Како да проверите дали Mesh Wi-Fi сателит го користи VPN рутерот

Сателит што одговара на истото Wi-Fi име како основниот рутер не кажува речиси ништо за тоа каде одат пакетите на неговите клиенти. Јазолот е радио и мост сѐ додека не се докаже спротивното. Излезот го одредуваат стандардниот гејтвеј што го добива секој клиент и режимот на препраќање на јазолот пред него. Направете ги овие пет проверки од клиентот кон надвор и ќе имате одговор што можете да го браните, наместо впечаток од тест за брзина.

Прочитајте го гејтвејот што клиентот навистина го добил

На клиентот испечатете ја табелата со рути и табелата со соседи. Стандардната рута ја наведува адресата што го препраќа сообраќајот; записот за сосед го наведува MAC-от што ѝ припаѓа на таа адреса. Користете го клиентот, а не списокот со уреди на рутерот, затоа што списокот со уреди покажува поврзувања, а не патеки.

ip route show default
ip -6 route show default
ip neigh show

Windows ги испишува истите факти во друг облик: ipconfig /all го дава стандардниот гејтвеј, а arp -a го дава MAC-от. На macOS route -n get default и arp -an покриваат истото.

Споредете го тој гејтвеј со две адреси што веќе ги знаете: LAN адресата на основниот рутер и адресата за управување на сателитот. Ако гејтвејот е LAN адресата на рутерот, клиентот е премостен кон рутерот и политиката на рутерот за таа мрежа важи непроменета. Ако гејтвејот е адресата на сателитот, сателитот рутира и рутерот никогаш не ги гледа пакетите на клиентот како LAN сообраќај; одлуката мора да падне на јазолот, инаку воопшто не паѓа.

Потврдете во кој режим е јазолот навистина

Mesh производите користат три збора за различно однесување, затоа верувајте му на патот на пакетот повеќе отколку на етикетата во апликацијата. Режимот мост или пристапна точка препраќа рамки. Режимот рутер завршува подмрежа и пушта DHCP. Гостинскиот режим обично ги сместува клиентите во посебен VLAN со сопствени правила. Јазол во режим рутер зад друг рутер е двоен NAT, а неговите клиенти пристигнуваат до VPN рутерот веќе преведени, што ја поткопува политиката заснована на изворната адреса.

За да го утврдите MAC-от, прочитајте ја етикетата на јазолот и споредете ја со ip neigh. Производителите го печатат основниот MAC и ги изведуваат MAC-овите на поединечните радија со зголемување на бајт, па последната хексадецимална цифра се разликува; споредете го префиксот, а не целата адреса. Ако MAC-от на гејтвејот припаѓа на LAN интерфејсот на рутерот, јазолот не рутира за тој клиент.

Докажете го излезот на рутерот, а не со тест за брзина

Состојбата на страната на рутерот е единственото место што го покажува преводот. На OpenWrt испечатете ги правилата на политиката и табелите за рутирање, потоа потврдете дека тунелот има свеж handshake:

ip rule show
ip route show table all | grep default
wg show

На pfSense или OPNsense истите докази се наоѓаат во pfctl -sr за правила, pfctl -ss за активни состојби и на статусната страница на WireGuard за бројачите на партнери, според документацијата на WireGuard клиентот. Филтрирајте ја табелата со состојби по адресата на клиентот. Ако состојбата го покажува клиентот преведен кон адресата на тунелот, сообраќајот е во тунелот; ако ја покажува WAN адресата, не е, што и да тврди значката на контролната табла.

Traceroute од клиентот додава факт што табелата со состојби не може да го даде: првиот скок. Ако првиот скок е LAN адресата на рутерот, клиентот стигнал до рутерот директно. Ако е адресата на јазолот проследена со уште еден приватен скок, се наоѓате на рутиран сегмент, а тој втор скок е уредот што мора да ја држи политиката.

Проверете што дели јазолот освен адреса

Опциите на DHCP патуваат со закупот, па јазол со сопствен DHCP може да дели и сопствен DNS и сопствени објави за IPv6 рутер. Клиентот затоа може да излегува низ тунелот и сепак да праќа барања до резолвер на јазолот, или да добие глобална IPv6 адреса што политиката на тунелот никогаш не ја покрива. Испечатете ги двете на клиентот:

cat /etc/resolv.conf
ip -6 addr show scope global

Ако резолверот е јазолот и јазолот препраќа кон рутерот, DNS го следи тунелот. Ако јазолот резолвира локално или покажува кон резолверот на давателот, барањата излегуваат надвор од тунелот дури и кога HTTP не излегува. IPv6 заслужува ист тест: глобална адреса плус стандардна рута што го заобиколува тунелот е истекување, а Mesh фирмверот често го остава IPv6 вклучен додека политиката на VPN покрива само IPv4.

Прекинете го тунелот намерно, па запишете го резултатот

Спуштете го тунелот и набљудувајте клиент поврзан со тој јазол, а не клиент до рутерот. ping и curl со кратко временско ограничување се доволни; прашањето е дали сообраќајот запира или паѓа назад на WAN. Запрете го тунелот со командата за услугата на самиот рутер, на пример wg-quick down wg0 или со запирање на услугата OpenVPN, и држете го тестот краток.

Ако клиентот продолжува да работи, јазолот или рутерот откажува отворено за тој сегмент, а mesh-от тивко го поништил kill switch. Вратете го тунелот, потврдете дека бројачот на handshake се поместил и повторете ја проверката на табелата со состојби од третиот чекор.

Запишете еден ред по јазол: ознака, SSID, адреса на гејтвејот, MAC префикс, излез потврден да или не, IPv6 покриен и однесување со спуштен тунел. Роамингот е местото каде одговорот се менува, затоа тестирајте ги просториите што навистина ги користите. Кога еден ред не се совпаѓа со другите, тој јазол треба да се истражи, а исправката припаѓа на уредот што го поседува гејтвејот од тој ред.