Kako provjeriti koristi li Mesh Wi-Fi satelit VPN router
Pratite zadani gateway, način prosljeđivanja čvora i tablicu stanja routera kako biste dokazali idu li klijenti Mesh satelita kroz VPN.
Satelit koji odgovara na isto Wi-Fi ime kao osnovni router ne govori gotovo ništa o tome kamo idu paketi njegovih klijenata. Čvor je radio i most dok se ne dokaže suprotno. O izlazu odlučuju zadani gateway koji svaki klijent dobije i način prosljeđivanja čvora ispred njega. Napravite ovih pet provjera od klijenta prema van i dobit ćete odgovor koji možete braniti, umjesto dojma iz testa brzine.
Pročitajte gateway koji je klijent stvarno dobio
Na klijentu ispišite tablicu ruta i tablicu susjeda. Zadana ruta navodi adresu koja prosljeđuje promet; zapis susjeda navodi MAC koji toj adresi pripada. Koristite klijent, a ne popis uređaja routera, jer popis uređaja pokazuje pridruživanja, a ne putanje.
ip route show default
ip -6 route show default
ip neigh showWindows ispisuje iste činjenice u drugom obliku: ipconfig /all daje zadani gateway, a arp -a daje MAC. Na macOS-u route -n get default i arp -an pokrivaju isto.
Usporedite taj gateway s dvije adrese koje već znate: LAN adresom osnovnog routera i upravljačkom adresom satelita. Ako je gateway LAN adresa routera, klijent je premošten na router i politika routera za taj LAN vrijedi nepromijenjena. Ako je gateway adresa satelita, satelit usmjerava i router nikada ne vidi pakete klijenta kao LAN promet; odluka mora pasti na čvoru, inače ne pada uopće.
Potvrdite u kojem je načinu čvor stvarno
Mesh proizvodi koriste tri riječi za različita ponašanja, zato vjerujte putu paketa više nego oznaci u aplikaciji. Način mosta ili pristupne točke prosljeđuje okvire. Način routera završava podmrežu i pokreće DHCP. Gostinski način obično smješta klijente u zaseban VLAN s vlastitim pravilima. Čvor u načinu routera iza drugog routera je dvostruki NAT, a njegovi klijenti dolaze do VPN routera već prevedeni, što potkopava politiku koja se temelji na izvornoj adresi.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
Da biste utvrdili MAC, pročitajte naljepnicu na čvoru i usporedite je s ip neigh. Proizvođači tiskaju osnovni MAC i izvode MAC pojedinih radija povećavanjem bajta, pa se zadnja heksadecimalna znamenka razlikuje; usporedite prefiks, a ne cijelu adresu. Ako MAC gatewaya pripada LAN sučelju routera, čvor ne usmjerava za tog klijenta.
Dokažite izlaz na routeru, a ne testom brzine
Stanje na strani routera jedino je mjesto koje pokazuje prijevod. Na OpenWrt-u ispišite pravila politike i tablice usmjeravanja, a zatim potvrdite da tunel ima svjež handshake:
ip rule show
ip route show table all | grep default
wg showNa pfSense ili OPNsense isti dokazi nalaze se u pfctl -sr za pravila, pfctl -ss za aktivna stanja i na statusnoj stranici WireGuarda za brojače parnjaka, prema dokumentaciji WireGuard klijenta. Filtrirajte tablicu stanja po adresi klijenta. Ako stanje pokazuje klijenta prevedenog na adresu tunela, promet je u tunelu; ako pokazuje WAN adresu, nije, što god tvrdila značka na nadzornoj ploči.
Traceroute s klijenta dodaje činjenicu koju tablica stanja ne može dati: prvi skok. Ako je prvi skok LAN adresa routera, klijent je do routera došao izravno. Ako je to adresa čvora popraćena još jednim privatnim skokom, nalazite se na usmjerenom segmentu, a taj drugi skok je uređaj koji mora držati politiku.
Provjerite što čvor dijeli osim adrese
DHCP opcije putuju s leaseom, pa čvor s vlastitim DHCP-om može dijeliti i vlastiti DNS i vlastite obavijesti IPv6 routera. Klijent stoga može izlaziti kroz tunel i dalje slati upite razrješivaču na čvoru ili dobiti globalnu IPv6 adresu koju politika tunela nikada ne pokriva. Ispišite oboje na klijentu:
cat /etc/resolv.conf
ip -6 addr show scope globalAko je razrješivač čvor i čvor prosljeđuje routeru, DNS slijedi tunel. Ako čvor razrješava lokalno ili pokazuje na razrješivač davatelja, upiti izlaze izvan tunela čak i kada HTTP ne izlazi. IPv6 zaslužuje isti test: globalna adresa plus zadana ruta koja zaobilazi tunel jest curenje, a Mesh firmware često ostavlja IPv6 uključenim dok politika VPN-a pokriva samo IPv4.
Prekinite tunel namjerno, a zatim zapišite rezultat
Srušite tunel i promatrajte klijenta povezanog s tim čvorom, a ne klijenta pokraj routera. ping i curl s kratkim vremenskim ograničenjem dovoljni su; pitanje je zaustavlja li se promet ili pada natrag na WAN. Zaustavite tunel naredbom usluge samog routera, primjerice wg-quick down wg0 ili zaustavljanjem usluge OpenVPN, i neka test ostane kratak.
Ako klijent i dalje radi, čvor ili router zatajuje otvoreno za taj segment, a mesh je tiho poništio kill switch. Vratite tunel, potvrdite da se brojač handshakea pomaknuo i ponovite provjeru tablice stanja iz trećeg koraka.
Zapišite jedan redak po čvoru: oznaka, SSID, adresa gatewaya, MAC prefiks, izlaz potvrđen da ili ne, IPv6 pokriven i ponašanje s isključenim tunelom. Roaming je mjesto gdje se odgovor mijenja, zato testirajte prostorije koje doista koristite. Kada se jedan redak ne slaže s ostalima, taj čvor treba istražiti, a ispravak pripada uređaju koji posjeduje gateway iz tog retka.