Ինչպես ստուգել, թե արդյոք Mesh Wi-Fi արբանյակն օգտագործում է VPN երթուղիչը
Հետևեք լռելյայն դարպասին, հանգույցի փոխանցման ռեժիմին և երթուղիչի վիճակների աղյուսակին՝ ապացուցելու, թե արդյոք Mesh արբանյակի հաճախորդները անցնում են VPN-ով։
Արբանյակը, որը պատասխանում է նույն Wi-Fi անվանը, ինչ հիմնական երթուղիչը, գրեթե ոչինչ չի ասում իր հաճախորդների փաթեթների նպատակակետի մասին։ Հանգույցը ռադիո և կամուրջ է, քանի դեռ հակառակը ապացուցված չէ։ Ելքը որոշում են լռելյայն դարպասը, որը ստանում է յուրաքանչյուր հաճախորդ, և դրա դիմացի հանգույցի փոխանցման ռեժիմը։ Կատարեք այս հինգ ստուգումները հաճախորդից դեպի դուրս և կստանաք պատասխան, որը կարող եք պաշտպանել, այլ ոչ թե արագության թեստի տպավորություն։
Կարդացեք այն դարպասը, որը հաճախորդը իրականում ստացել է
Հաճախորդի վրա տպեք երթուղիների աղյուսակը և հարևանների աղյուսակը։ Լռելյայն երթուղին նշում է այն հասցեն, որը փոխանցում է տրաֆիկը, իսկ հարևանի գրառումը նշում է այդ հասցեին պատկանող MAC-ը։ Օգտագործեք հաճախորդը, ոչ թե երթուղիչի սարքերի ցանկը, որովհետև սարքերի ցանկը ցույց է տալիս կապեր, ոչ թե ուղիներ։
ip route show default
ip -6 route show default
ip neigh showWindows-ը նույն փաստերը տպում է այլ ձևով՝ ipconfig /all տալիս է լռելյայն դարպասը, իսկ arp -a տալիս է MAC-ը։ macOS-ում route -n get default և arp -an ծածկում են նույնը։
Համեմատեք այդ դարպասը երկու հասցեների հետ, որոնք արդեն գիտեք՝ հիմնական երթուղիչի LAN հասցեն և արբանյակի կառավարման հասցեն։ Եթե դարպասը երթուղիչի LAN հասցեն է, հաճախորդը կամրջված է երթուղիչին, և երթուղիչի քաղաքականությունն այդ ցանցի համար գործում է անփոփոխ։ Եթե դարպասը արբանյակի հասցեն է, արբանյակը երթուղավորում է, և երթուղիչը երբեք չի տեսնում հաճախորդի փաթեթները որպես LAN տրաֆիկ, ուստի որոշումը պետք է կայացվի հանգույցում, այլապես այն ընդհանրապես չի կայացվի։
Հաստատեք, թե հանգույցն իրականում որ ռեժիմում է
Mesh արտադրանքները երեք բառ են կրկնօգտագործում տարբեր վարքագծի համար, ուստի ավելի շատ վստահեք փաթեթի ուղուն, քան հավելվածի պիտակին։ Կամուրջի կամ մուտքի կետի ռեժիմը փոխանցում է կադրեր։ Երթուղիչի ռեժիմը ավարտում է ենթացանցը և աշխատեցնում DHCP։ Հյուրի ռեժիմը սովորաբար հաճախորդներին տեղադրում է առանձին VLAN-ում՝ իր կանոններով։ Մեկ այլ երթուղիչի հետևում գտնվող երթուղիչի ռեժիմի հանգույցը կրկնակի NAT է, և նրա հաճախորդները հասնում են VPN երթուղիչին արդեն թարգմանված, ինչը խարխլում է աղբյուրի հասցեի վրա հիմնված քաղաքականությունը։
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
MAC-ը որոշելու համար կարդացեք հանգույցի պիտակը և համեմատեք այն ip neigh հրամանի արդյունքի հետ։ Արտադրողները տպում են հիմնական MAC-ը և ստանում յուրաքանչյուր ռադիոյի MAC-ը՝ մեկ բայթ ավելացնելով, ուստի վերջին տասնվեցական թվանշանը տարբերվում է, ուստի համեմատեք նախածանցը, ոչ թե ամբողջ հասցեն։ Եթե դարպասի MAC-ը պատկանում է երթուղիչի LAN միջերեսին, հանգույցը չի երթուղավորում այդ հաճախորդի համար։
Ապացուցեք ելքը երթուղիչի վրա, ոչ արագության թեստով
Երթուղիչի կողմի վիճակը միակ տեղն է, որը ցույց է տալիս թարգմանությունը։ OpenWrt-ում թվարկեք քաղաքականության կանոնները և երթուղային աղյուսակները, ապա հաստատեք, որ թունելն ունի թարմ handshake՝
ip rule show
ip route show table all | grep default
wg showpfSense-ում կամ OPNsense-ում նույն ապացույցները գտնվում են հետևյալ հրամաններում՝ pfctl -sr կանոնների համար, pfctl -ss ակտիվ վիճակների համար, և WireGuard-ի կարգավիճակի էջում՝ հավասարակիցների հաշվիչների համար, համաձայն WireGuard հաճախորդի փաստաթղթերի։ Զտեք վիճակների աղյուսակը հաճախորդի հասցեով։ Եթե վիճակը ցույց է տալիս հաճախորդին թարգմանված թունելի հասցեով, տրաֆիկը թունելի ներսում է, իսկ եթե ցույց է տալիս WAN հասցեն, ապա ոչ, ինչ էլ ասի վահանակի նշանը։
Հաճախորդից traceroute-ը ավելացնում է մի փաստ, որը վիճակների աղյուսակը չի կարող տալ՝ առաջին ցատկը։ Եթե առաջին ցատկը երթուղիչի LAN հասցեն է, հաճախորդը հասել է երթուղիչին ուղղակիորեն։ Եթե դա հանգույցի հասցեն է, որին հաջորդում է ևս մեկ մասնավոր ցատկ, դուք երթուղավորված հատվածում եք, և այդ երկրորդ ցատկը այն սարքն է, որը պետք է պահի քաղաքականությունը։
Ստուգեք, թե հանգույցը բացի հասցեից ինչ է բաժանում
DHCP ընտրանքները ճամփորդում են վարձակալության հետ, ուստի սեփական DHCP ունեցող հանգույցը կարող է տալ նաև սեփական DNS և սեփական IPv6 երթուղիչի հայտարարություններ։ Հաճախորդը կարող է դուրս գալ թունելով և միևնույն ժամանակ հարցումներ ուղարկել հանգույցի վրա գտնվող resolver-ին կամ ստանալ գլոբալ IPv6 հասցե, որը թունելի քաղաքականությունը երբեք չի ծածկում։ Տպեք երկուսը հաճախորդի վրա՝
cat /etc/resolv.conf
ip -6 addr show scope globalԵթե resolver-ը հանգույցն է և հանգույցը փոխանցում է երթուղիչին, DNS-ը հետևում է թունելին։ Եթե հանգույցը լուծում է տեղում կամ մատնանշում է մատակարարի resolver-ին, հարցումները դուրս են գալիս թունելից, նույնիսկ երբ HTTP-ն այդպես չի անում։ IPv6-ը արժանի է նույն ստուգմանը՝ գլոբալ հասցեն և թունելը շրջանցող լռելյայն երթուղին արտահոսք է, և Mesh-ի որոնվածը հաճախ թողնում է IPv6-ը միացված, մինչ VPN քաղաքականությունը ծածկում է միայն IPv4-ը։
Կտրեք թունելը դիտավորյալ, ապա գրի առեք արդյունքը
Իջեցրեք թունելը և դիտեք այդ հանգույցին միացած հաճախորդին, ոչ թե երթուղիչի կողքի հաճախորդին։ ping և curl կարճ ժամկետով բավարար են՝ հարցն այն է՝ տրաֆիկը կանգնո՞ւմ է, թե՞ հետ է ընկնում WAN։ Կանգնեցրեք թունելը հենց երթուղիչի ծառայության հրամանով, օրինակ wg-quick down wg0 կամ OpenVPN ծառայության դադարեցմամբ, և ստուգումը կարճ պահեք։
Եթե հաճախորդը շարունակում է աշխատել, հանգույցը կամ երթուղիչը բաց է ձախողվում այդ հատվածի համար, և mesh-ը լուռ չեղարկել է kill switch-ը։ Վերադարձրեք թունելը, հաստատեք, որ handshake-ի հաշվիչը շարժվել է, և կրկնեք վիճակների աղյուսակի ստուգումը երրորդ քայլից։
Գրանցեք մեկ տող յուրաքանչյուր հանգույցի համար՝ պիտակ, SSID, դարպասի հասցե, MAC նախածանց, ելքը հաստատված այո թե ոչ, IPv6 ծածկված և վարքագիծը թունելն իջեցրած ժամանակ։ Ռոումինգը այն տեղն է, որտեղ պատասխանը փոխվում է, ուստի ստուգեք այն սենյակները, որոնք իրականում օգտագործում եք։ Երբ մի տող չի համընկնում մյուսների հետ, հենց այդ հանգույցն է ուսումնասիրման ենթակա, և ուղղումը պատկանում է այն սարքին, որին պատկանում է այդ տողի դարպասը։