Wi-Fi از طریق VPN روتر کار می‌کند. پورت‌های سیمی چطور؟

لپ‌تاپ Wi-Fi نشانی خروجی VPN را نشان می‌دهد و رایانه رومیزی سیمی در اتاق کناری نشانی ارائه‌دهنده را نشان می‌دهد. هر دو به یک روتر وصل هستند، پس تفاوت در پیکربندی VPN نیست. تفاوت در این است که ترافیک واقعاً از کدام واسط، VLAN یا سیاست گذشته است. پوشش ویژگی هر مسیر است، نه ویژگی جعبه.

مقایسه دو کلاینت در کنار هم تفاوت را سریع‌تر از خواندن قواعد روتر پیدا می‌کند.

دو مسیر به یک روتر

روتری با کلاینت VPN می‌تواند ترافیک را از یک پل، یک VLAN یا یک فهرست پورت هدایت کند و بقیه را روی WAN بگذارد. این طراحی عادی است و به همین دلیل یک آزمون بی‌سیم موفق فقط مسیر بی‌سیم را ثابت می‌کند. یک سوئیچ مدیریت‌شده هم می‌تواند پورت دیواری را در بخشی متفاوت از بخشی که نقطه دسترسی استفاده می‌کند قرار دهد، بدون آنکه کسی به روتر دست بزند. سیاست‌های مبتنی بر پورت ساده‌ترین چیزی هستند که از نظر می‌افتند، چون پورت بخشی از همان LAN به نظر می‌رسد.

سخت‌افزار یکسان، سیاست متفاوت. جعبه فیزیکی همان مرزی نیست که فکر می‌کنید.

دروازه‌ای را که هر کلاینت واقعاً استفاده می‌کند مقایسه کنید

روی دستگاه سیمی، واسط فعال، نشانی آن و دروازه پیش‌فرض آن را بخوانید. در ماشینی که Wi-Fi و Ethernet هر دو بالا هستند، متریک مسیریابی تعیین می‌کند کدام برنده می‌شود و غالباً آن یکی نیست که انتظار دارید. آن دروازه را با دروازه‌ای که کلاینت بی‌سیم استفاده کرده مقایسه کنید و بررسی کنید پورت سوئیچ به کدام شبکه روتر تعلق دارد. دستورالعمل کلاینت WireGuard در pfSense نشان می‌دهد چگونه یک روتر می‌تواند تونل داشته باشد و سایر واسط‌ها را دست‌نخورده بگذارد.

اگر دو دروازه متفاوت باشند، پیش از دست زدن به حتی یک قاعده فایروال پاسخ را دارید.

DNS و IPv6 را جداگانه مقایسه کنید

کلاینت سیمی با حل‌کننده‌ای که دستی پیکربندی شده می‌تواند سیاست DNS روتر را کاملاً دور بزند، حتی وقتی ترافیکش درست هدایت می‌شود. IPv6 نیمه دیگر است: تونلی که فقط IPv4 را مدیریت می‌کند می‌تواند ترافیک IPv6 را روی مسیر بومی بگذارد. از دستگاه سیمی یک پرس‌وجوی نام و یک مقصد IPv6 را آزمایش کنید، نه فقط بررسی نشانی IPv4. پرس‌وجویی به کار ببرید که فقط حل‌کننده روتر بتواند به آن پاسخ دهد، مثل نام میزبان داخلی.

هر یک از این‌ها مقایسه‌ای جداست و هر یک می‌تواند به‌تنهایی شکست بخورد.

مقایسه کنید وقتی تونل قطع می‌شود چه می‌شود

اگر طراحی دسترسی فقط از طریق VPN را الزامی می‌کند، تونل را متوقف کنید و کلاینت سیمی را با ترافیک بی‌ضرر آزمایش کنید. دستگاه سیمی که به WAN عادی بازمی‌گردد آنلاین می‌ماند اما مسیر مورد نظر را از دست می‌دهد، و این برای هر کسی که فقط اتصال را بررسی می‌کند موفقیت به نظر می‌رسد. کلاینت بی‌سیم ممکن است رفتار دیگری داشته باشد و همان تفاوت، مقایسه‌ای است که ارزش انجام دادن دارد.

رفتار در هنگام خرابی بخشی از پوشش است، نه یک حالت مرزی پس از آن.

نتیجه را به لایه درست نسبت دهید

کلاینت VPN در سطح دستگاه یا پروکسی مرورگر روی ماشین سیمی می‌تواند نشانی خروجی اندازه‌گیری‌شده را مستقل از روتر تغییر دهد. ثبت کنید کدام لایه‌ها در طول آزمون فعال بودند، وگرنه یک تغییر موفق نشانی به دروازه اشتباه نسبت داده می‌شود. همین احتیاط برای نتیجه ذخیره‌شده در حافظه پنهان از پیش از تغییر هم صادق است.

ترافیک تازه را آزمایش کنید، لایه‌ها را یادداشت کنید و بخش و واسط را بنویسید. همین ثبت است که مقایسه بعدی را معنادار می‌کند، نه یک حدس دیگر.