Mesh Wi-Fi спутнигі VPN-роутерді пайдаланатынын қалай тексеруге болады
Mesh спутнигінің клиенттері VPN арқылы өтетінін дәлелдеу үшін әдепкі шлюзді, түйіннің жіберу режимін және роутердің күй кестесін қадағалаңыз.
Негізгі роутермен бір Wi-Fi атауына жауап беретін спутник оның клиенттерінің пакеттері қайда кететіні туралы ештеңе дерлік айтпайды. Түйін — радио және көпір, керісінше дәлелденбейінше. Шығуды әр клиент алатын әдепкі шлюз және оның алдындағы түйіннің жіберу режимі анықтайды. Осы бес тексеруді клиенттен сыртқа қарай орындаңыз, сонда жылдамдық сынағынан қалған әсер емес, қорғауға болатын жауап аласыз.
Клиент шынымен алған шлюзді оқыңыз
Клиентте маршруттар кестесін және көршілер кестесін шығарыңыз. Әдепкі маршрут трафикті жіберетін мекенжайды атайды; көрші жазбасы сол мекенжайға тиесілі MAC-ті атайды. Роутердің құрылғылар тізімін емес, клиентті пайдаланыңыз, өйткені құрылғылар тізімі байланыстарды көрсетеді, жолдарды емес.
ip route show default
ip -6 route show default
ip neigh showWindows сол фактілерді басқа түрде шығарады: ipconfig /all әдепкі шлюзді береді, ал arp -a MAC-ті береді. macOS-та route -n get default және arp -an соларды қамтиды.
Бұл шлюзді өзіңіз білетін екі мекенжаймен салыстырыңыз: негізгі роутердің LAN мекенжайы және спутниктің басқару мекенжайы. Егер шлюз роутердің LAN мекенжайы болса, клиент роутерге көпір арқылы қосылған және роутердің сол желіге арналған саясаты өзгеріссіз қолданылады. Егер шлюз спутниктің мекенжайы болса, спутник маршруттайды және роутер клиент пакеттерін LAN трафигі ретінде ешқашан көрмейді; шешім түйінде қабылдануы керек, әйтпесе ол мүлдем қабылданбайды.
Түйіннің шынымен қай режимде екенін растаңыз
Mesh өнімдері әртүрлі мінез-құлық үшін үш сөзді қайта пайдаланады, сондықтан қосымшадағы жапсырмадан гөрі пакет жолына сеніңіз. Көпір немесе қатынау нүктесі режимі кадрларды жібереді. Роутер режимі ішкі желіні аяқтап, DHCP іске қосады. Қонақ режимі әдетте клиенттерді өз ережелері бар бөлек VLAN-ға орналастырады. Басқа роутердің артындағы роутер режиміндегі түйін — қос NAT, ал оның клиенттері VPN-роутерге аударылған күйде жетеді, бұл бастапқы мекенжайға негізделген саясатты әлсіретеді.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
MAC-ті анықтау үшін түйіндегі заттаңбаны оқып, оны мынамен салыстырыңыз: ip neigh. Өндірушілер негізгі MAC-ті басып, әр радионың MAC-ін байтты арттыру арқылы шығарады, сондықтан соңғы он алтылық цифр өзгереді; бүкіл мекенжайды емес, префиксті салыстырыңыз. Егер шлюздің MAC-і роутердің LAN интерфейсіне тиесілі болса, түйін бұл клиент үшін маршруттамайды.
Шығуды роутерде дәлелдеңіз, жылдамдық сынағымен емес
Роутер жағындағы күй аударманы көрсететін жалғыз орын. OpenWrt-те саясат ережелері мен маршруттау кестелерін шығарыңыз, содан кейін туннельде жаңа handshake бар екенін растаңыз:
ip rule show
ip route show table all | grep default
wg showpfSense немесе OPNsense жүйесінде сол дәлелдер мына жерде: pfctl -sr ережелер үшін, pfctl -ss белсенді күйлер үшін және WireGuard күй бетінде теңдестік санағыштары үшін, мынаған сәйкес: WireGuard клиентінің құжаттамасы. Күй кестесін клиенттің мекенжайы бойынша сүзіңіз. Егер күй клиентті туннель мекенжайына аударылған деп көрсетсе, трафик туннельдің ішінде; егер WAN мекенжайын көрсетсе, онда жоқ, тақтадағы белгі не десе де.
Клиенттен traceroute күй кестесі бере алмайтын бір фактіні қосады: бірінші секіріс. Егер бірінші секіріс роутердің LAN мекенжайы болса, клиент роутерге тікелей жетті. Егер ол түйіннің мекенжайы және одан кейін тағы бір жеке секіріс болса, сіз маршрутталған сегменттесіз, және сол екінші секіріс саясатты ұстауға тиіс құрылғы.
Түйін мекенжайдан басқа нені тарататынын тексеріңіз
DHCP параметрлері жалдаумен бірге жүреді, сондықтан өз DHCP-і бар түйін өз DNS-ін және өз IPv6 роутер хабарламаларын да тарата алады. Сондықтан клиент туннель арқылы шығып, бәрібір түйіндегі resolver-ге сұраныс жібере алады немесе туннель саясаты ешқашан қамтымайтын ғаламдық IPv6 мекенжайын ала алады. Екеуін де клиентте шығарыңыз:
cat /etc/resolv.conf
ip -6 addr show scope globalЕгер resolver — түйін және түйін роутерге жіберсе, DNS туннельді ұстанады. Егер түйін жергілікті шешсе немесе провайдердің resolver-іне сілтесе, сұраныстар HTTP істемесе де туннельден тыс шығады. IPv6 сол тексеруді қажет етеді: ғаламдық мекенжай және туннельді айналып өтетін әдепкі маршрут — бұл ағу, ал Mesh прошивкасы көбінесе IPv6-ны қосулы қалдырады, VPN саясаты тек IPv4-ті қамтиды.
Туннельді әдейі үзіп, содан кейін нәтижені жазыңыз
Туннельді түсіріп, сол түйінге қосылған клиентті бақылаңыз, роутердің қасындағы клиентті емес. ping және curl қысқа тайм-аутпен жеткілікті; мәселе трафик тоқтай ма, әлде WAN-ға қайта ма. Туннельді роутердің өз қызмет командасымен тоқтатыңыз, мысалы wg-quick down wg0 немесе OpenVPN қызметін тоқтату, және сынақты қысқа ұстаңыз.
Егер клиент жұмысын жалғастырса, түйін немесе роутер сол сегмент үшін ашық түрде істен шығады, ал mesh kill switch-ті үнсіз жойған. Туннельді қайтарыңыз, handshake санағышы жылжығанын растаңыз және үшінші қадамдағы күй кестесін тексеруді қайталаңыз.
Әр түйін үшін бір жол жазыңыз: белгі, SSID, шлюз мекенжайы, MAC префиксі, шығу расталды иә немесе жоқ, IPv6 қамтылды және туннель өшірілгендегі мінез-құлық. Роуминг — жауап өзгеретін жер, сондықтан шынымен пайдаланатын бөлмелерді тексеріңіз. Бір жол қалғандарымен сәйкес келмесе, тексерілетін түйін — сол, ал түзету сол жолдың шлюзіне ие құрылғыға тиесілі.