كيف تتحقق من أن عقدة Mesh Wi-Fi تستخدم راوتر VPN
تتبّع البوابة الافتراضية ووضع إعادة التوجيه للعقدة وجدول الحالات في الراوتر لإثبات ما إذا كانت أجهزة عقدة Mesh تمر عبر VPN.
عقدة Mesh تجيب على اسم Wi-Fi نفسه الذي يجيب عليه الراوتر الأساسي لا تخبرك تقريبًا بشيء عن وجهة حزم عملائها. العقدة راديو وجسر حتى يثبت العكس. ما يحدد المخرج هو البوابة الافتراضية التي يحصل عليها كل عميل ووضع إعادة التوجيه للعقدة التي أمامه. نفّذ هذه الفحوص الخمسة من العميل إلى الخارج وستحصل على جواب يمكنك الدفاع عنه، لا على انطباع من اختبار سرعة.
اقرأ البوابة التي حصل عليها العميل فعلًا
على العميل، اطبع جدول المسارات وجدول الجيران. المسار الافتراضي يسمّي العنوان الذي يعيد توجيه الحركة؛ ومدخل الجار يسمّي عنوان MAC الذي يملك ذلك العنوان. استخدم العميل لا قائمة أجهزة الراوتر، لأن قائمة الأجهزة تُظهر الارتباطات لا المسارات.
ip route show default
ip -6 route show default
ip neigh showيعرض Windows الوقائع نفسها بشكل آخر: ipconfig /all يعطي البوابة الافتراضية و arp -a يعطي عنوان MAC. على macOS يغطي route -n get default و arp -an الشيء نفسه.
قارن تلك البوابة بعنوانين تعرفهما مسبقًا: عنوان LAN للراوتر الأساسي وعنوان إدارة العقدة. إذا كانت البوابة هي عنوان LAN للراوتر، فالعميل موصول بجسر إلى الراوتر، وتنطبق سياسة الراوتر على تلك الشبكة دون تغيير. وإذا كانت البوابة هي عنوان العقدة، فالعقدة تقوم بالتوجيه، ولن يرى الراوتر حزم العميل أبدًا كحركة LAN؛ ولا بد أن يُتخذ القرار على العقدة، وإلا فلن يُتخذ إطلاقًا.
تأكد من الوضع الذي تعمل به العقدة فعلًا
تعيد منتجات Mesh استخدام ثلاث كلمات لسلوكيات مختلفة، لذا ثق بمسار الحزمة أكثر من التسمية في التطبيق. وضع الجسر أو نقطة الوصول يعيد توجيه الإطارات. وضع الراوتر ينهي شبكة فرعية ويشغّل DHCP. وضع الضيف يضع العملاء عادة في VLAN منفصلة بقواعدها الخاصة. العقدة في وضع الراوتر خلف راوتر آخر تعني NAT مزدوجًا، وعملاؤها يصلون إلى راوتر VPN مترجمين سلفًا، وهذا يبطل سياسة تعتمد على عنوان المصدر.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
لتثبيت عنوان MAC، اقرأ الملصق على العقدة وقارنه بـ ip neigh. تطبع الشركات عنوان MAC الأساسي وتشتق عناوين MAC لكل راديو بزيادة بايت واحد، لذا تختلف آخر خانة ست عشرية؛ قارن البادئة لا العنوان كاملًا. وإذا كان عنوان MAC للبوابة يخص واجهة LAN في الراوتر، فالعقدة لا تقوم بالتوجيه لذلك العميل.
أثبت المخرج على الراوتر، لا باختبار سرعة
حالة الجانب الراوتر هي المكان الوحيد الذي يُظهر الترجمة. على OpenWrt، اسرد قواعد السياسة وجداول التوجيه، ثم أكّد أن النفق لديه مصافحة حديثة:
ip rule show
ip route show table all | grep default
wg showعلى pfSense أو OPNsense توجد الأدلة نفسها في pfctl -sr للقواعد، و pfctl -ss للحالات النشطة، وفي صفحة حالة WireGuard لعدّادات الأقران، وفقًا لـ توثيق عميل WireGuard. رشّح جدول الحالات حسب عنوان العميل. إذا أظهرت الحالة العميل مترجمًا إلى عنوان النفق، فالحركة داخل النفق؛ وإذا أظهرت عنوان WAN، فليست كذلك، مهما قال شارة لوحة التحكم.
يضيف traceroute من العميل حقيقة لا يستطيع جدول الحالات تقديمها: القفزة الأولى. إذا كانت القفزة الأولى عنوان LAN للراوتر، فقد وصل العميل إلى الراوتر مباشرة. وإذا كانت عنوان العقدة يتبعها قفزة خاصة أخرى، فأنت على مقطع موجّه، وتلك القفزة الثانية هي الجهاز الذي يجب أن يحمل السياسة.
تحقق مما توزعه العقدة إلى جانب العنوان
تسافر خيارات DHCP مع الإيجار، لذا يمكن لعقدة تخدم DHCP خاصًا بها أن تخدم DNS خاصًا بها وإعلانات راوتر IPv6 خاصة بها. لذلك يمكن للعميل أن يخرج عبر النفق ومع ذلك يرسل استعلامات إلى مُحلِّل على العقدة، أو يحصل على عنوان IPv6 عام لا تغطيه سياسة النفق أبدًا. اطبع الأمرين على العميل:
cat /etc/resolv.conf
ip -6 addr show scope globalإذا كان المُحلِّل هو العقدة وكانت العقدة تعيد التوجيه إلى الراوتر، فإن DNS يتبع النفق. وإذا حلّت العقدة محليًا أو أشارت إلى مُحلِّل المزوّد، فإن الاستعلامات تخرج خارج النفق حتى لو لم يخرج HTTP. ويستحق IPv6 الاختبار نفسه: عنوان عام مع مسار افتراضي يتجاوز النفق يعني تسريبًا، وكثيرًا ما يترك برنامج Mesh الثابت IPv6 مفعّلًا بينما تغطي سياسة VPN بروتوكول IPv4 فقط.
اقطع النفق عن قصد، ثم دوّن النتيجة
أنزل النفق وراقب عميلًا مرتبطًا بتلك العقدة، لا عميلًا بجوار الراوتر. ping و curl بمهلة قصيرة يكفيان؛ السؤال هو هل تتوقف الحركة أم تعود إلى WAN. أوقف النفق بأمر الخدمة في الراوتر نفسه، مثل wg-quick down wg0 أو إيقاف خدمة OpenVPN، واجعل الاختبار قصيرًا.
إذا استمر العميل في العمل، فالعقدة أو الراوتر يفشل مفتوحًا لذلك المقطع، وقد ألغت الشبكة Mesh مفتاح الإيقاف بهدوء. أعد النفق، وتأكد من أن عدّاد المصافحة تحرّك، وكرّر فحص جدول الحالات من الخطوة الثالثة.
دوّن صفًا واحدًا لكل عقدة: التسمية، SSID، عنوان البوابة، بادئة MAC، المخرج مؤكد نعم أم لا، IPv6 مغطى، والسلوك مع إيقاف النفق. التجوال هو المكان الذي تتغير فيه الإجابة، لذا اختبر الغرف التي تستخدمها فعلًا. وعندما يخالف صف واحد بقية الصفوف، تكون تلك العقدة هي موضع التحقيق، ويقع الإصلاح على الجهاز الذي يملك بوابة ذلك الصف.