Wifi werkt via de VPN van de router. En de bekabelde poorten?

De wifi-laptop toont het uitgangsadres van de VPN, en de bekabelde desktop in de kamer ernaast toont dat van de provider. Beide zitten op dezelfde router, dus het verschil zit niet in de VPN-configuratie. Het zit in welke interface, VLAN of welk beleid het verkeer werkelijk heeft doorlopen. Dekking is een eigenschap per pad, geen eigenschap van de doos.

De twee clients naast elkaar vergelijken vindt het verschil sneller dan de regels van de router lezen.

Twee paden naar dezelfde router

Een router met VPN-client kan verkeer van één bridge, één VLAN of één poortenlijst sturen en de rest op de WAN laten. Dat is een normaal ontwerp, en daarom bewijst een geslaagde draadloze test alleen het draadloze pad. Een beheerde switch kan ook een muurpoort op een ander segment zetten dan dat van het accesspoint, zonder dat iemand de router aanraakt. Poortgebaseerd beleid wordt het makkelijkst gemist, omdat de poort onderdeel van hetzelfde LAN lijkt.

Dezelfde hardware, ander beleid. De fysieke doos is niet de grens die je denkt.

Vergelijk de gateway die elke client echt gebruikt

Lees op het bekabelde apparaat de actieve interface, het adres en de standaardgateway. Op een machine waarop wifi en Ethernet beide actief zijn, bepaalt de routing-metriek wie wint, en dat is vaak niet degene die je verwacht. Vergelijk die gateway met die van de draadloze client, en controleer bij welk routernetwerk de switchpoort hoort. Het WireGuard-clientrecept in pfSense laat zien hoe één router een tunnel kan hebben en andere interfaces met rust laat.

Verschillen de twee gateways, dan heb je het antwoord voordat je één firewallregel aanraakt.

Vergelijk DNS en IPv6 apart

Een bekabelde client met een handmatig ingestelde resolver kan het DNS-beleid van de router volledig omzeilen, zelfs als het verkeer correct wordt gestuurd. IPv6 is de andere helft: een tunnel die alleen IPv4 aankan, kan IPv6-verkeer op het oorspronkelijke pad laten. Test een naamopvraag en een IPv6-bestemming vanaf het bekabelde apparaat, niet alleen een IPv4-adrescontrole. Gebruik een query die alleen de resolver van de router kan beantwoorden, zoals een interne hostnaam.

Elk daarvan is een aparte vergelijking, en elk kan op zichzelf mislukken.

Vergelijk wat er gebeurt als de tunnel wegvalt

Als het ontwerp alleen toegang via VPN vereist, stop de tunnel en test de bekabelde client met onschadelijk verkeer. Een bekabeld apparaat dat terugvalt op de gewone WAN blijft online maar mist de bedoelde route, wat voor iedereen die alleen connectiviteit controleert op succes lijkt. De draadloze client kan zich anders gedragen, en juist dat verschil is de vergelijking waard.

Faaltijdgedrag hoort bij de dekking, en is geen randgeval achteraf.

Schrijf het resultaat toe aan de juiste laag

Een VPN-client op apparaatniveau of een browserproxy op de bekabelde machine kan het gemeten uitgangsadres los van de router veranderen. Noteer welke lagen tijdens de test actief waren, anders wordt een geslaagde adreswijziging aan de verkeerde gateway toegeschreven. Dezelfde voorzichtigheid geldt voor een gecacht resultaat van vóór de wijziging.

Test vers verkeer, noteer de lagen, en schrijf het segment en de interface op. Die registratie is wat de volgende vergelijking zinvol maakt in plaats van weer een gok.