Ikki SSID, ikki chiqish: qaysi siyosat qayerda g'alaba qozonadi?

Bitta shlyuzdagi ikki SSID ikki tarmoqqa o'xshaydi va shlyuz ularga shunday munosabatda bo'lmaguncha ikki tarmoq emas. Radio ikkalasini ham bir ko'prikka beradi, agar kirish nuqtasi har bir SSID'ni o'z VLAN'iga bog'lamasa. Va alohida interfeyslar bo'lsa ham, trafik shlyuz o'sha kirishga qo'llaydigan marshrut va xavfsizlik devori siyosatiga bo'ysunadi. SSID — yorliq; siyosat — siz yozib qo'yadigan narsa.

SSID siyosat emas

Marshrutizatorga tegishdan oldin ikki tarmoqni nomlang va ularning mo'ljallangan chiqishlarini yozib qo'ying. Uy odatdagi WAN'ga chiqadi, Ish VPN interfeysiga chiqadi va hech biri ikkinchisining yo'lini meros qilib olmaydi. Agar ikki SSID bitta bo'linmagan ko'prikka tushsa, nomlar hech narsa yaratmagan. O'sha tekis ko'prik bu loyihaning jimgina muvaffaqiyatsiz bo'lishining eng keng tarqalgan yo'li.

Kirish nuqtasi ularni alohida interfeyslar sifatida taqdim etishi kerak, teglangan yoki alohida ko'priklangan. Bu shart, tafsilot emas. Xaritalashni birinchi qoidadan oldin yozing.

Kirish interfeysi bo'yicha tasniflang

Paket shlyuzga kirgan nuqtada tasniflang. Siyosat qoidasidagi kirish interfeysi tanlagichi manba prefiksidan alohida va bu trafik Ishdan kelganini aytishning halol yo'li. Faqat manba manziliga moslashtirish Ishdagi mijozga Uy manzilini da'vo qilib, Uy yo'lini olishga imkon beradi.

ip rule show

Manbani kirishga nisbatan ham tekshiring, shunda ikki sinov bir-biriga zid bo'lmay, mos keladi. Ulardan faqat birini tekshiradigan qoida siyosatning yarmi.

Shlyuzning o'z tunnelini bundan tashqarida tuting

Shlyuzning o'z tashqi VPN ulanishini ishlaydigan pastki qatlamda tuting. Ishning yo'naltirilgan mijozlari uchun yozilgan qoida ularni tashuvchi tunnelni rekursiv ushlamasligi kerak, chunki faqat yuk ostida ko'rinadigan halqa qurishning klassik yo'li shu. Mahalliy chiqish yo'lini istisno qiling yoki qoidani yo'naltirilgan trafik bilan cheklang. Halqa holatini bitta ping bilan emas, katta uzatish bilan sinab ko'ring.

Tarjima ham xuddi shunday ehtiyotkorlikni talab qiladi. Agar VPN chiqishi manba sifatida shlyuzning tunnel manzilini talab qilsa, buni faqat VPN interfeysidan chiqadigan Ish manbalariga qo'llang. Uyning odatdagi WAN tarjimasi boshqa doiradir va bitta shartsiz masquerade qoidasi ikkalasini ifodalay olmaydi.

Ikki qoidani yonma-yon yozing, shunda juftlik ikki aloqasiz satr emas, dizayn sifatida ko'rinadi. Manba va mo'ljallangan chiqishni nomlaydigan izoh yetarli.

Muvaffaqiyatsizlik holatini ataylab hal qiling

VPN marshruti yo'qolganda nima bo'lishini hal qiling. Ish tarmog'i uchun halol javob odatda rad etish: odatdagi WAN'ga qaytish yo'q, chunki alohida SSID'ning maqsadi uning trafigi noto'g'ri yo'ldan chiqmasligidir. Avtomatik qayta ulanish qulaylik, bloklash siyosati emas. Hech qachon jurnalga yozmaydigan rad etish qoidasini buzilgan tarmoqdan ajratib bo'lmaydi.

ip route show table work

Har bir SSID'dan yangi ulanishni sinab ko'ring, so'ng tunnelni olib tashlab yana sinang. Uy odatdagi yo'lini saqlab qolishi, Ish esa yopiq holda muvaffaqiyatsiz bo'lishi kerak. IPv6'ni alohida tekshiring, chunki ikki IPv4 quyi tarmog'i bu haqda hech narsa demaydi va siyosat qoidalari ma'lumotnomasi yuqorida ishlatilgan tanlagichlarni hujjatlashtiradi.