Wi-Fi працуе праз VPN роўтара. А правадныя парты?
Паспяховая праверка Wi-Fi не даказвае, што правадны порт выкарыстоўвае тую ж палітыку. Параўнайце шлюз, VLAN і DNS на самой правадной прыладзе.
Наўтбук з Wi-Fi паказвае выходны адрас VPN, а правадны камп’ютар у суседнім пакоі паказвае адрас правайдэра. Абодва падключаны да аднаго роўтара, таму розніца не ў наладах VPN. Розніца ў тым, праз які інтэрфейс, VLAN або палітыку трафік сапраўды прайшоў. Пакрыццё — гэта ўласцівасць кожнага шляху, а не ўласцівасць скрыні.
Параўнанне двух кліентаў побач знаходзіць розніцу хутчэй, чым чытанне правілаў роўтара.
Два шляхі да аднаго роўтара
Роўтар з кліентам VPN можа накіроўваць трафік з аднаго маста, аднаго VLAN або аднаго спісу партоў, а астатняе пакідаць у WAN. Гэта звычайны дызайн, і менавіта таму паспяховая праверка па Wi-Fi даказвае толькі шлях праз Wi-Fi. Кіраваны камутатар таксама можа змясціць насценны порт у іншы сегмент, чым той, які выкарыстоўвае кропка доступу, і нікому не трэба чапаць роўтар. Палітыкі на аснове партоў прапусціць лягчэй за ўсё, бо порт выглядае як частка таго ж LAN.
Тое ж абсталяванне, іншая палітыка. Фізічная скрыня — не тая мяжа, пра якую вы думаеце.
Параўнайце шлюз, які фактычна выкарыстоўвае кожны кліент
На правадной прыладзе прачытайце актыўны інтэрфейс, яго адрас і шлюз па змаўчанні. На машыне, дзе адначасова ўключаны Wi-Fi і Ethernet, метрыка маршрутызацыі вырашае, хто пераможа, і часта гэта не той, каго вы чакаеце. Параўнайце гэты шлюз з тым, які выкарыстоўваў кліент Wi-Fi, і праверце, да якой сеткі роўтара належыць порт камутатара. Рэцэпт кліента WireGuard у pfSense паказвае, як адзін роўтар можа трымаць тунэль, пакідаючы іншыя інтэрфейсы без змен.
Калі шлюзы розныя, вы маеце адказ, перш чым дакрануцца да хоць аднаго правіла фаервола.
Параўнайце DNS і IPv6 асобна
Правадны кліент з рэзалверам, наладжаным уручную, можа цалкам абыйсці палітыку DNS роўтара, нават калі яго трафік накіраваны правільна. IPv6 — другая палова: тунэль, які апрацоўвае толькі IPv4, можа пакінуць трафік IPv6 на звычайным шляху. Праверце запыт імя і адрасат IPv6 з правадной прылады, а не толькі праверку адраса IPv4. Выкарыстайце запыт, на які можа адказаць толькі рэзалвер роўтара, напрыклад унутранае імя хоста.
Кожнае з гэтага — асобнае параўнанне, і кожнае можа не ўдацца само па сабе.
Параўнайце, што адбываецца, калі тунэль не працуе
Калі дызайн патрабуе доступу толькі праз VPN, спыніце тунэль і праверце правадны кліент бяспечным трафікам. Правадная прылада, якая вяртаецца да звычайнага WAN, застаецца ў сетцы, але губляе патрэбны маршрут, і гэта выглядае як поспех для таго, хто правярае толькі злучанасць. Кліент Wi-Fi можа паводзіць сябе інакш, і менавіта гэтая розніца вартая параўнання.
Паводзіны пры адмове — частка пакрыцця, а не памежны выпадак пасля яго.
Аднясіце вынік да правільнага ўзроўню
Кліент VPN на ўзроўні прылады або проксі браўзера на правадной машыне можа змяніць вымераны выходны адрас незалежна ад роўтара. Запішыце, якія ўзроўні былі актыўныя падчас тэсту, інакш паспяховая змена адраса будзе залічана не таму шлюзу. Тая ж асцярога тычыцца кэшаванага выніку, атрыманага да змены.
Тэстуйце свежы трафік, адзначце ўзроўні і запішыце сегмент і інтэрфейс. Менавіта гэты запіс робіць наступнае параўнанне значным, а не чарговым здагадкай.