Wi-Fi radi kroz VPN rutera. A žičani portovi?

Laptop na Wi-Fi pokazuje izlaznu adresu VPN-a, a žičani desktop u susjednoj sobi pokazuje adresu provajdera. Oba su uključena u isti ruter, pa razlika nije u VPN konfiguraciji. Razlika je kroz koje je interfejs, VLAN ili politiku saobraćaj zaista prošao. Pokrivenost je svojstvo svakog puta pojedinačno, a ne svojstvo kutije.

Uporedno gledanje dva klijenta brže nalazi razliku od čitanja ruterovih pravila.

Dva puta do istog rutera

Ruter s VPN klijentom može usmjeriti saobraćaj s jednog bridgea, jednog VLAN-a ili jedne liste portova i ostaviti ostatak na WAN-u. To je normalan dizajn i zato uspješan bežični test dokazuje samo bežični put. Upravljani switch može i zidni port staviti u drugi segment od onog koji koristi pristupna točka, bez da iko dira ruter. Politike zasnovane na portovima najlakše se propuštaju, jer port izgleda kao dio istog LAN-a.

Isti hardver, druga politika. Fizička kutija nije granica koju mislite da jeste.

Uporedite gateway koji svaki klijent stvarno koristi

Na žičanom uređaju pročitajte aktivni interfejs, njegovu adresu i zadani gateway. Na mašini s uključenim i Wi-Fi i Ethernet, metrika rutiranja odlučuje ko pobjeđuje, a to često nije ono što očekujete. Uporedite taj gateway s onim koji je koristio bežični klijent i provjerite kojoj ruterovoj mreži pripada port switcha. Recept za WireGuard klijenta u pfSense-u pokazuje kako jedan ruter može imati tunel, a ostaviti druge interfejse na miru.

Ako se dva gatewaya razlikuju, imate odgovor prije nego dotaknete i jedno firewall pravilo.

Uporedite DNS i IPv6 odvojeno

Žičani klijent s ručno podešenim resolverom može potpuno zaobići ruterovu DNS politiku, čak i kad je njegov saobraćaj ispravno usmjeren. IPv6 je druga polovina: tunel koji obrađuje samo IPv4 može ostaviti IPv6 saobraćaj na izvornom putu. Testirajte upit imena i IPv6 odredište sa žičanog uređaja, ne samo provjeru IPv4 adrese. Koristite upit na koji samo ruterov resolver može odgovoriti, poput internog imena hosta.

Svako od toga je zasebno poređenje i svako može pasti samo za sebe.

Uporedite šta se dešava kad je tunel pao

Ako dizajn zahtijeva pristup samo preko VPN-a, zaustavite tunel i testirajte žičani klijent bezopasnim saobraćajem. Žičani uređaj koji se vrati na obični WAN ostaje online, ali promašuje predviđenu rutu, što svakome ko provjerava samo konektivnost izgleda kao uspjeh. Bežični klijent može se ponašati drugačije, a ta razlika je poređenje koje vrijedi napraviti.

Ponašanje pri otkazu dio je pokrivenosti, a ne rubni slučaj poslije nje.

Pripšite rezultat pravom sloju

VPN klijent na nivou uređaja ili proxy u pregledniku na žičanoj mašini može promijeniti izmjerenu izlaznu adresu neovisno od rutera. Zabilježite koji su slojevi bili aktivni tokom testa, inače se uspješna promjena adrese pripisuje pogrešnom gatewayu. Isti oprez vrijedi i za keširani rezultat od prije promjene.

Testirajte svjež saobraćaj, zabilježite slojeve i zapišite segment i interfejs. Taj zapis je ono što sljedeće poređenje čini smislenim umjesto još jedne pretpostavke.