El Wi-Fi funciona amb la VPN del router. I els ports cablejats?

L’ordinador portàtil per Wi-Fi mostra l’adreça de sortida de la VPN, i l’ordinador de sobretaula cablejat de la sala del costat mostra la de l’operadora. Tots dos estan connectats al mateix router, així que la diferència no és la configuració de la VPN. És quina interfície, VLAN o política ha travessat realment el trànsit. La cobertura és una propietat de cada camí, no una propietat de la caixa.

Comparar els dos clients costat a costat troba la diferència més de pressa que llegir les regles del router.

Dos camins cap al mateix router

Un router amb client VPN pot dirigir el trànsit d’un pont, d’una VLAN o d’una llista de ports i deixar la resta a la WAN. És un disseny normal, i per això una prova Wi-Fi correcta només demostra el camí Wi-Fi. Un commutador gestionat també pot posar un port de paret en un segment diferent del que fa servir el punt d’accés, sense que ningú toqui el router. Les polítiques basades en ports són les més fàcils de passar per alt, perquè el port sembla part de la mateixa LAN.

El mateix maquinari, una altra política. La caixa física no és la frontera que us penseu.

Compareu la porta d’enllaç que fa servir cada client

Al dispositiu cablejat, llegiu la interfície activa, la seva adreça i la seva porta d’enllaç per defecte. En una màquina amb Wi-Fi i Ethernet actius, la mètrica d’encaminament decideix qui guanya, i sovint no és la que espereu. Compareu aquesta porta d’enllaç amb la que va fer servir el client Wi-Fi, i comproveu a quina xarxa del router pertany el port del commutador. La recepta de client WireGuard de pfSense mostra com un sol router pot tenir un túnel i deixar la resta d’interfícies tranquil·les.

Si les dues portes d’enllaç difereixen, ja teniu la resposta abans de tocar una sola regla de tallafocs.

Compareu el DNS i l’IPv6 per separat

Un client cablejat amb un resolutor configurat a mà pot evitar del tot la política DNS del router, fins i tot quan el seu trànsit està ben dirigit. L’IPv6 és l’altra meitat: un túnel que només gestiona IPv4 pot deixar el trànsit IPv6 pel camí natiu. Proveu una consulta de nom i una destinació IPv6 des del dispositiu cablejat, no només una comprovació d’adreça IPv4. Feu servir una consulta que només el resolutor del router podria respondre, com ara un nom d’amfitrió intern.

Cada una d’aquestes és una comparació separada, i cada una pot fallar tota sola.

Compareu què passa quan el túnel cau

Si el disseny exigeix accés només per VPN, atureu el túnel i proveu el client cablejat amb trànsit innòcu. Un dispositiu cablejat que torna a la WAN normal continua en línia però perd la ruta prevista, cosa que a qui només comprova la connectivitat li sembla un èxit. El client Wi-Fi pot comportar-se diferent, i aquesta diferència és la comparació que val la pena.

El comportament davant d’un fallo forma part de la cobertura, no és un cas límit posterior.

Atribuïu el resultat a la capa correcta

Un client VPN a nivell de dispositiu o un proxy del navegador a la màquina cablejada poden canviar l’adreça de sortida mesurada sense dependre del router. Anoteu quines capes eren actives durant la prova, o un canvi d’adreça correcte s’atribuirà a la porta d’enllaç equivocada. La mateixa precaució val per a un resultat en memòria cau anterior al canvi.

Proveu trànsit nou, anoteu les capes i escriviu el segment i la interfície. Aquest registre és el que fa que la propera comparació tingui sentit en lloc de ser una altra suposició.