دو SSID، دو اخراج: کون سی پالیسی کہاں جیتتی ہے؟

ایک گیٹ وے پر دو SSID دو نیٹ ورک لگتے ہیں اور نہیں ہیں، جب تک گیٹ وے انہیں ایسا نہ سمجھے۔ ریڈیو دونوں کو ایک ہی پل پر دے دیتا ہے، جب تک ایکسیس پوائنٹ ہر SSID کو اس کے اپنے VLAN سے نہ جوڑے۔ اور الگ انٹرفیس ہونے پر بھی ٹریفک وہی راستہ اور فائر وال پالیسی اختیار کرتی ہے جو گیٹ وے اس انگریس پر لاگو کرتا ہے۔ SSID ایک لیبل ہے؛ پالیسی وہ ہے جو آپ لکھتے ہیں۔

SSID پالیسی نہیں ہے

راؤٹر چھونے سے پہلے دونوں نیٹ ورک کے نام رکھیں اور ان کے مطلوبہ اخراج لکھیں۔ گھر عام WAN کی طرف جاتا ہے، کام VPN انٹرفیس کی طرف جاتا ہے، اور کوئی دوسرے کا راستہ ورثے میں نہیں لیتا۔ اگر دونوں SSID ایک ہی غیر منقسم پل پر آ جائیں تو ناموں نے کچھ نہیں بنایا۔ وہی ہموار پل اس ڈیزائن کے خاموشی سے ناکام ہونے کا سب سے عام طریقہ ہے۔

ایکسیس پوائنٹ کو انہیں الگ انٹرفیس کے طور پر پیش کرنا ہوگا، ٹیگ شدہ یا الگ پل کیے ہوئے۔ یہ پیشگی شرط ہے، تفصیل نہیں۔ پہلے قاعدے سے پہلے میپنگ لکھیں۔

انگریس انٹرفیس کے مطابق درجہ بندی کریں

جس مقام پر پیکٹ گیٹ وے میں داخل ہوتا ہے وہاں درجہ بندی کریں۔ پالیسی قاعدے میں انگریس انٹرفیس منتخب کرنے والا ماخذ پریفکس سے الگ ہے، اور یہ کہنے کا ایماندار طریقہ یہی ہے کہ یہ ٹریفک کام سے آیا ہے۔ صرف ماخذ پتے پر میل کھانا کام پر موجود کلائنٹ کو گھر کا پتہ دعویٰ کرنے اور گھر کا راستہ لینے دیتا ہے۔

ip rule show

انگریس کے مقابلے میں ماخذ کی بھی تصدیق کریں، تاکہ دونوں جانچیں ایک دوسرے کی مخالفت کے بجائے ہم آہنگ ہوں۔ جو قاعدہ ان میں سے صرف ایک کو جانچتا ہے وہ آدھی پالیسی ہے۔

گیٹ وے کی اپنی ٹنل کو اس سے باہر رکھیں

گیٹ وے کا اپنا بیرونی VPN کنکشن اس انڈرلے پر رکھیں جو کام کرتا ہے۔ کام کے فارورڈ کیے گئے کلائنٹس کے لیے لکھا گیا قاعدہ انہیں اٹھانے والی ٹنل کو بار بار نہیں پکڑنا چاہیے، کیونکہ بوجھ کے وقت ہی ظاہر ہونے والا لوپ بنانے کا یہی روایتی طریقہ ہے۔ مقامی اخراج کے راستے کو مستثنیٰ کریں یا قاعدے کو فارورڈ شدہ ٹریفک تک محدود رکھیں۔ لوپ کی صورت ایک پنگ کے بجائے بڑی منتقلی سے جانچیں۔

ترجمے کو بھی وہی احتیاط چاہیے۔ اگر VPN اخراج کو ماخذ کے طور پر گیٹ وے کا ٹنل پتہ درکار ہو تو اسے صرف ان کام کے ماخذوں پر لاگو کریں جو VPN انٹرفیس چھوڑتے ہیں۔ گھر کا عام WAN ترجمہ الگ دائرہ ہے، اور ایک بغیر شرط masquerade قاعدہ دونوں نہیں بیان کر سکتا۔

دونوں قاعدے ساتھ ساتھ لکھیں، تاکہ جوڑا دو غیر متعلق سطروں کے بجائے ایک ڈیزائن کے طور پر نظر آئے۔ ماخذ اور مطلوبہ اخراج کا نام دینے والی تبصرہ کافی ہے۔

ناکامی کی حالت جان بوجھ کر طے کریں

طے کریں کہ VPN راستہ غائب ہونے پر کیا ہوگا۔ کام کے نیٹ ورک کے لیے ایماندار جواب عام طور پر انکار ہے: عام WAN پر کوئی واپسی نہیں، کیونکہ الگ SSID کا مقصد یہی ہے کہ اس کی ٹریفک غلط راستے سے باہر نہ جائے۔ خودکار دوبارہ کنکشن ایک سہولت ہے، بلاکنگ پالیسی نہیں۔ جو انکار قاعدہ کبھی لاگ نہیں کرتا اسے خراب نیٹ ورک سے الگ نہیں پہچانا جا سکتا۔

ip route show table work

ہر SSID سے نیا کنکشن جانچیں، پھر ٹنل ہٹا کر دوبارہ جانچیں۔ گھر کو اپنا عام راستہ رکھنا چاہیے جبکہ کام بند حالت میں ناکام ہو۔ IPv6 الگ سے جانچیں، کیونکہ دو IPv4 ذیلی نیٹ اس بارے میں کچھ نہیں کہتے، اور پالیسی قواعد کا حوالہ اوپر استعمال شدہ منتخب کنندگان کو دستاویز کرتا ہے۔