Wéi een iwwerpréift, ob en Mesh Wi-Fi-Satellit de VPN-Router benotzt

En Satellit, deen op de selwechte Wi-Fi-Numm wéi de Basisrouter äntwert, seet bal näischt doriwwer, wou d’Pakete vu senge Cliente higinn. Den Node ass en Radio an eng Bréck, bis d’Géigendeel bewisen ass. Wat den Ausgang entscheet, ass de Standardgateway, deen all Client kritt, an de Weiderleetmodus vum Node dovir. Maacht dës fënnef Kontrollen vum Client no baussen, an Dir hutt eng Äntwert, déi Dir verdeedegen kënnt, an net en Androck aus engem Vitess-Test.

Liest de Gateway, deen de Client wierklech kritt huet

Dréckt um Client d’Routetabell an d’Nopertabell aus. D’Standardroute nennt d’Adress, déi Verkéier weiderleet; den Noperandrag nennt d’MAC, déi déi Adress gehéiert. Benotzt de Client, net d’Apparatelëscht vum Router, well eng Apparatelëscht weist Associatiounen, keng Weeër.

ip route show default
ip -6 route show default
ip neigh show

Windows dréckt déi selwecht Fakten an enger anerer Form aus: ipconfig /all gëtt de Standardgateway a arp -a gëtt d’MAC. Op macOS decken route -n get default an arp -an dee selwechte Grond.

Vergläicht dee Gateway mat zwou Adressen, déi Dir schonn kennt: d’LAN-Adress vum Basisrouter an d’Verwaltungsadress vum Satellit. Wann de Gateway d’LAN-Adress vum Router ass, ass de Client iwwer eng Bréck mam Router verbonnen an d’Politik vum Router fir dee Netzwierk gëllt onverännert. Wann de Gateway d’Adress vum Satellit ass, routet de Satellit, an de Router gesäit ni d’Pakete vum Client als LAN-Verkéier; d’Entscheedung muss um Node falen, soss fält se guer net.

Bestätegt, a wéi engem Modus den Node wierklech ass

Mesh-Produkter benotze dräi Wierder fir verschidde Verhalen, vertraut dofir méi dem Paketwee wéi dem Label an der App. Bréck- oder Access-Point-Modus leet Frames weider. Routermodus schléisst en Subnetz of a bedreift DHCP. Gaaschtmodus setzt Cliente meeschtens an en eegene VLAN mat sengen eegene Reegelen. En Node am Routermodus hannert engem aneren Router ass en duebele NAT, a seng Cliente komme beim VPN-Router schonn iwwersat un, wat eng Politik op Basis vun der Quelladress ënnergrueft.

Fir d’MAC ze bestëmmen, liest d’Etikett um Node a vergläicht et mat ip neigh. Hiersteller drécken d’Basis-MAC an deelen d’MAC vun all Radio of, andeems se ee Byte erhéijen, dofir ass déi lescht hexadezimal Ziffer anescht; vergläicht de Prefix an net déi ganz Adress. Wann d’MAC vum Gateway zum LAN-Interface vum Router gehéiert, routet den Node net fir dee Client.

Beweist den Ausgang um Router, net mat engem Vitess-Test

Den Zoustand op der Routersäit ass déi eenzeg Plaz, déi d’Iwwersetzung weist. Op OpenWrt list Dir d’Politiksregelen an d’Routetabellen op an bestätegt duerno, datt den Tunnel en aktuelle Handshake huet:

ip rule show
ip route show table all | grep default
wg show

Op pfSense oder OPNsense leien déiselwecht Beweiser an pfctl -sr fir Reegelen, pfctl -ss fir aktiv Zoustände an der WireGuard-Statusäit fir Peer-Zieler, no der WireGuard-Client-Dokumentatioun. Filtert d’Zoustandstabell no der Adress vum Client. Weist den Zoustand de Client op d’Tunneladress iwwersat, ass de Verkéier am Tunnel; weist en d’WAN-Adress, dann net, wat och ëmmer de Badge um Dashboard seet.

En Traceroute vum Client bäisetzt ee Fakt, deen d’Zoustandstabell net ka ginn: den éischte Sprong. Ass den éischte Sprong d’LAN-Adress vum Router, huet de Client de Router direkt erreecht. Ass et d’Adress vum Node mat nach engem private Sprong duerno, sidd Dir op engem geroutenen Segment, an deen zweeten Sprong ass d’Apparat, dat d’Politik muss halen.

Kuckt, wat den Node nieft enger Adress nach verdeelt

DHCP-Optiounen reesen mam Lease mat, dofir kann en Node mat eegenem DHCP och säin eegenen DNS an seng eegen IPv6-Routerannoncen verdeelen. E Client kann dofir duerch den Tunnel erausgoen an trotzdem Ufroen un en Opléiser um Node schécken, oder eng global IPv6-Adress kréien, déi d’Tunnelpolitik ni deckt. Dréckt béides um Client aus:

cat /etc/resolv.conf
ip -6 addr show scope global

Ass den Opléiser den Node an deelt den Node un de Router weider, dann follegt DNS dem Tunnel. Léist den Node lokal op oder weist en op den Opléiser vum Provider, da verloossen d’Ufroen den Tunnel, och wann HTTP dat net mécht. IPv6 verdéngt deeselwechten Test: eng global Adress plus eng Standardroute, déi den Tunnel ëmgeet, ass e Lach, a Mesh-Firmware léisst IPv6 dacks un, wärend d’VPN-Politik nëmmen IPv4 deckt.

Briecht den Tunnel bewosst of a schreift duerno d’Resultat op

Huelt den Tunnel erof a kuckt e Client un, dee mat deem Node verbonnen ass, an net e Client nieft dem Router. ping an eng curl mat kuerzer Zäitlimit sinn genuch; d’Fro ass, ob de Verkéier stoppt oder op de WAN zréckfält. Stoppt den Tunnel mam eegenen Déngschtkommando vum Router, zum Beispill wg-quick down wg0 oder dem Stopp vum OpenVPN-Déngscht, a hält den Test kuerz.

Wann de Client weider funktionéiert, fält den Node oder de Router fir dee Segment op, an de Mesh huet de Kill Switch stiell ëmgi. Bréngt den Tunnel zréck, bestätegt, datt de Handshake-Zieler sech beweegt huet, a widderhëlt d’Kontroll vun der Zoustandstabell aus dem drëtte Schrëtt.

Schreift eng Zeil pro Node: Label, SSID, Gatewayadress, MAC-Prefix, Ausgang bestätegt jo oder nee, IPv6 gedeckt, an d’Verhalen mam Tunnel erof. Roaming ass déi Plaz, wou d’Äntwert sech ännert, testt dofir d’Zëmmer, déi Dir wierklech benotzt. Wann eng Zeil net mat deenen aneren iwwerenee kënnt, ass deen Node deen, dee misst ënnersicht ginn, an d’Korrektur gehéiert zu deem Apparat, deen de Gateway vun där Zeil huet.