Wi-Fi funguje přes VPN routeru. A kabelové porty?
Úspěšný test Wi-Fi nedokazuje, že kabelový port používá stejnou politiku. Porovnejte bránu, VLAN a DNS přímo na kabelovém zařízení.
Notebook na Wi-Fi ukazuje výstupní adresu VPN a kabelový počítač v sousední místnosti ukazuje adresu poskytovatele. Oba jsou zapojené do stejného routeru, takže rozdíl není v konfiguraci VPN. Rozdíl je v tom, přes které rozhraní, VLAN nebo politiku provoz skutečně prošel. Pokrytí je vlastnost každé cesty zvlášť, ne vlastnost krabice.
Porovnání obou klientů vedle sebe najde rozdíl rychleji než čtení pravidel routeru.
Dvě cesty do stejného routeru
Router s klientem VPN může směrovat provoz z jednoho bridge, jedné VLAN nebo jednoho seznamu portů a zbytek nechat na WAN. To je běžný návrh, a proto úspěšný bezdrátový test dokazuje jen bezdrátovou cestu. Spravovaný switch může také umístit nástěnný port do jiného segmentu, než používá přístupový bod, aniž by kdokoli sahal na router. Politiky založené na portech se přehlédnou nejsnáze, protože port vypadá jako součást stejné LAN.
Stejný hardware, jiná politika. Fyzická krabice není hranice, kterou si myslíte.
Porovnejte bránu, kterou každý klient skutečně používá
Na kabelovém zařízení si přečtěte aktivní rozhraní, jeho adresu a výchozí bránu. Na stroji s aktivním Wi-Fi i Ethernetem rozhoduje metrika směrování, kdo vyhraje, a často to není ten, kterého čekáte. Porovnejte tuto bránu s tou, kterou použil bezdrátový klient, a zkontrolujte, do které sítě routeru port switche patří. Recept na klienta WireGuard v pfSense ukazuje, jak jeden router může vlastnit tunel a ostatní rozhraní nechat být.
Pokud se obě brány liší, máte odpověď dřív, než se dotknete jediného pravidla firewallu.
Porovnejte DNS a IPv6 odděleně
Kabelový klient s ručně nastaveným resolverem může politiku DNS routeru úplně obejít, i když je jeho provoz správně směrován. IPv6 je druhá polovina: tunel, který zvládá jen IPv4, může nechat provoz IPv6 na nativní cestě. Otestujte dotaz na jméno a cíl IPv6 z kabelového zařízení, ne jen kontrolu adresy IPv4. Použijte dotaz, na který umí odpovědět jen resolver routeru, třeba interní jméno hostitele.
Každé z toho je samostatné porovnání a každé může selhat samo o sobě.
Porovnejte, co se stane, když tunel spadne
Pokud návrh vyžaduje přístup jen přes VPN, zastavte tunel a otestujte kabelového klienta neškodným provozem. Kabelové zařízení, které spadne zpět na běžnou WAN, zůstane online, ale mine zamýšlenou trasu, což každému, kdo kontroluje jen konektivitu, připadá jako úspěch. Bezdrátový klient se může chovat jinak a právě ten rozdíl stojí za porovnání.
Chování při selhání je součástí pokrytí, ne okrajový případ po něm.
Přiřaďte výsledek správné vrstvě
Klient VPN na úrovni zařízení nebo proxy v prohlížeči na kabelovém stroji může změnit měřenou výstupní adresu nezávisle na routeru. Zaznamenejte, které vrstvy byly během testu aktivní, jinak se úspěšná změna adresy přičte špatné bráně. Stejná opatrnost platí pro výsledek z mezipaměti z doby před změnou.
Testujte čerstvý provoz, poznamenejte vrstvy a zapište segment i rozhraní. Právě tento záznam dělá z dalšího porovnání něco smysluplného místo dalšího hádání.