Sut i wirio a yw lloeren Mesh Wi-Fi yn defnyddio’r llwybrydd VPN

Nid yw lloeren sy’n ateb yr un enw Wi-Fi â’r prif lwybrydd yn dweud fawr ddim am ble mae pecynnau ei chleientiaid yn mynd. Radio a phont yw’r nod nes profi fel arall. Y porth rhagosodedig y mae pob cleient yn ei gael a modd anfon y nod o’i flaen sy’n penderfynu’r allanfa. Gwnewch y pum gwiriad hyn o’r cleient tuag allan, a bydd gennych ateb y gallwch ei amddiffyn, nid argraff o brawf cyflymder.

Darllenwch y porth a gafodd y cleient mewn gwirionedd

Ar y cleient, printiwch y tabl llwybrau a’r tabl cymdogion. Mae’r llwybr rhagosodedig yn enwi’r cyfeiriad sy’n anfon traffig ymlaen; mae’r cofnod cymydog yn enwi’r MAC sy’n berchen ar y cyfeiriad hwnnw. Defnyddiwch y cleient, nid rhestr dyfeisiau’r llwybrydd, oherwydd mae rhestr dyfeisiau’n dangos cysylltiadau, nid llwybrau.

ip route show default
ip -6 route show default
ip neigh show

Mae Windows yn printio’r un ffeithiau ar ffurf wahanol: ipconfig /all sy’n rhoi’r porth rhagosodedig a arp -a sy’n rhoi’r MAC. Ar macOS, mae route -n get default a arp -an yn cwmpasu’r un peth.

Cymharwch y porth hwnnw â dau gyfeiriad rydych chi’n eu gwybod yn barod: cyfeiriad LAN y prif lwybrydd a chyfeiriad rheoli’r lloeren. Os y porth yw cyfeiriad LAN y llwybrydd, mae’r cleient wedi’i bontio i’r llwybrydd ac mae polisi’r llwybrydd ar gyfer y rhwydwaith hwnnw’n berthnasol heb newid. Os y porth yw cyfeiriad y lloeren, mae’r lloeren yn llwybro, ac nid yw’r llwybrydd byth yn gweld pecynnau’r cleient fel traffig LAN; rhaid i’r penderfyniad ddigwydd ar y nod, neu ni fydd yn digwydd o gwbl.

Cadarnhewch ym mha fodd y mae’r nod mewn gwirionedd

Mae cynnyrch Mesh yn ailddefnyddio tri gair ar gyfer ymddygiad gwahanol, felly ymddiriedwch yn llwybr y pecyn yn fwy nag yn y label yn yr ap. Mae modd pont neu bwynt mynediad yn anfon fframiau ymlaen. Mae modd llwybrydd yn terfynu is-rwydwaith ac yn rhedeg DHCP. Mae modd gwestai fel arfer yn rhoi cleientiaid mewn VLAN ar wahân â’i reolau ei hun. Mae nod mewn modd llwybrydd y tu ôl i lwybrydd arall yn NAT dwbl, ac mae ei gleientiaid yn cyrraedd y llwybrydd VPN eisoes wedi’u cyfieithu, sy’n tanseilio polisi sy’n seiliedig ar y cyfeiriad ffynhonnell.

I bennu’r MAC, darllenwch y label ar y nod a’i gymharu â ip neigh. Mae gweithgynhyrchwyr yn printio’r MAC sylfaenol ac yn deillio MAC pob radio drwy gynyddu beit, felly mae’r digid hecsadegol olaf yn wahanol; cymharwch y rhagddodiad yn hytrach na’r cyfeiriad cyfan. Os yw MAC y porth yn perthyn i ryngwyneb LAN y llwybrydd, nid yw’r nod yn llwybro ar gyfer y cleient hwnnw.

Profwch yr allanfa ar y llwybrydd, nid â phrawf cyflymder

Cyflwr ochr y llwybrydd yw’r unig le sy’n dangos y cyfieithiad. Ar OpenWrt, rhestrwch y rheolau polisi a’r tablau llwybro, yna cadarnhewch fod gan y twnnel handshake diweddar:

ip rule show
ip route show table all | grep default
wg show

Ar pfSense neu OPNsense mae’r un tystiolaeth yn pfctl -sr ar gyfer rheolau, pfctl -ss ar gyfer cyflyrau byw, ac ar dudalen statws WireGuard ar gyfer cyfrifwyr cymheiriaid, yn ôl dogfennaeth cleient WireGuard. Hidlwch y tabl cyflwr yn ôl cyfeiriad y cleient. Os yw’r cyflwr yn dangos y cleient wedi’i gyfieithu i gyfeiriad y twnnel, mae’r traffig yn y twnnel; os yw’n dangos y cyfeiriad WAN, nid yw, beth bynnag mae’r bathodyn ar y dangosfwrdd yn ei ddweud.

Mae traceroute o’r cleient yn ychwanegu un ffaith na all y tabl cyflwr ei rhoi: y naid gyntaf. Os mai’r naid gyntaf yw cyfeiriad LAN y llwybrydd, cyrhaeddodd y cleient y llwybrydd yn uniongyrchol. Os mai cyfeiriad y nod sydd yna, wedyn naid breifat arall, rydych chi ar segment wedi’i lwybro, a’r ail naid honno yw’r ddyfais sy’n gorfod dal y polisi.

Edrychwch beth arall mae’r nod yn ei ddosbarthu heblaw cyfeiriad

Mae opsiynau DHCP yn teithio gyda’r prydles, felly gall nod â’i DHCP ei hun ddosbarthu ei DNS ei hun a’i hysbysebion llwybrydd IPv6 ei hun hefyd. Gall cleient felly fynd allan drwy’r twnnel a dal i anfon ymholiadau at ddatrysiwr ar y nod, neu gael cyfeiriad IPv6 byd-eang nad yw polisi’r twnnel byth yn ei gwmpasu. Printiwch y ddau ar y cleient:

cat /etc/resolv.conf
ip -6 addr show scope global

Os y datrysiwr yw’r nod ac mae’r nod yn anfon ymlaen at y llwybrydd, mae DNS yn dilyn y twnnel. Os yw’r nod yn datrys yn lleol neu’n pwyntio at ddatrysiwr y darparwr, mae’r ymholiadau’n gadael y twnnel hyd yn oed pan nad yw HTTP yn gwneud hynny. Mae IPv6 yn haeddu’r un prawf: cyfeiriad byd-eang ynghyd â llwybr rhagosodedig sy’n osgoi’r twnnel yw gollyngiad, ac mae firmware Mesh yn aml yn gadael IPv6 ymlaen tra mai dim ond IPv4 y mae polisi VPN yn ei gwmpasu.

Torrwch y twnnel yn fwriadol, yna nodwch y canlyniad

Gostyngwch y twnnel ac arsylwch gleient sydd wedi’i gysylltu â’r nod hwnnw, nid cleient sy’n eistedd wrth ymyl y llwybrydd. ping a curl ag amser aros byr yn ddigon; y cwestiwn yw a yw’r traffig yn stopio neu’n disgyn yn ôl i’r WAN. Stopiwch y twnnel â gorchymyn gwasanaeth y llwybrydd ei hun, er enghraifft wg-quick down wg0 neu roi stop ar wasanaeth OpenVPN, a chadwch y prawf yn fyr.

Os yw’r cleient yn dal i weithio, mae’r nod neu’r llwybrydd yn methu ar agor ar gyfer y segment hwnnw, ac mae’r mesh wedi dadwneud y kill switch yn dawel. Dychwelwch y twnnel, cadarnhewch fod y cyfrifydd handshake wedi symud, ac ailadroddwch wiriad y tabl cyflwr o’r trydydd cam.

Nodwch un rhes y nod: label, SSID, cyfeiriad y porth, rhagddodiad MAC, allanfa wedi’i chadarnhau ie neu na, IPv6 wedi’i gwmpasu, ac ymddygiad gyda’r twnnel i lawr. Roaming yw’r lle mae’r ateb yn newid, felly profwch yr ystafelloedd rydych chi’n eu defnyddio mewn gwirionedd. Pan fydd un rhes yn anghytuno â’r lleill, y nod hwnnw sydd angen ei archwilio, ac mae’r cywiriad yn perthyn i’r ddyfais sy’n berchen ar borth y rhes honno.