Wi-Fi töötab ruuteri VPN-i kaudu. Aga kaabelpordid?
Õnnestunud Wi-Fi-kontroll ei tõesta, et kaabelport kasutab sama poliitikat. Võrrelge lüüsi, VLAN-i ja DNS-i kaabelseadme enda peal.
Wi-Fi-sülearvuti näitab VPN-i väljumisaadressi ja kõrvaltoas olev kaabelarvuti näitab teenusepakkuja aadressi. Mõlemad on ühendatud sama ruuteriga, seega erinevus ei ole VPN-i seadistuses. Erinevus on selles, millise liidese, VLAN-i või poliitika kaudu liiklus tegelikult läks. Katvus on iga tee eraldi omadus, mitte karbi omadus.
Kahe kliendi kõrvuti võrdlemine leiab erinevuse kiiremini kui ruuteri reeglite lugemine.
Kaks teed samasse ruuterisse
VPN-kliendiga ruuter saab suunata liiklust ühest sillast, ühest VLAN-ist või ühest pordiloendist ning jätta ülejäänu WAN-i. See on tavaline lahendus ja seetõttu tõestab õnnestunud juhtmeta test ainult juhtmeta teed. Hallatav kommutaator võib panna seinapordi teise segmenti kui see, mida pääsupunkt kasutab, ilma et keegi ruuterit puudutaks. Pordipõhiseid poliitikaid on kõige lihtsam märkamata jätta, sest port näeb välja nagu sama LAN-i osa.
Sama riistvara, teine poliitika. Füüsiline karp ei ole piir, milleks te seda peate.
Võrrelge lüüsi, mida iga klient tegelikult kasutab
Lugege kaabelseadmel aktiivne liides, selle aadress ja vaikelüüs. Masinas, kus töötavad korraga Wi-Fi ja Ethernet, otsustab marsruutimise mõõdik, kumb võidab, ja sageli ei ole see see, mida ootate. Võrrelge seda lüüsi juhtmeta kliendi kasutatud lüüsiga ja kontrollige, millisesse ruuteri võrku kommutaatori port kuulub. WireGuardi kliendi retsept pfSense-is näitab, kuidas üksik ruuter saab omada tunnelit ja jätta teised liidesed rahule.
Kui kaks lüüsi erinevad, on vastus käes enne, kui puudutate ühtegi tulemüürireeglit.
Võrrelge DNS-i ja IPv6-t eraldi
Käsitsi seadistatud resolveriga kaabelklient saab ruuteri DNS-poliitikast täielikult mööda minna, isegi kui selle liiklust suunatakse õigesti. IPv6 on teine pool: tunnel, mis käsitleb ainult IPv4-t, võib jätta IPv6 liikluse päris teele. Testige kaabelseadmest nimepäringut ja IPv6 sihtkohta, mitte ainult IPv4-aadressi kontrolli. Kasutage päringut, millele ainult ruuteri resolver saaks vastata, näiteks sisemist hostinime.
Igaüks neist on eraldi võrdlus ja igaüks võib iseseisvalt ebaõnnestuda.
Võrrelge, mis juhtub, kui tunnel katkeb
Kui lahendus nõuab ainult VPN-i kaudu juurdepääsu, peatage tunnel ja testige kaabelklienti kahjutu liiklusega. Tavalisse WAN-i tagasi langev kaabelseade jääb võrku, kuid möödub kavandatud marsruudist, mis näib kõigile, kes kontrollivad ainult ühenduvust, õnnestumisena. Juhtmeta klient võib käituda teisiti ja just see erinevus on võrdlemist väärt.
Rikke käitumine on osa katvusest, mitte piirjuhtum pärast seda.
Omistage tulemus õigele kihile
Seadmetasandi VPN-klient või brauseri puhverserver kaabelmasinas saab mõõdetud väljumisaadressi ruuterist sõltumatult muuta. Kirjutage üles, millised kihid olid testi ajal aktiivsed, muidu omistatakse õnnestunud aadressimuudatus valele lüüsile. Sama ettevaatlikkus kehtib enne muudatust vahemällu salvestatud tulemuse kohta.
Testige värsket liiklust, märkige kihid ning kirjutage segment ja liides üles. Just see kirje teeb järgmise võrdluse sisukaks, mitte veel üheks oletuseks.