Wi-Fi работи преку VPN на рутерот. А кабелските порти?

Преносниот сметач на Wi-Fi ја покажува излезната адреса на VPN, а кабелскиот сметач во соседната соба ја покажува адресата на добавувачот. Двата се приклучени на истиот рутер, така што разликата не е во поставките на VPN. Разликата е низ кој интерфејс, VLAN или политика сообраќајот навистина поминал. Покриеноста е својство на секоја патека одделно, а не својство на кутијата.

Споредувањето на двата клиенти еден до друг ја наоѓа разликата побрзо отколку читањето на правилата на рутерот.

Две патеки до истиот рутер

Рутер со VPN клиент може да го насочи сообраќајот од еден мост, еден VLAN или еден список порти и остатокот да го остави на WAN. Тоа е нормален дизајн, и затоа успешниот безжичен тест докажува само безжичната патека. Управуван преклопник исто така може да стави ѕидна порта на друг сегмент од оној што го користи пристапната точка, без никој да го допре рутерот. Политиките засновани на порти најлесно се пропуштаат, зашто портата изгледа како дел од истиот LAN.

Ист хардвер, друга политика. Физичката кутија не е границата што ја мислите.

Споредете ја излезната порта што ја користи секој клиент

На кабелската направа прочитајте го активниот интерфејс, неговата адреса и стандардната излезна порта. На машина каде и Wi-Fi и Ethernet се активни, метриката за рутирање одлучува кој ќе победи, а тоа често не е онаа што ја очекувате. Споредете ја таа порта со онаа што ја користел безжичниот клиент и проверете на која мрежа на рутерот припаѓа портата на преклопникот. Рецептот за WireGuard клиент во pfSense покажува како еден рутер може да има тунел, а другите интерфејси да останат недопрени.

Ако двете порти се разликуваат, имате одговор пред воопшто да допрете едно правило за огнен ѕид.

Споредете DNS и IPv6 одделно

Кабелски клиент со рачно поставен разрешувач може целосно да ја заобиколи DNS политиката на рутерот, дури и кога неговиот сообраќај е правилно насочен. IPv6 е другата половина: тунел што работи само со IPv4 може да го остави сообраќајот IPv6 на природната патека. Тестирајте барање за име и одредиште IPv6 од кабелската направа, не само проверка на адреса IPv4. Користете барање на кое само разрешувачот на рутерот би можел да одговори, на пример внатрешно име на домаќин.

Секое од нив е одделна споредба, и секое може да пропадне само за себе.

Споредете што се случува кога тунелот ќе падне

Ако дизајнот бара пристап само преку VPN, запрете го тунелот и тестирајте го кабелскиот клиент со безопасен сообраќај. Кабелската направа што се враќа на обичниот WAN останува онлајн, но ја промашува предвидената рута, што на секој што проверува само поврзаност му изгледа како успех. Безжичниот клиент може да се однесува поинаку, и токму таа разлика е споредбата што вреди.

Однесувањето при отказ е дел од покриеноста, а не граничен случај по неа.

Припишете го резултатот на вистинскиот слој

VPN клиент на ниво на направа или прокси во прелистувачот на кабелската машина може да ја промени измерената излезна адреса независно од рутерот. Запишете кои слоеви биле активни за време на тестот, инаку успешната промена на адресата ќе ѝ биде припишана на погрешната порта. Истата претпазливост важи и за кеширан резултат од пред промената.

Тестирајте свеж сообраќај, забележете ги слоевите и запишете го сегментот и интерфејсот. Токму тој запис ја прави следната споредба значајна наместо уште една претпоставка.