Wi-Fi werk deur die router se VPN. En die bekabelde poorte?

Die Wi-Fi-draagbare rekenaar wys die VPN se uitgangsadres, en die bekabelde rekenaar in die volgende vertrek wys dié van die ISP. Albei is op dieselfde router ingeprop, so die verskil is nie die VPN-konfigurasie nie. Dit is watter koppelvlak, VLAN of beleid die verkeer werklik deurkruis het. Dekking is ’n eienskap per pad, nie ’n eienskap van die boks nie.

Om die twee kliënte langs mekaar te vergelyk vind die verskil vinniger as om die router se reëls te lees.

Twee paaie na dieselfde router

’n Router met ’n VPN-kliënt kan verkeer van een brug, een VLAN of een poortlys stuur en die res op die WAN laat. Dit is ’n normale ontwerp, en dit is hoekom ’n geslaagde draadlose toets net die draadlose pad bewys. ’n Bestuurde skakelaar kan ook ’n muurpoort op ’n ander segment plaas as dié wat die toegangspunt gebruik, sonder dat iemand aan die router raak. Poortgebaseerde beleide is die maklikste om mis te kyk, want die poort lyk soos deel van dieselfde LAN.

Dieselfde hardeware, ander beleid. Die fisiese boks is nie die grens wat jy dink dit is nie.

Vergelyk die gateway wat elke kliënt werklik gebruik

Lees op die bekabelde toestel die aktiewe koppelvlak, sy adres en sy verstekgateway. Op ’n masjien waar Wi-Fi en Ethernet albei aktief is, besluit die roetemetriek watter een wen, en dit is dikwels nie die een wat jy verwag nie. Vergelyk daardie gateway met die een wat die draadlose kliënt gebruik het, en kyk by watter routernetwerk die skakelaarpoort hoort. Die pfSense WireGuard-kliëntresep wys hoe ’n enkele router ’n tonnel kan besit terwyl ander koppelvlakke onaangeraak bly.

As die twee gateways verskil, het jy die antwoord voordat jy aan ’n enkele firewallreël raak.

Vergelyk DNS en IPv6 afsonderlik

’n Bekabelde kliënt met ’n handmatig opgestelde oplosser kan die router se DNS-beleid heeltemal omseil, selfs wanneer sy verkeer korrek gestuur word. IPv6 is die ander helfte: ’n tonnel wat net IPv4 hanteer, kan IPv6-verkeer op die oorspronklike pad laat. Toets ’n naamnavraag en ’n IPv6-bestemming vanaf die bekabelde toestel, nie net ’n IPv4-adrestoets nie. Gebruik ’n navraag wat net die router se oplosser kon beantwoord, soos ’n interne gasheernaam.

Elkeen daarvan is ’n aparte vergelyking, en elkeen kan op sy eie misluk.

Vergelyk wat gebeur wanneer die tonnel af is

As die ontwerp net-VPN-toegang vereis, stop die tonnel en toets die bekabelde kliënt met skadelose verkeer. ’n Bekabelde toestel wat na die gewone WAN terugval, bly aanlyn terwyl dit die beoogde roete mis, wat vir enigiemand wat net konnektiwiteit nagaan soos sukses lyk. Die draadlose kliënt kan anders optree, en daardie verskil is die vergelyking wat die moeite werd is.

Faalgedrag is deel van dekking, nie ’n randgeval daarna nie.

Ken die resultaat aan die regte laag toe

’n VPN-kliënt op toestelvlak of ’n blaaierproxy op die bekabelde masjien kan die gemete uitgangsadres onafhanklik van die router verander. Teken aan watter lae tydens die toets aktief was, anders word ’n geslaagde adresverandering aan die verkeerde gateway toegeskryf. Dieselfde versigtigheid geld vir ’n gekasde resultaat van voor die verandering.

Toets vars verkeer, let op die lae, en skryf die segment en koppelvlak neer. Daardie rekord is wat die volgende vergelyking betekenisvol maak in plaas van nog ’n raaiskoot.