Πώς να ελέγξετε αν ένας δορυφόρος Mesh Wi-Fi χρησιμοποιεί τον δρομολογητή VPN

Ένας δορυφόρος που απαντά στο ίδιο όνομα Wi-Fi με τον βασικό δρομολογητή δεν σας λέει σχεδόν τίποτα για το πού πάνε τα πακέτα των πελατών του. Ο κόμβος είναι ραδιόφωνο και γέφυρα μέχρι να αποδειχθεί το αντίθετο. Αυτό που καθορίζει την έξοδο είναι η προεπιλεγμένη πύλη που λαμβάνει κάθε πελάτης και η λειτουργία προώθησης του κόμβου μπροστά του. Κάντε αυτούς τους πέντε ελέγχους από τον πελάτη προς τα έξω και θα έχετε μια απάντηση που μπορείτε να υπερασπιστείτε, όχι μια εντύπωση από ένα τεστ ταχύτητας.

Διαβάστε την πύλη που έλαβε πραγματικά ο πελάτης

Στον πελάτη, εκτυπώστε τον πίνακα δρομολόγησης και τον πίνακα γειτόνων. Η προεπιλεγμένη διαδρομή ονομάζει τη διεύθυνση που προωθεί την κίνηση· η καταχώριση γείτονα ονομάζει τη MAC που κατέχει αυτή τη διεύθυνση. Χρησιμοποιήστε τον πελάτη και όχι τη λίστα συσκευών του δρομολογητή, γιατί μια λίστα συσκευών δείχνει συσχετίσεις, όχι διαδρομές.

ip route show default
ip -6 route show default
ip neigh show

Τα Windows εκτυπώνουν τα ίδια δεδομένα σε άλλη μορφή: ipconfig /all δίνει την προεπιλεγμένη πύλη και arp -a δίνει τη MAC. Στο macOS, route -n get default και arp -an καλύπτουν το ίδιο έδαφος.

Συγκρίνετε αυτή την πύλη με δύο διευθύνσεις που ήδη γνωρίζετε: τη διεύθυνση LAN του βασικού δρομολογητή και τη διεύθυνση διαχείρισης του δορυφόρου. Αν η πύλη είναι η διεύθυνση LAN του δρομολογητή, ο πελάτης είναι γεφυρωμένος προς τον δρομολογητή και η πολιτική του δρομολογητή για εκείνο το δίκτυο ισχύει αμετάβλητη. Αν η πύλη είναι η διεύθυνση του δορυφόρου, ο δορυφόρος δρομολογεί και ο δρομολογητής δεν βλέπει ποτέ τα πακέτα του πελάτη ως κίνηση LAN· η απόφαση πρέπει να παρθεί στον κόμβο, αλλιώς δεν παίρνεται καθόλου.

Επιβεβαιώστε σε ποια λειτουργία βρίσκεται πραγματικά ο κόμβος

Τα προϊόντα Mesh επαναχρησιμοποιούν τρεις λέξεις για διαφορετική συμπεριφορά, οπότε εμπιστευτείτε τη διαδρομή του πακέτου περισσότερο από την ετικέτα στην εφαρμογή. Η λειτουργία γέφυρας ή σημείου πρόσβασης προωθεί πλαίσια. Η λειτουργία δρομολογητή τερματίζει ένα υποδίκτυο και εκτελεί DHCP. Η λειτουργία επισκέπτη συνήθως τοποθετεί τους πελάτες σε ξεχωριστό VLAN με δικούς του κανόνες. Ένας κόμβος σε λειτουργία δρομολογητή πίσω από άλλο δρομολογητή είναι διπλό NAT, και οι πελάτες του φτάνουν στον δρομολογητή VPN ήδη μεταφρασμένοι, κάτι που ακυρώνει πολιτική βασισμένη στη διεύθυνση προέλευσης.

Για να προσδιορίσετε τη MAC, διαβάστε την ετικέτα στον κόμβο και συγκρίνετέ την με ip neigh. Οι κατασκευαστές τυπώνουν τη βασική MAC και παράγουν τις MAC κάθε ραδιοφώνου αυξάνοντας ένα byte, οπότε το τελευταίο δεκαεξαδικό ψηφίο διαφέρει· συγκρίνετε το πρόθεμα και όχι ολόκληρη τη διεύθυνση. Αν η MAC της πύλης ανήκει στη διεπαφή LAN του δρομολογητή, ο κόμβος δεν δρομολογεί για αυτόν τον πελάτη.

Αποδείξτε την έξοδο στον δρομολογητή, όχι με τεστ ταχύτητας

Η κατάσταση στην πλευρά του δρομολογητή είναι το μόνο σημείο που δείχνει τη μετάφραση. Στο OpenWrt, απαριθμήστε τους κανόνες πολιτικής και τους πίνακες δρομολόγησης και μετά επιβεβαιώστε ότι η σήραγγα έχει πρόσφατο handshake:

ip rule show
ip route show table all | grep default
wg show

Στο pfSense ή στο OPNsense τα ίδια στοιχεία βρίσκονται στο pfctl -sr για κανόνες, στο pfctl -ss για ενεργές καταστάσεις και στη σελίδα κατάστασης του WireGuard για μετρητές ομοτίμων, σύμφωνα με την τεκμηρίωση του πελάτη WireGuard. Φιλτράρετε τον πίνακα καταστάσεων με τη διεύθυνση του πελάτη. Αν η κατάσταση δείχνει τον πελάτη μεταφρασμένο στη διεύθυνση της σήραγγας, η κίνηση είναι μέσα στη σήραγγα· αν δείχνει τη διεύθυνση WAN, δεν είναι, ό,τι κι αν λέει το σήμα στο ταμπλό.

Ένα traceroute από τον πελάτη προσθέτει ένα γεγονός που ο πίνακας καταστάσεων δεν μπορεί να δώσει: το πρώτο άλμα. Αν το πρώτο άλμα είναι η διεύθυνση LAN του δρομολογητή, ο πελάτης έφτασε στον δρομολογητή απευθείας. Αν είναι η διεύθυνση του κόμβου και ακολουθεί άλλο ιδιωτικό άλμα, βρίσκεστε σε δρομολογούμενο τμήμα, και αυτό το δεύτερο άλμα είναι η συσκευή που πρέπει να κρατά την πολιτική.

Ελέγξτε τι διανέμει ο κόμβος εκτός από διεύθυνση

Οι επιλογές DHCP ταξιδεύουν με τη μίσθωση, οπότε ένας κόμβος με δικό του DHCP μπορεί να σερβίρει και δικό του DNS και δικές του αναγγελίες δρομολογητή IPv6. Ένας πελάτης μπορεί επομένως να βγαίνει μέσα από τη σήραγγα και παρόλα αυτά να στέλνει ερωτήματα σε έναν resolver στον κόμβο, ή να παίρνει μια καθολική διεύθυνση IPv6 που η πολιτική της σήραγγας δεν καλύπτει ποτέ. Εκτυπώστε και τα δύο στον πελάτη:

cat /etc/resolv.conf
ip -6 addr show scope global

Αν ο resolver είναι ο κόμβος και ο κόμβος προωθεί στον δρομολογητή, το DNS ακολουθεί τη σήραγγα. Αν ο κόμβος επιλύει τοπικά ή δείχνει στον resolver του παρόχου, τα ερωτήματα βγαίνουν έξω από τη σήραγγα ακόμη και όταν το HTTP δεν το κάνει. Το IPv6 αξίζει την ίδια δοκιμή: μια καθολική διεύθυνση μαζί με μια προεπιλεγμένη διαδρομή που παρακάμπτει τη σήραγγα είναι διαρροή, και το firmware του Mesh συχνά αφήνει το IPv6 ενεργό ενώ η πολιτική VPN καλύπτει μόνο IPv4.

Σπάστε τη σήραγγα επίτηδες και μετά γράψτε το αποτέλεσμα

Κατεβάστε τη σήραγγα και παρακολουθήστε έναν πελάτη συνδεδεμένο με αυτόν τον κόμβο, όχι έναν πελάτη δίπλα στον δρομολογητή. ping και ένα curl με σύντομο χρονικό όριο αρκούν· το ερώτημα είναι αν η κίνηση σταματά ή πέφτει πίσω στο WAN. Σταματήστε τη σήραγγα με την εντολή υπηρεσίας του ίδιου του δρομολογητή, για παράδειγμα wg-quick down wg0 ή με διακοπή της υπηρεσίας OpenVPN, και κρατήστε τη δοκιμή σύντομη.

Αν ο πελάτης συνεχίζει να λειτουργεί, ο κόμβος ή ο δρομολογητής αποτυγχάνει ανοιχτά για εκείνο το τμήμα, και το mesh ακύρωσε σιωπηλά τον διακόπτη ασφαλείας. Επαναφέρετε τη σήραγγα, επιβεβαιώστε ότι ο μετρητής handshake κινήθηκε και επαναλάβετε τον έλεγχο του πίνακα καταστάσεων από το τρίτο βήμα.

Καταγράψτε μία γραμμή ανά κόμβο: ετικέτα, SSID, διεύθυνση πύλης, πρόθεμα MAC, έξοδος επιβεβαιωμένη ναι ή όχι, IPv6 καλυμμένο και συμπεριφορά με κατεβασμένη τη σήραγγα. Η περιαγωγή είναι το σημείο όπου αλλάζει η απάντηση, οπότε δοκιμάστε τα δωμάτια που χρησιμοποιείτε πραγματικά. Όταν μια γραμμή διαφωνεί με τις υπόλοιπες, αυτός ο κόμβος είναι προς διερεύνηση, και η διόρθωση ανήκει στη συσκευή που κατέχει την πύλη εκείνης της γραμμής.