Mesh Wi-Fi спутниги VPN роутерди колдонорун кантип текшерүү керек
Mesh спутнигинин кардарлары VPN аркылуу өтөрүн далилдөө үчүн демейки шлюзду, түйүндүн өткөрүү режимин жана роутердин абал таблицасын көзөмөлдөңүз.
Негизги роутер менен бирдей Wi-Fi атына жооп берген спутник анын кардарларынын пакеттери кайда кетээри жөнүндө дээрлик эч нерсе айтпайт. Түйүн — радио жана көпүрө, тескериси далилденмейинче. Чыгууну ар бир кардар алган демейки шлюз жана анын алдындагы түйүндүн өткөрүү режими аныктайт. Ушул беш текшерүүнү кардардан сырткары карай аткарыңыз, ошондо ылдамдык тестинен калган таасир эмес, коргой алган жооп аласыз.
Кардар чындап алган шлюзду окуңуз
Кардарда маршруттар таблицасын жана кошуналар таблицасын чыгарыңыз. Демейки маршрут трафикти өткөргөн даректи атайт; кошуна жазуусу ошол дарекке таандык MAC-ти атайт. Роутердин түзмөктөр тизмесин эмес, кардарды колдонуңуз, анткени түзмөктөр тизмеси байланыштарды көрсөтөт, жолдорду эмес.
ip route show default
ip -6 route show default
ip neigh showWindows ошол эле фактыларды башка түрдө чыгарат: ipconfig /all демейки шлюзду берет, ал эми arp -a MAC-ти берет. macOS-то route -n get default жана arp -an ошолорду камтыйт.
Бул шлюзду өзүңүз билген эки дарек менен салыштырыңыз: негизги роутердин LAN дареги жана спутниктин башкаруу дареги. Эгер шлюз роутердин LAN дареги болсо, кардар роутерге көпүрө аркылуу туташкан жана роутердин ошол тармакка карата саясаты өзгөрүүсүз колдонулат. Эгер шлюз спутниктин дареги болсо, спутник маршруттайт жана роутер кардардын пакеттерин LAN трафиги катары эч качан көрбөйт; чечим түйүндө кабыл алынышы керек, болбосо ал такыр кабыл алынбайт.
Түйүн чындап кайсы режимде экенин тастыктаңыз
Mesh продукциялары ар башка жүрүм-турум үчүн үч сөздү кайра колдонот, ошондуктан тиркемедеги жапсырмадан көрө пакет жолуна ишениңиз. Көпүрө же кирүү чекити режими кадрларды өткөрөт. Роутер режими ички тармакты бүтүрүп, DHCP иштетет. Конок режими адатта кардарларды өз эрежелери бар өзүнчө VLAN-га жайгаштырат. Башка роутердин артындагы роутер режиминдеги түйүн — кош NAT, анын кардарлары VPN роутерге которулган түрдө жетет, бул баштапкы дарекке негизделген саясатты алсыратат.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
MAC-ти аныктоо үчүн түйүндөгү жапсырманы окуп, аны менен салыштырыңыз: ip neigh. Өндүрүүчүлөр негизги MAC-ти басып, ар бир радионун MAC-ин байтты көбөйтүү менен чыгарат, ошондуктан акыркы он алтылык цифра өзгөрөт; бүт даректи эмес, префиксти салыштырыңыз. Эгер шлюздун MAC-и роутердин LAN интерфейсине таандык болсо, түйүн бул кардар үчүн маршруттабайт.
Чыгууну роутерде далилдеңиз, ылдамдык тести менен эмес
Роутер тарабындагы абал котормону көрсөткөн жалгыз жер. OpenWrt-то саясат эрежелерин жана маршруттоо таблицаларын чыгарыңыз, анан туннелде жаңы handshake бар экенин тастыктаңыз:
ip rule show
ip route show table all | grep default
wg showpfSense же OPNsense ичинде ошол эле далилдер мында: pfctl -sr эрежелер үчүн, pfctl -ss активдүү абалдар үчүн жана WireGuard абал баракчасында теңдеш санагычтар үчүн, мынага ылайык: WireGuard кардарынын документтештирүүсү. Абал таблицасын кардардын дареги боюнча чыпкалаңыз. Эгер абал кардарды туннел дарегине которулган деп көрсөтсө, трафик туннелдин ичинде; эгер WAN дарегин көрсөтсө, анда жок, тактадагы белги эмне десе да.
Кардардан traceroute абал таблицасы бере албаган бир фактыны кошот: биринчи секирик. Эгер биринчи секирик роутердин LAN дареги болсо, кардар роутерге түз жетти. Эгер ал түйүндүн дареги жана андан кийин дагы бир жеке секирик болсо, сиз маршрутталган сегменттесиз, жана ошол экинчи секирик саясатты кармашы керек болгон түзмөк.
Түйүн даректен башка эмнени таратаарын текшериңиз
DHCP параметрлери ижара менен бирге жүрөт, ошондуктан өз DHCP-и бар түйүн өз DNS-ин жана өз IPv6 роутер билдирүүлөрүн да тарата алат. Ошондуктан кардар туннел аркылуу чыгып, баары бир түйүндөгү resolver-ге сурам жибере алат же туннел саясаты эч качан камтыбаган глобалдык IPv6 дарегин ала алат. Экөөнү тең кардарда чыгарыңыз:
cat /etc/resolv.conf
ip -6 addr show scope globalЭгер resolver — түйүн жана түйүн роутерге өткөрсө, DNS туннелди ээрчийт. Эгер түйүн жергиликтүү чечсе же провайдердин resolver-ине шилтесе, сурамдар HTTP кылбаса да туннелден тыш чыгат. IPv6 ошол эле текшерүүгө татыктуу: глобалдык дарек жана туннелди айланып өткөн демейки маршрут — бул агып чыгуу, ал эми Mesh прошивкасы көбүнчө IPv6-ны күйүк калтырат, VPN саясаты тек IPv4-тү камтыйт.
Туннелди атайын үзүп, анан натыйжаны жазыңыз
Туннелди түшүрүп, ошол түйүнгө туташкан кардарды байкаңыз, роутердин жанындагы кардарды эмес. ping жана curl кыска таймаут менен жетиштүү; маселе трафик токтойбу же WAN-га кайтабы. Туннелди роутердин өз кызмат командасы менен токтотуңуз, мисалы wg-quick down wg0 же OpenVPN кызматын токтотуу, жана сыноону кыска кармаңыз.
Эгер кардар ишин улантса, түйүн же роутер ошол сегмент үчүн ачык түрдө иштен чыгат, ал эми mesh kill switch-ти унчукпай жок кылган. Туннелди кайтарыңыз, handshake санагычы жылганын тастыктаңыз жана үчүнчү кадамдагы абал таблицасын текшерүүнү кайталаңыз.
Ар бир түйүн үчүн бир сап жазыңыз: белги, SSID, шлюз дареги, MAC префикси, чыгуу тастыкталды ооба же жок, IPv6 камтылды жана туннел өчүк тургандагы жүрүм-турум. Роуминг — жооп өзгөргөн жер, ошондуктан чындап колдонгон бөлмөлөрдү текшериңиз. Бир сап калгандарга дал келбесе, иликтеп текшериле турган түйүн — ошол, ал эми оңдоо ошол саптын шлюзуна ээ түзмөккө таандык.