როგორ შევამოწმოთ, იყენებს თუ არა Mesh Wi-Fi სატელიტი VPN როუტერს
მიჰყევით ნაგულისხმევ კარიბჭეს, კვანძის გადაცემის რეჟიმს და როუტერის მდგომარეობების ცხრილს, რათა დაამტკიცოთ, გადის თუ არა Mesh სატელიტის კლიენტები VPN-ზე.
სატელიტი, რომელიც იმავე Wi-Fi სახელზე პასუხობს, რაზეც ბაზისური როუტერი, თითქმის არაფერს გვეუბნება მისი კლიენტების პაკეტების დანიშნულების შესახებ. კვანძი რადიო და ხიდია, ვიდრე საწინააღმდეგო არ დამტკიცდება. გასასვლელს განსაზღვრავს ნაგულისხმევი კარიბჭე, რომელსაც ყოველი კლიენტი იღებს, და მის წინ მდგარი კვანძის გადაცემის რეჟიმი. შეასრულეთ ეს ხუთი შემოწმება კლიენტიდან გარეთ და მიიღებთ პასუხს, რომლის დაცვაც შეგიძლიათ, და არა სიჩქარის ტესტის შთაბეჭდილებას.
წაიკითხეთ კარიბჭე, რომელიც კლიენტმა რეალურად მიიღო
კლიენტზე დაბეჭდეთ მარშრუტების ცხრილი და მეზობლების ცხრილი. ნაგულისხმევი მარშრუტი ასახელებს მისამართს, რომელიც ტრაფიკს გადასცემს; მეზობლის ჩანაწერი ასახელებს MAC-ს, რომელიც ამ მისამართს ფლობს. გამოიყენეთ კლიენტი და არა როუტერის მოწყობილობების სია, რადგან მოწყობილობების სია კავშირებს აჩვენებს და არა გზებს.
ip route show default
ip -6 route show default
ip neigh showWindows იმავე ფაქტებს სხვა ფორმით ბეჭდავს: ipconfig /all იძლევა ნაგულისხმევ კარიბჭეს და arp -a იძლევა MAC-ს. macOS-ზე route -n get default და arp -an ერთსა და იმავეს ფარავს.
შეადარეთ ეს კარიბჭე ორ მისამართს, რომლებიც უკვე იცით: ბაზისური როუტერის LAN მისამართი და სატელიტის მართვის მისამართი. თუ კარიბჭე როუტერის LAN მისამართია, კლიენტი როუტერზე ხიდით არის მიერთებული და როუტერის პოლიტიკა ამ ქსელისთვის უცვლელად მოქმედებს. თუ კარიბჭე სატელიტის მისამართია, სატელიტი მარშრუტიზაციას აკეთებს და როუტერი კლიენტის პაკეტებს არასდროს ხედავს როგორც LAN ტრაფიკს; გადაწყვეტილება კვანძზე უნდა მიღდეს, თორემ საერთოდ არ მიიღება.
დაადასტურეთ, რომელ რეჟიმშია კვანძი სინამდვილეში
Mesh პროდუქტები სამ სიტყვას იმეორებენ სხვადასხვა ქცევისთვის, ამიტომ უფრო მეტად ენდეთ პაკეტის გზას, ვიდრე აპში არსებულ იარლიყს. ხიდის ან წვდომის წერტილის რეჟიმი კადრებს გადასცემს. როუტერის რეჟიმი ქვექსელს ამთავრებს და DHCP-ს უშვებს. სტუმრის რეჟიმი ჩვეულებრივ კლიენტებს ცალკე VLAN-ში ათავსებს საკუთარი წესებით. სხვა როუტერის უკან მდგარი როუტერის რეჟიმის კვანძი ორმაგი NAT-ია და მისი კლიენტები VPN როუტერს უკვე თარგმნილნი აღწევენ, რაც ასუსტებს წყაროს მისამართზე დაფუძნებულ პოლიტიკას.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
MAC-ის დასადგენად წაიკითხეთ იარლიყი კვანძზე და შეადარეთ იგი ip neigh ბრძანების შედეგს. მწარმოებლები ბეჭდავენ ბაზისურ MAC-ს და თითოეული რადიოს MAC-ს გამოიღებენ ერთი ბაიტის გაზრდით, ამიტომ ბოლო თექვსმეტობითი ციფრი განსხვავდება; შეადარეთ პრეფიქსი და არა მთელი მისამართი. თუ კარიბჭის MAC როუტერის LAN ინტერფეისს ეკუთვნის, კვანძი ამ კლიენტისთვის მარშრუტიზაციას არ აკეთებს.
დაამტკიცეთ გასასვლელი როუტერზე და არა სიჩქარის ტესტით
როუტერის მხარეს არსებული მდგომარეობა ერთადერთი ადგილია, რომელიც თარგმანს აჩვენებს. OpenWrt-ზე ჩამოთვალეთ პოლიტიკის წესები და მარშრუტიზაციის ცხრილები, შემდეგ დაადასტურეთ, რომ გვირაბს ახალი handshake აქვს:
ip rule show
ip route show table all | grep default
wg showpfSense-ზე ან OPNsense-ზე იგივე მტკიცებულებებია შემდეგ ბრძანებებში: pfctl -sr წესებისთვის, pfctl -ss აქტიური მდგომარეობებისთვის და WireGuard-ის სტატუსის გვერდზე თანატოლების მრიცხველებისთვის, შესაბამისად WireGuard კლიენტის დოკუმენტაციის. გაფილტრეთ მდგომარეობების ცხრილი კლიენტის მისამართით. თუ მდგომარეობა კლიენტს გვირაბის მისამართზე თარგმნილს აჩვენებს, ტრაფიკი გვირაბის შიგნითაა; თუ WAN მისამართს აჩვენებს, არ არის, რაც არ უნდა თქვას დაფის ნიშანმა.
traceroute კლიენტიდან ამატებს ერთ ფაქტს, რომელსაც მდგომარეობების ცხრილი ვერ მოგვცემს: პირველი ნახტომი. თუ პირველი ნახტომი როუტერის LAN მისამართია, კლიენტმა როუტერს პირდაპირ მიაღწია. თუ ეს კვანძის მისამართია და მას კიდევ ერთი კერძო ნახტომი მოჰყვება, თქვენ მარშრუტიზებულ სეგმენტზე ხართ და ის მეორე ნახტომი არის მოწყობილობა, რომელმაც პოლიტიკა უნდა შეინარჩუნოს.
შეამოწმეთ, მისამართის გარდა კიდევ რას ანაწილებს კვანძი
DHCP ოფციები იჯარასთან ერთად მოძრაობს, ამიტომ საკუთარი DHCP-ის მქონე კვანძს შეუძლია საკუთარი DNS და საკუთარი IPv6 როუტერის განცხადებებიც გასცეს. ამიტომ კლიენტს შეუძლია გვირაბიდან გავიდეს და მაინც კვანძზე არსებულ resolver-ს გაუგზავნოს მოთხოვნები, ან მიიღოს გლობალური IPv6 მისამართი, რომელსაც გვირაბის პოლიტიკა არასდროს ფარავს. დაბეჭდეთ ორივე კლიენტზე:
cat /etc/resolv.conf
ip -6 addr show scope globalთუ resolver კვანძია და კვანძი როუტერს გადასცემს, DNS გვირაბს მიჰყვება. თუ კვანძი ლოკალურად წყვეტს ან პროვაიდერის resolver-ზე მიუთითებს, მოთხოვნები გვირაბს გარეთ გადის, მაშინაც კი როცა HTTP ასე არ იქცევა. IPv6 იმავე გამოცდას იმსახურებს: გლობალური მისამართი და გვირაბის გვერდის ავლით ნაგულისხმევი მარშრუტი გაჟონვაა, და Mesh-ის firmware ხშირად IPv6-ს ჩართულს ტოვებს, მაშინ როცა VPN პოლიტიკა მხოლოდ IPv4-ს ფარავს.
გააწყვიტეთ გვირაბი განზრახ და შემდეგ ჩაწერეთ შედეგი
ჩამოწიეთ გვირაბი და დააკვირდით ამ კვანძზე მიერთებულ კლიენტს და არა როუტერის გვერდით მჯდომ კლიენტს. ping და curl მოკლე დროის ლიმიტით საკმარისია; კითხვა ისაა, ჩერდება ტრაფიკი თუ უკან WAN-ზე ვარდება. შეაჩერეთ გვირაბი თავად როუტერის სერვისის ბრძანებით, მაგალითად wg-quick down wg0 ან OpenVPN სერვისის შეჩერებით, და შემოწმება მოკლედ შეინახეთ.
თუ კლიენტი მუშაობას აგრძელებს, კვანძი ან როუტერი ამ სეგმენტისთვის ღიად ვარდება და mesh-მა ჩუმად გააუქმა kill switch. დააბრუნეთ გვირაბი, დაადასტურეთ, რომ handshake-ის მრიცხველი გაიწია, და გაიმეორეთ მესამე ნაბიჯის მდგომარეობების ცხრილის შემოწმება.
თითო კვანძისთვის ჩაწერეთ ერთი სტრიქონი: იარლიყი, SSID, კარიბჭის მისამართი, MAC პრეფიქსი, გასასვლელი დადასტურებული კი თუ არა, IPv6 დაფარული და ქცევა გვირაბის ჩამოშვებისას. როუმინგი ის ადგილია, სადაც პასუხი იცვლება, ამიტომ შეამოწმეთ ის ოთახები, რომლებსაც ნამდვილად იყენებთ. როცა ერთი სტრიქონი დანარჩენებს არ ეთანხმება, სწორედ ის კვანძია გამოსაკვლევი და შესწორება ეკუთვნის მოწყობილობას, რომელსაც იმ სტრიქონის კარიბჭე ეკუთვნის.