Mesh Wi-Fi satelite batek VPN routerra erabiltzen duen egiaztatzeko modua

Oinarrizko routerraren Wi-Fi izen berari erantzuten dion satelite batek ia ezer ez du esaten bere bezeroen paketeak nora doazen. Nodoa irrati bat eta zubi bat da, kontrakoa frogatu arte. Irteera lehenetsitako ateak eta haren aurrean dagoen nodoaren birbidaltze moduak erabakitzen dute. Egin bost egiaztapen hauek bezerotik kanpora eta defenda dezakezun erantzun bat izango duzu, abiadura-proba baten inpresioa beharrean.

Irakurri bezeroak benetan jaso duen atea

Bezeroan, inprimatu bide-taulak eta bizilagun-taula. Bide lehenetsiak trafikoa birbidaltzen duen helbidea izendatzen du; bizilagun-sarrerak helbide horren jabe den MACa izendatzen du. Erabili bezeroa, ez routerraren gailu-zerrenda, zeren gailu-zerrendak loturak erakusten baititu, ez bideak.

ip route show default
ip -6 route show default
ip neigh show

Windowsek gertaera berberak beste modu batera inprimatzen ditu: ipconfig /all lehenetsitako atea ematen du eta arp -a MACa ematen du. macOS-en, route -n get default eta arp -an berdin balio dute.

Konparatu ate hori jadanik ezagutzen dituzun bi helbideekin: oinarrizko routerraren LAN helbidea eta satelitearen kudeaketa helbidea. Atea routerraren LAN helbidea bada, bezeroa routerrera zubituta dago eta routerraren politika sare horretarako aldaketarik gabe aplikatzen da. Atea satelitearen helbidea bada, satelitea bideratzen ari da eta routerrak ez ditu inoiz bezeroaren paketeak LAN trafiko gisa ikusten; erabakia nodoan hartu behar da, bestela ez da hartzen.

Egiaztatu nodoa zein modutan dagoen benetan

Mesh produktuek hiru hitz berrerabiltzen dituzte portaera desberdinetarako, beraz fidatu paketearen bideaz aplikazioko etiketaz baino gehiago. Zubi edo sarbide-puntu moduak markoak birbidaltzen ditu. Router moduak azpisare bat amaitzen du eta DHCP exekutatzen du. Gonbidatu moduak bezeroak VLAN bereizi batean jartzen ditu normalean, bere arauekin. Beste router baten atzean router moduan dagoen nodoa NAT bikoitza da, eta bere bezeroak VPN routerrera jada itzulita iristen dira, eta horrek iturburu-helbidean oinarritutako politika ahultzen du.

MACa zehazteko, irakurri nodoaren etiketa eta alderatu honekin: ip neigh. Fabrikatzaileek oinarrizko MACa inprimatzen dute eta radio bakoitzaren MACa byte bat gehituz lortzen dute, beraz azken digitu hexadezimala desberdina da; konparatu aurrizkia, ez helbide osoa. Atearen MACa routerraren LAN interfazearena bada, nodoak ez du bezero horrentzat bideratzen.

Frogatu irteera routerrean, ez abiadura-proba batekin

Routerraren aldeko egoera da itzulpena erakusten duen toki bakarra. OpenWrt-n, zerrendatu politikako arauak eta bide-taulak, eta gero egiaztatu tunelak duela gutxiko handshake bat duela:

ip rule show
ip route show table all | grep default
wg show

pfSense edo OPNsense-n froga berberak hemen daude: pfctl -sr arauetarako, pfctl -ss egoera aktiboetarako eta WireGuard-en egoera-orrian pare-kontagailuetarako, honen arabera: WireGuard bezeroaren dokumentazioa. Iragazi egoera-taula bezeroaren helbidearen arabera. Egoerak bezeroa tunelaren helbidera itzulita erakusten badu, trafikoa tunelaren barruan dago; WAN helbidea erakusten badu, ez dago, paneleko ikurrak esan dezala nahi duena.

Bezerotik egindako traceroute batek egoera-taulak eman ezin duen gertaera bat gehitzen du: lehen jauzia. Lehen jauzia routerraren LAN helbidea bada, bezeroa zuzenean iritsi zaio routerrari. Nodoaren helbidea bada eta gero beste jauzi pribatu bat badator, bideratutako segmentu batean zaude, eta bigarren jauzi hori politika eduki behar duen gailua da.

Begiratu nodoak helbideaz gain zer banatzen duen

DHCP aukerak maizterrarekin batera doaz, beraz bere DHCP propioa ematen duen nodo batek bere DNSa eta bere IPv6 router-iragarkiak ere eman ditzake. Beraz, bezeroa tunelaren bidez irten daiteke eta, hala ere, nodoko resolver batera kontsultak bidali, edo tunelaren politikak inoiz estaltzen ez duen IPv6 helbide global bat jaso. Inprimatu biak bezeroan:

cat /etc/resolv.conf
ip -6 addr show scope global

Resolverra nodoa bada eta nodoak routerrera birbidaltzen badu, DNSak tunela jarraitzen du. Nodoak tokian bertan ebazten badu edo hornitzailearen resolverrera seinalatzen badu, kontsultak tunelaren kanpora irteten dira HTTPk egiten ez duenean ere. IPv6k proba bera merezi du: helbide global bat eta tunela saihesten duen bide lehenetsi bat ihesa dira, eta Mesh firmwareak IPv6 piztuta uzten du sarritan VPN politikak IPv4 bakarrik estaltzen duenean.

Hautsi tunela nahita, eta gero idatzi emaitza

Jaitsi tunela eta behatu nodo horri lotutako bezero bat, ez routerraren ondoan eseritako bezero bat. ping eta curl itxaron-denbora laburrarekin nahikoa dira; galdera da trafikoa gelditzen den ala WANera itzultzen den. Gelditu tunela routerraren beraren zerbitzu-komandoarekin, adibidez wg-quick down wg0 edo OpenVPN zerbitzua geldituz, eta egin proba labur.

Bezeroak lanean jarraitzen badu, nodoak edo routerrak huts egiten du irekita segmentu horretarako, eta meshek isilpean indargabetu du kill switcha. Ekarri tunela atzera, egiaztatu handshake kontagailua mugitu dela, eta errepikatu hirugarren urratseko egoera-taula egiaztapena.

Idatzi errenkada bat nodo bakoitzeko: etiketa, SSID, atearen helbidea, MAC aurrizkia, irteera egiaztatua bai ala ez, IPv6 estalita eta tunela jaitsita dagoeneko portaera. Roaming da erantzuna aldatzen den lekua, beraz probatu benetan erabiltzen dituzun gelak. Errenkada bat besteekin bat ez datorrenean, nodo hori da ikertzekoa, eta zuzenketa errenkada horren atea duen gailuan egin behar da.