Wi-Fi virker gennem routerens VPN. Hvad med de kablede porte?
En vellykket Wi-Fi-test beviser ikke, at en kablet port bruger samme politik. Sammenlign gateway, VLAN og DNS på den kablede enhed selv.
Wi-Fi-bærbaren viser VPN-ens udgangsadresse, og den kablede stationære i naborummet viser udbyderens. Begge er sat i den samme router, så forskellen er ikke VPN-konfigurationen. Det er, hvilken grænseflade, VLAN eller politik trafikken faktisk gik igennem. Dækning er en egenskab per vej, ikke en egenskab ved boksen.
At sammenligne de to klienter side om side finder forskellen hurtigere end at læse routerens regler.
To veje ind i den samme router
En router med VPN-klient kan styre trafik fra én bro, ét VLAN eller én portliste og lade resten blive på WAN. Det er et normalt design, og derfor beviser en vellykket trådløs test kun den trådløse vej. En administreret switch kan også sætte en vægport på et andet segment end det, adgangspunktet bruger, uden at nogen rører routeren. Portbaserede politikker er de nemmeste at overse, fordi porten ligner en del af det samme LAN.
Samme hardware, anden politik. Den fysiske boks er ikke den grænse, du tror.
Sammenlign den gateway, hver klient faktisk bruger
På den kablede enhed skal du læse den aktive grænseflade, dens adresse og dens standardgateway. På en maskine med både Wi-Fi og Ethernet oppe afgør routingmetrikken, hvem der vinder, og det er ofte ikke den, du forventer. Sammenlign den gateway med den, den trådløse klient brugte, og kontrollér, hvilket routernetværk switchporten hører til. Opskriften på WireGuard-klienten i pfSense viser, hvordan én router kan eje en tunnel og lade andre grænseflader være.
Hvis de to gateways er forskellige, har du svaret, før du rører en eneste firewallregel.
Sammenlign DNS og IPv6 hver for sig
En kablet klient med en manuelt konfigureret resolver kan helt omgå routerens DNS-politik, selv når dens trafik styres korrekt. IPv6 er den anden halvdel: en tunnel, der kun håndterer IPv4, kan lade IPv6-trafik blive på den oprindelige vej. Test et navneopslag og en IPv6-destination fra den kablede enhed, ikke kun et IPv4-adresstjek. Brug en forespørgsel, som kun routerens resolver kunne svare på, for eksempel et internt værtsnavn.
Hver af dem er en separat sammenligning, og hver af dem kan fejle på egen hånd.
Sammenlign hvad der sker, når tunnelen er nede
Hvis designet kræver adgang kun via VPN, stop tunnelen og test den kablede klient med harmløs trafik. En kablet enhed, der falder tilbage til den normale WAN, forbliver online, men rammer ikke den tilsigtede rute, hvilket ligner en succes for enhver, der kun tjekker forbindelsen. Den trådløse klient kan opføre sig anderledes, og netop den forskel er sammenligningen værd.
Fejlopførsel er en del af dækningen, ikke et randtilfælde bagefter.
Tildel resultatet til det rigtige lag
En VPN-klient på enhedsniveau eller en browserproxy på den kablede maskine kan ændre den målte udgangsadresse uafhængigt af routeren. Notér, hvilke lag der var aktive under testen, ellers bliver en vellykket adresseændring krediteret den forkerte gateway. Den samme forsigtighed gælder for et cachelagret resultat fra før ændringen.
Test frisk trafik, notér lagene, og skriv segment og grænseflade ned. Den registrering er det, der gør den næste sammenligning meningsfuld i stedet for endnu et gæt.