить у шлюз. Селектор вхідного інтерфейсу в правилі політики відокремлений від префікса джерела, і це чесний спосіб сказати, що цей трафік прийшов із Роботи. Зіставлення лише за адресою джерела дозволяє клієнтові в Роботі заявити адресу Дому й піти шляхом Дому.

ip rule show

Перевіряйте джерело і щодо входу, щоб два тести узгоджувалися, а не суперечили одне одному. Правило, яке перевіряє лише одне з них, — половина політики.

Тримайте власний тунель шлюзу осторонь

Тримайте власне зовнішнє з'єднання VPN шлюзу на тому нижньому шарі, який працює. Правило, написане для переспрямованих клієнтів Роботи, не повинно рекурсивно захоплювати тунель, що їх несе, бо це класичний спосіб збудувати петлю, яка з'являється лише під навантаженням. Виключіть локальний шлях виходу або обмежте правило переспрямованим трафіком. Перевірте випадок петлі великим передаванням, а не одним ping.

Переклад потребує такої ж обережності. Якщо вихід VPN вимагає адресу тунелю шлюзу як джерело, застосовуйте це лише до джерел Роботи, що залишають інтерфейс VPN. Звичайний переклад WAN для Дому — інша область, і одне безумовне правило masquerade не може виразити обидва.

Напишіть обидва правила поруч, щоб пара виглядала як задум, а не як два не пов'язані рядки. Достатньо коментаря, що називає джерело й передбачений вихід.

Свідомо визначте стан відмови

Визначте, що станеться, коли маршрут VPN зникне. Для робочої мережі чесна відповідь зазвичай — відхилити: без повернення до звичайного WAN, бо сенс окремої SSID у тому, що її трафік не виходить хибним шляхом. Автоматичне перепідключення — це зручність, а не політика блокування. Правило відхилення, яке ніколи не пише до журналу, не відрізнити від зламаної мережі.

ip route show table work

Перевірте нове з'єднання з кожної SSID, потім приберіть тунель і перевірте знову. Дім має зберегти звичайний шлях, а Робота — відмовити закрито. Перевірте IPv6 окремо, бо дві підмережі IPv4 нічого про це не кажуть, і довідник із правил політики документує використані вище селектори.