Hai SSID, hai lối ra: chính sách nào thắng ở đâu?

Hai SSID trên một cổng trông như hai mạng và không phải vậy, cho đến khi cổng xử lý chúng theo cách đó. Bộ phát vô tuyến chuyển cả hai vào cùng một cầu, trừ khi điểm truy cập ánh xạ mỗi SSID vào VLAN riêng. Và ngay cả khi có giao diện riêng, lưu lượng vẫn theo tuyến và chính sách tường lửa mà cổng áp dụng cho lối vào đó. SSID là nhãn; chính sách là thứ bạn ghi lại.

SSID không phải là chính sách

Đặt tên cho hai mạng và ghi các lối ra dự định trước khi chạm vào bộ định tuyến. Nhà đi ra WAN thông thường, Công việc đi vào giao diện VPN, và không bên nào thừa hưởng đường của bên kia. Nếu cả hai SSID cùng rơi vào một cầu không phân đoạn, các cái tên chưa tạo ra gì. Cây cầu phẳng đó là cách phổ biến nhất để thiết kế này thất bại trong im lặng.

Điểm truy cập phải trình bày chúng như các giao diện riêng, được gắn thẻ hoặc tách cầu. Đó là điều kiện tiên quyết, không phải chi tiết. Ghi lại ánh xạ trước quy tắc đầu tiên.

Phân loại theo giao diện vào

Phân loại tại điểm gói tin đi vào cổng. Bộ chọn giao diện vào trong một quy tắc chính sách tách biệt với tiền tố nguồn, và đó là cách trung thực để nói rằng lưu lượng này đến từ Công việc. Chỉ khớp địa chỉ nguồn cho phép một máy khách ở Công việc khai báo địa chỉ Nhà và đi theo đường của Nhà.

ip rule show

Cũng xác thực nguồn so với lối vào, để hai phép thử đồng ý thay vì mâu thuẫn. Một quy tắc chỉ kiểm tra một trong hai là nửa chính sách.

Giữ đường hầm của chính cổng ra ngoài

Giữ kết nối VPN bên ngoài của chính cổng trên lớp nền đang hoạt động. Một quy tắc viết cho các máy khách Công việc được chuyển tiếp không nên bắt đệ quy đường hầm chuyên chở chúng, vì đó là cách cổ điển để tạo một vòng lặp chỉ xuất hiện dưới tải. Miễn trừ đường ra cục bộ hoặc giới hạn quy tắc cho lưu lượng được chuyển tiếp. Kiểm tra trường hợp vòng lặp bằng một lần truyền lớn, không phải một ping.

Bản dịch cũng cần sự cẩn thận như vậy. Nếu lối ra VPN yêu cầu địa chỉ đường hầm của cổng làm nguồn, chỉ áp dụng điều đó cho các nguồn Công việc rời giao diện VPN. Bản dịch WAN thông thường của Nhà là phạm vi khác, và một quy tắc masquerade không có điều kiện không thể diễn đạt cả hai.

Viết cả hai quy tắc cạnh nhau, để cặp quy tắc hiện ra như một thiết kế chứ không phải hai dòng không liên quan. Một chú thích nêu nguồn và lối ra dự định là đủ.

Chủ động quyết định trạng thái thất bại

Quyết định điều gì xảy ra khi tuyến VPN biến mất. Với một mạng công việc, câu trả lời trung thực thường là từ chối: không quay về WAN thông thường, vì mục đích của SSID riêng là lưu lượng của nó không đi ra theo đường sai. Kết nối lại tự động là tiện lợi, không phải chính sách chặn. Một quy tắc từ chối không bao giờ ghi nhật ký thì không thể phân biệt với một mạng hỏng.

ip route show table work

Kiểm tra kết nối mới từ mỗi SSID, sau đó gỡ đường hầm và kiểm tra lại. Nhà nên giữ đường thông thường trong khi Công việc thất bại đóng. Kiểm tra IPv6 riêng, vì hai mạng con IPv4 không nói gì về điều đó, và tài liệu tham chiếu quy tắc chính sách ghi lại các bộ chọn được dùng ở trên.