Wi-Fi funkcias tra la VPN de la enkursigilo. Kaj la kabligitaj pordoj?

La Wi-Fi-porteblo montras la eliran adreson de la VPN, kaj la kabligita laborstacio en la apuda ĉambro montras tiun de la provizanto. Ambaŭ estas ŝtopitaj en la sama enkursigilo, do la diferenco ne estas la VPN-agordo. La diferenco estas, kiun interfacon, VLAN aŭ politikon la trafiko efektive trapasis. Kovrado estas eco de ĉiu vojo aparte, ne eco de la skatolo.

Kompari la du klientojn flanko ĉe flanko trovas la diferencon pli rapide ol legi la regulojn de la enkursigilo.

Du vojoj al la sama enkursigilo

Enkursigilo kun VPN-kliento povas direkti trafikon el unu ponto, unu VLAN aŭ unu pordolisto kaj lasi la reston sur la WAN. Tio estas normala dezajno, kaj tial sukcesa sendrata testo pruvas nur la sendratan vojon. Administrata komutilo ankaŭ povas meti muran pordon sur alian segmenton ol la alirpunkto uzas, sen ke iu tuŝu la enkursigilon. Pordobazitaj politikoj estas la plej facile pretervideblaj, ĉar la pordo aspektas kiel parto de la sama LAN.

Sama aparataro, alia politiko. La fizika skatolo ne estas la limo, kiun vi opinias.

Komparu la pordegon, kiun ĉiu kliento efektive uzas

Sur la kabligita aparato legu la aktivan interfacon, ĝian adreson kaj ĝian defaŭltan pordegon. Sur maŝino kun samtempe aktiva Wi-Fi kaj Ethernet, la enkursiga metriko decidas kiu venkas, kaj ofte ĝi ne estas la atendita. Komparu tiun pordegon kun tiu, kiun uzis la sendrata kliento, kaj kontrolu al kiu enkursigila reto apartenas la komutila pordo. La recepto por WireGuard-kliento en pfSense montras, kiel unu enkursigilo povas posedi tunelon kaj lasi aliajn interfacojn trankvile.

Se la du pordegoj diferencas, vi havas la respondon antaŭ ol tuŝi eĉ unu fajroŝirman regulon.

Komparu DNS kaj IPv6 aparte

Kabligita kliento kun permane agordita solvilo povas tute preterpasi la DNS-politikon de la enkursigilo, eĉ kiam ĝia trafiko estas ĝuste direktita. IPv6 estas la alia duono: tunelo, kiu pritraktas nur IPv4, povas lasi IPv6-trafikon sur la denaska vojo. Testu nomdemandon kaj IPv6-celon de la kabligita aparato, ne nur kontrolon de IPv4-adreso. Uzu demandon, kiun nur la solvilo de la enkursigilo povus respondi, ekzemple internan gastigantnomon.

Ĉiu el tiuj estas aparta komparo, kaj ĉiu povas malsukcesi per si mem.

Komparu, kio okazas kiam la tunelo falas

Se la dezajno postulas aliron nur per VPN, haltigu la tunelon kaj testu la kabligitan klienton per sendanĝera trafiko. Kabligita aparato, kiu refalas al la normala WAN, restas interrete sed maltrafas la celitan vojon, kio ŝajnas sukceso al iu, kiu kontrolas nur konektecon. La sendrata kliento povas konduti alie, kaj ĝuste tiu diferenco estas la komparo inda.

Malsukcesa konduto estas parto de kovrado, ne randa kazo post ĝi.

Atribuu la rezulton al la ĝusta tavolo

VPN-kliento ĉe aparata nivelo aŭ retumila prokura servilo sur la kabligita maŝino povas ŝanĝi la mezuritan eliran adreson sendepende de la enkursigilo. Notu, kiuj tavoloj estis aktivaj dum la testo, alie sukcesa adresŝanĝo estos kreditita al la malĝusta pordego. La sama singardo validas por kaŝmemorigita rezulto de antaŭ la ŝanĝo.

Testu freŝan trafikon, notu la tavolojn, kaj skribu la segmenton kaj interfacon. Ĝuste tiu registro faras la sekvan komparon senchava anstataŭ plia konjekto.