Wi-Fi는 라우터 VPN을 통해 동작한다. 유선 포트는 어떨까?

Wi-Fi 노트북은 VPN의 출구 주소를 보여 주고, 옆방의 유선 데스크톱은 통신사 주소를 보여 준다. 둘 다 같은 라우터에 꽂혀 있으니 차이는 VPN 설정이 아니다. 차이는 트래픽이 실제로 어느 인터페이스, VLAN, 정책을 지났는가에 있다. 커버리지는 경로마다의 속성이지 상자의 속성이 아니다.

두 클라이언트를 나란히 비교하는 것이 라우터 규칙을 읽는 것보다 차이를 빨리 찾는다.

같은 라우터로 들어가는 두 경로

VPN 클라이언트가 있는 라우터는 한 브리지, 한 VLAN 또는 한 포트 목록에서 트래픽을 보내고 나머지는 WAN에 둘 수 있다. 이것은 정상적인 설계이며, 그래서 무선 시험이 성공해도 무선 경로만 증명한다. 관리형 스위치는 아무도 라우터를 건드리지 않고도 액세스 포인트가 쓰는 세그먼트와 다른 세그먼트에 벽 포트를 둘 수 있다. 포트 기반 정책은 포트가 같은 LAN의 일부처럼 보이기 때문에 놓치기 가장 쉽다.

같은 하드웨어, 다른 정책. 물리적 상자는 당신이 생각하는 경계가 아니다.

각 클라이언트가 실제로 쓰는 게이트웨이를 비교하라

유선 기기에서 활성 인터페이스와 그 주소, 기본 게이트웨이를 읽어라. Wi-Fi와 이더넷이 모두 켜진 기계에서는 라우팅 메트릭이 어느 쪽이 이길지 정하며, 기대한 쪽이 아닌 경우가 많다. 그 게이트웨이를 무선 클라이언트가 쓴 게이트웨이와 비교하고, 스위치 포트가 어느 라우터 네트워크에 속하는지 확인하라. pfSense의 WireGuard 클라이언트 레시피는 라우터 하나가 터널을 가지면서 다른 인터페이스를 그대로 둘 수 있음을 보여 준다.

두 게이트웨이가 다르면 방화벽 규칙을 하나도 건드리기 전에 답이 나와 있다.

DNS와 IPv6를 따로 비교하라

리졸버를 수동으로 설정한 유선 클라이언트는 트래픽이 올바르게 유도되어도 라우터의 DNS 정책을 완전히 우회할 수 있다. IPv6가 나머지 절반인데, IPv4만 다루는 터널은 IPv6 트래픽을 원래 경로에 남길 수 있다. 유선 기기에서는 IPv4 주소 확인만이 아니라 이름 조회와 IPv6 목적지도 시험하라. 라우터의 리졸버만 답할 수 있는 질의, 예컨대 내부 호스트 이름을 써라.

그것들은 각각 별개의 비교이며, 각각 혼자서도 실패할 수 있다.

터널이 끊겼을 때를 비교하라

설계가 VPN 전용 접속을 요구한다면 터널을 멈추고 유선 클라이언트를 무해한 트래픽으로 시험하라. 일반 WAN으로 되돌아가는 유선 기기는 온라인 상태로 남지만 의도한 경로를 놓치며, 접속만 확인하는 사람에게는 성공처럼 보인다. 무선 클라이언트는 다르게 행동할 수 있고, 바로 그 차이가 비교할 가치가 있는 것이다.

실패 시 동작은 커버리지의 일부이지 그 뒤에 오는 예외가 아니다.

결과를 올바른 계층에 귀속시켜라

기기 수준의 VPN 클라이언트나 유선 기계의 브라우저 프록시는 라우터와 무관하게 측정된 출구 주소를 바꿀 수 있다. 시험 중 어떤 계층이 활성이었는지 기록하지 않으면 성공한 주소 변경이 엉뚱한 게이트웨이의 공으로 돌아간다. 변경 이전의 캐시된 결과에도 같은 주의가 필요하다.

새 트래픽으로 시험하고, 계층을 적고, 세그먼트와 인터페이스를 적어 두라. 그 기록이 다음 비교를 또 하나의 추측이 아니라 의미 있는 것으로 만든다.