Wi-FiはルーターのVPN経由で動く。有線ポートは同じか

Wi-FiのノートPCはVPNの出口アドレスを示し、隣の部屋の有線デスクトップはプロバイダのアドレスを示す。どちらも同じルーターにつながっているので、違いはVPNの設定ではない。違いは、通信が実際にどのインターフェース、VLAN、ポリシーを通ったかにある。カバレッジは経路ごとの性質であり、箱の性質ではない。

二つのクライアントを並べて比べると、ルーターのルールを読むより速く違いが見つかる。

同じルーターへの二つの経路

VPNクライアントを備えたルーターは、一つのブリッジ、一つのVLAN、一つのポートリストから通信を振り分け、残りをWANに置ける。これは普通の設計であり、だからこそ無線の試験が成功しても無線の経路しか証明しない。マネージドスイッチも、誰もルーターに触れずに、アクセスポイントが使うセグメントとは別のセグメントに壁のポートを置ける。ポート単位のポリシーは、ポートが同じLANの一部に見えるために最も見落としやすい。

同じハードウェア、違うポリシー。物理的な箱は、あなたが思う境界ではない。

各クライアントが実際に使うゲートウェイを比べる

有線機器で、有効なインターフェースとそのアドレス、既定ゲートウェイを読む。Wi-FiとEthernetの両方が有効な機械では、ルーティングメトリックがどちらが勝つかを決め、しかも期待した側でないことが多い。そのゲートウェイを無線クライアントが使ったものと比べ、スイッチポートがどのルーターネットワークに属するかを確認する。pfSenseのWireGuardクライアントのレシピは、一台のルーターがトンネルを持ちながら他のインターフェースをそのままにできる方法を示す。

二つのゲートウェイが違えば、ファイアウォールのルールを一つも触る前に答えは出ている。

DNSとIPv6を別々に比べる

リゾルバを手動で設定した有線クライアントは、通信が正しく振り分けられていても、ルーターのDNSポリシーを完全に迂回できる。IPv6はもう半分で、IPv4しか扱わないトンネルはIPv6の通信を素の経路に残しうる。有線機器からは、IPv4アドレスの確認だけでなく、名前解決とIPv6の宛先も試す。ルーターのリゾルバしか答えられない問い合わせ、たとえば内部のホスト名を使う。

どれも別々の比較であり、どれも単独で失敗しうる。

トンネルが落ちたときの挙動を比べる

設計がVPN経由のアクセスだけを求めるなら、トンネルを止めて有線クライアントを無害な通信で試す。通常のWANに戻る有線機器はオンラインのまま意図した経路を外れ、接続だけを見る人には成功に見える。無線クライアントは違う振る舞いをするかもしれず、その違いこそ比べる価値がある。

失敗時の挙動もカバレッジの一部であり、その後の例外ではない。

結果を正しい層に帰属させる

機器レベルのVPNクライアントや有線機械のブラウザプロキシは、ルーターとは無関係に測定した出口アドレスを変えうる。試験中にどの層が有効だったかを記録しなければ、成功したアドレス変化が誤ったゲートウェイの手柄になる。変更前のキャッシュ結果にも同じ注意が要る。

新しい通信で試し、層を記録し、セグメントとインターフェースを書き留める。その記録が、次の比較をもう一つの推測ではなく意味のあるものにする。