Mesh Wi-Fi хиймэл дагуул VPN чиглүүлэгчийг ашиглаж байгаа эсэхийг хэрхэн шалгах вэ
Mesh хиймэл дагуулын клиентүүд VPN-ээр гарч байгааг батлахын тулд өгөгдмөл гарц, зангилааны дамжуулах горим, чиглүүлэгчийн төлөвийн хүснэгтийг дагаарай.
Суурь чиглүүлэгчтэй ижил Wi-Fi нэрэнд хариу үзүүлдэг хиймэл дагуул нь түүний клиентүүдийн пакетууд хаашаа явдгийн талаар бараг юу ч хэлдэггүй. Зангилаа нь радио ба гүүр бөгөөд эсрэг нь батлагдах хүртэл. Гарцыг клиент бүрт очих өгөгдмөл гарц болон түүний урд байгаа зангилааны дамжуулах горим шийддэг. Эдгээр таван шалгалтыг клиентээс гадагш хийгээрэй, тэгвэл хурдны шалгалтын сэтгэгдэл биш, хамгаалж болох хариулт танд олдоно.
Клиент үнэхээр авсан гарцыг уншаарай
Клиент дээр маршрутын хүснэгт болон хөршийн хүснэгтийг хэвлээрэй. Өгөгдмөл маршрут трафикийг дамжуулах хаягийг нэрлэнэ; хөршийн бичлэг тэр хаягт хамаарах MAC-ийг нэрлэнэ. Чиглүүлэгчийн төхөөрөмжийн жагсаалт биш, клиентийг ашиглаарай, учир нь төхөөрөмжийн жагсаалт холбоосыг харуулдаг, замыг биш.
ip route show default
ip -6 route show default
ip neigh showWindows ижил баримтуудыг өөр хэлбэрээр хэвлэдэг: ipconfig /all өгөгдмөл гарцыг өгдөг, arp -a MAC-ийг өгдөг. macOS дээр route -n get default ба arp -an ижил зүйлийг хамарна.
Тэр гарцыг таны аль хэдийн мэддэг хоёр хаягтай харьцуулаарай: суурь чиглүүлэгчийн LAN хаяг ба хиймэл дагуулын удирдлагын хаяг. Хэрэв гарц нь чиглүүлэгчийн LAN хаяг бол клиент чиглүүлэгч рүү гүүрээр холбогдсон бөгөөд тухайн сүлжээний чиглүүлэгчийн бодлого өөрчлөлтгүй үйлчилнэ. Хэрэв гарц нь хиймэл дагуулын хаяг бол хиймэл дагуул чиглүүлж, чиглүүлэгч клиентийн пакетыг LAN трафик гэж хэзээ ч харахгүй; шийдвэр зангилаа дээр гарна, эс бөгөөс огт гарахгүй.
Зангилаа үнэхээр аль горимд байгааг батал
Mesh бүтээгдэхүүнүүд өөр өөр зан төлөвт гурван үгийг дахин ашигладаг тул програмын шошгоноос илүү пакетын замд итгээрэй. Гүүр буюу хандалтын цэгийн горим кадрыг дамжуулна. Чиглүүлэгчийн горим дэд сүлжээг дуусгаж, DHCP ажиллуулна. Зочны горим ихэвчлэн клиентүүдийг өөрийн дүрэмтэй тусдаа VLAN-д байрлуулна. Өөр чиглүүлэгчийн ард байгаа чиглүүлэгчийн горим дахь зангилаа нь давхар NAT бөгөөд клиентүүд нь VPN чиглүүлэгч рүү аль хэдийн хөрвүүлэгдсэн байж очдог нь эх хаяг дээр тулгуурласан бодлогыг сулруулдаг.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
MAC-ийг тодорхойлохын тулд зангилааны шошгыг уншиж, дараахтай харьцуулаарай: ip neigh. Үйлдвэрлэгчид үндсэн MAC-ийг хэвлэж, радио бүрийн MAC-ийг байтыг нэмэгдүүлэх замаар гаргадаг тул сүүлийн арван зургаатын орон өөр байна; бүтэн хаяг биш, угтварыг харьцуулаарай. Хэрэв гарцын MAC нь чиглүүлэгчийн LAN интерфэйст хамаардаг бол зангилаа тэр клиентийн хувьд чиглүүлэхгүй.
Гарцыг чиглүүлэгч дээр батал, хурдны шалгалтаар биш
Чиглүүлэгчийн талын төлөв нь хөрвүүлэлтийг харуулдаг цорын ганц газар. OpenWrt дээр бодлогын дүрэм болон чиглүүлэх хүснэгтүүдийг хэвлээд, дараа нь туннельд шинэ handshake байгааг батал:
ip rule show
ip route show table all | grep default
wg showpfSense эсвэл OPNsense дээр ижил нотолгоо энд байна: pfctl -sr дүрмийн хувьд, pfctl -ss идэвхтэй төлөвийн хувьд, WireGuard-ийн төлөвийн хуудсанд хосын тоолуурын хувьд, дараахын дагуу: WireGuard клиентийн баримт бичиг. Төлөвийн хүснэгтийг клиентийн хаягаар шүүнэ. Хэрэв төлөв клиентийг туннелийн хаяг руу хөрвүүлсэн гэж харуулбал трафик туннель дотор байна; хэрэв WAN хаяг харуулбал тийм биш, хяналтын тавцангийн тэмдэг юу ч гэсэн.
Клиентээс traceroute нь төлөвийн хүснэгт өгч чадахгүй нэг баримтыг нэмнэ: эхний үсрэлт. Хэрэв эхний үсрэлт нь чиглүүлэгчийн LAN хаяг бол клиент чиглүүлэгч рүү шууд хүрсэн. Хэрэв энэ нь зангилааны хаяг бөгөөд дараа нь өөр нэг хувийн үсрэлт байвал та чиглүүлэгдсэн сегмент дээр байна, тэр хоёр дахь үсрэлт нь бодлогыг барих ёстой төхөөрөмж юм.
Зангилаа хаягаас гадна юу тарааж байгааг шалгаарай
DHCP сонголтууд түрээсийн хамт явдаг тул өөрийн DHCP-тэй зангилаа өөрийн DNS болон өөрийн IPv6 чиглүүлэгчийн зарлалыг ч тарааж чадна. Тиймээс клиент туннелээр гарч, нэгэн зэрэг зангилаа дээрх resolver рүү асуулга явуулах эсвэл туннелийн бодлого хэзээ ч хамардаггүй глобал IPv6 хаяг авах боломжтой. Хоёуланг нь клиент дээр хэвлээрэй:
cat /etc/resolv.conf
ip -6 addr show scope globalХэрэв resolver нь зангилаа бөгөөд зангилаа чиглүүлэгч рүү дамжуулбал DNS туннелийг дагана. Хэрэв зангилаа локалаар шийдвэрлэх эсвэл нийлүүлэгчийн resolver руу заавал асуулга HTTP-ийн адил биш ч туннель гадна гарна. IPv6 мөн адил шалгалт хүртэх ёстой: глобал хаяг ба туннелийг тойрсон өгөгдмөл маршрут бол алдагдал, Mesh програм хангамж ихэвчлэн IPv6-г асаалттай үлдээдэг бол VPN бодлого зөвхөн IPv4-ийг хамардаг.
Туннелийг зориуд тасал, дараа нь үр дүнг бичээрэй
Туннелийг буулгаж, тэр зангилаатай холбогдсон клиентийг ажиглаарай, чиглүүлэгчийн хажууд байгаа клиентийг биш. ping ба curl богино хугацааны хязгаартай хангалттай; асуулт нь трафик зогсох уу эсвэл WAN руу буцах уу. Туннелийг чиглүүлэгчийн өөрийн үйлчилгээний командаар зогсоо, жишээ нь wg-quick down wg0 эсвэл OpenVPN үйлчилгээг зогсоож, шалгалтыг богино байлга.
Хэрэв клиент үргэлжлүүлэн ажиллаж байвал зангилаа эсвэл чиглүүлэгч тэр сегментийн хувьд нээлттэйгээр бүтэлгүйтэж, mesh kill switch-ийг чимээгүй цуцалсан байна. Туннелийг буцааж, handshake тоолуур хөдөлснийг баталж, гурав дахь алхмын төлөвийн хүснэгтийн шалгалтыг давтаарай.
Зангилаа бүрт нэг мөр бич: шошго, SSID, гарцын хаяг, MAC угтвар, гарц батлагдсан тийм эсвэл үгүй, IPv6 хамрагдсан ба туннель унасан үеийн зан төлөв. Роуминг бол хариулт өөрчлөгддөг газар тул үнэхээр ашигладаг өрөөнүүдийг шалгаарай. Нэг мөр бусадтай саарахгүй бол тэр зангилаа мөрдөн шалгах ёстой бөгөөд засвар нь тэр мөрийн гарцыг эзэмшдэг төхөөрөмжид хамаарна.