A Wi-Fi működik a router VPN-jén keresztül. És a kábeles portok?
Egy sikeres Wi-Fi-ellenőrzés nem bizonyítja, hogy a kábeles port ugyanazt a szabályzatot használja. Hasonlítsa össze az átjárót, a VLAN-t és a DNS-t magán a kábeles eszközön.
A Wi-Fi-s laptop a VPN kimenő címét mutatja, a szomszéd szobai kábeles asztali gép pedig a szolgáltatóét. Mindkettő ugyanahhoz a routerhez csatlakozik, tehát a különbség nem a VPN beállításában van. A különbség abban van, melyik interfészen, VLAN-on vagy szabályzaton haladt át a forgalom. A lefedettség útvonalankénti tulajdonság, nem a doboz tulajdonsága.
A két kliens egymás melletti összehasonlítása gyorsabban megtalálja a különbséget, mint a router szabályainak olvasása.
Két útvonal ugyanabba a routerbe
Egy VPN-klienssel rendelkező router átirányíthatja a forgalmat egy hídról, egy VLAN-ról vagy egy portlistáról, a többit pedig a WAN-on hagyhatja. Ez normál tervezés, és ezért egy sikeres vezeték nélküli teszt csak a vezeték nélküli útvonalat bizonyítja. Egy menedzselt switch is tehet fali portot más szegmensbe, mint amelyet a hozzáférési pont használ, anélkül hogy bárki hozzányúlna a routerhez. A portalapú szabályzatokat a legkönnyebb elkerülni, mert a port az ugyanazon LAN részének tűnik.
Ugyanaz a hardver, más szabályzat. A fizikai doboz nem az a határ, aminek gondolja.
Hasonlítsa össze az átjárót, amelyet minden kliens ténylegesen használ
A kábeles eszközön olvassa ki az aktív interfészt, annak címét és az alapértelmezett átjárót. Egy gépen, ahol a Wi-Fi és az Ethernet is aktív, a routing metrika dönti el, melyik nyer, és ez gyakran nem az, amire számít. Hasonlítsa össze ezt az átjárót azzal, amelyet a vezeték nélküli kliens használt, és ellenőrizze, melyik routerhálózathoz tartozik a switch portja. A pfSense WireGuard-kliens receptje megmutatja, hogyan lehet egyetlen routernek alagútja, miközben a többi interfész érintetlen marad.
Ha a két átjáró eltér, megvan a válasz, mielőtt egyetlen tűzfalszabályhoz hozzányúlna.
Hasonlítsa össze a DNS-t és az IPv6-ot külön
Egy kézzel beállított feloldóval rendelkező kábeles kliens teljesen megkerülheti a router DNS-szabályzatát, akkor is, ha a forgalma helyesen van irányítva. Az IPv6 a másik fél: egy csak IPv4-et kezelő alagút az IPv6-forgalmat az eredeti útvonalon hagyhatja. Teszteljen névfeloldást és IPv6-célpontot a kábeles eszközről, ne csak IPv4-címet ellenőrizzen. Használjon olyan lekérdezést, amelyre csak a router feloldója tudna válaszolni, például egy belső hosztnevet.
Ezek mindegyike külön összehasonlítás, és mindegyik egyedül is elbukhat.
Hasonlítsa össze, mi történik, ha az alagút leáll
Ha a tervezés csak VPN-en keresztüli hozzáférést ír elő, állítsa le az alagutat, és tesztelje a kábeles klienst ártalmatlan forgalommal. Egy kábeles eszköz, amely a normál WAN-ra esik vissza, online marad, de kihagyja a szánt útvonalat, ami mindenkinek, aki csak a kapcsolatot ellenőrzi, sikernek tűnik. A vezeték nélküli kliens másként viselkedhet, és éppen ez a különbség az, amit érdemes összehasonlítani.
A hiba esetén mutatott viselkedés a lefedettség része, nem utólagos speciális eset.
Rendelje az eredményt a megfelelő réteghez
Egy eszközszintű VPN-kliens vagy egy böngésző-proxy a kábeles gépen a mért kimenő címet a routertől függetlenül is megváltoztathatja. Jegyezze fel, mely rétegek voltak aktívak a teszt alatt, különben egy sikeres címváltozás a rossz átjárónak lesz jóváírva. Ugyanez az óvatosság érvényes a változás előtti gyorsítótárazott eredményre.
Teszteljen friss forgalmat, jegyezze meg a rétegeket, és írja le a szegmenst és az interfészt. Ez a feljegyzés az, ami a következő összehasonlítást értelmessé teszi egy újabb találgatás helyett.