Wi-Fi работи през VPN на рутера. А кабелните портове?

Лаптопът по Wi-Fi показва изходния адрес на VPN, а кабелният настолен компютър в съседната стая показва адреса на доставчика. И двете са включени в един и същ рутер, така че разликата не е в конфигурацията на VPN. Разликата е през кой интерфейс, VLAN или политика е минал трафикът. Покритието е свойство на всеки път поотделно, а не свойство на кутията.

Сравняването на двата клиента един до друг открива разликата по-бързо от четенето на правилата на рутера.

Два пътя към един и същ рутер

Рутер с VPN клиент може да насочи трафик от един бридж, един VLAN или един списък с портове и да остави останалото във WAN. Това е нормален дизайн и затова успешният тест по Wi-Fi доказва само пътя по Wi-Fi. Управляван суич също може да постави стенен порт в различен сегмент от този на точката за достъп, без никой да пипа рутера. Политиките, базирани на портове, се пропускат най-лесно, защото портът изглежда част от същата LAN.

Същият хардуер, различна политика. Физическата кутия не е границата, която мислите, че е.

Сравнете шлюза, който всеки клиент реално използва

На кабелното устройство прочетете активния интерфейс, адреса му и шлюза по подразбиране. На машина с активни Wi-Fi и Ethernet метриката на маршрутизацията решава кой печели и често това не е очакваният. Сравнете този шлюз с този, който е използвал клиентът по Wi-Fi, и проверете към коя мрежа на рутера принадлежи портът на суича. Рецептата за WireGuard клиент в pfSense показва как един рутер може да притежава тунел, без да пипа другите интерфейси.

Ако двата шлюза се различават, имате отговора, преди да докоснете дори едно правило на защитната стена.

Сравнете DNS и IPv6 поотделно

Кабелен клиент с ръчно зададен резолвер може напълно да заобиколи DNS политиката на рутера, дори когато трафикът му е насочен правилно. IPv6 е другата половина: тунел, който обработва само IPv4, може да остави трафика по IPv6 по естествения път. Тествайте заявка за име и дестинация по IPv6 от кабелното устройство, а не само проверка на IPv4 адрес. Използвайте заявка, на която само резолверът на рутера може да отговори, например вътрешно име на хост.

Всяко от тях е отделно сравнение и всяко може да се провали самостоятелно.

Сравнете какво става, когато тунелът е спрян

Ако дизайнът изисква достъп само през VPN, спрете тунела и тествайте кабелния клиент с безобиден трафик. Кабелно устройство, което се връща към обикновения WAN, остава онлайн, но пропуска предвидения маршрут, което изглежда като успех за всеки, който проверява само свързаността. Клиентът по Wi-Fi може да се държи различно и точно тази разлика си струва сравнението.

Поведението при отказ е част от покритието, а не граничен случай след него.

Отнесете резултата към правилния слой

VPN клиент на ниво устройство или прокси в браузъра на кабелната машина може да промени измерения изходен адрес независимо от рутера. Запишете кои слоеве са били активни по време на теста, иначе успешна промяна на адреса се приписва на грешния шлюз. Същото внимание важи и за кеширан резултат отпреди промяната.

Тествайте свеж трафик, отбележете слоевете и запишете сегмента и интерфейса. Този запис е това, което прави следващото сравнение смислено, вместо поредното предположение.