Wi-Fi działa przez VPN routera. A porty kablowe?

Laptop na Wi-Fi pokazuje adres wyjściowy VPN, a kablowa stacjonarka w sąsiednim pokoju pokazuje adres dostawcy. Oba są podłączone do tego samego routera, więc różnica nie leży w konfiguracji VPN. Leży w tym, przez który interfejs, VLAN lub politykę ruch faktycznie przeszedł. Pokrycie jest właściwością każdej drogi, a nie właściwością pudełka.

Porównanie obu klientów obok siebie znajduje różnicę szybciej niż czytanie reguł routera.

Dwie drogi do tego samego routera

Router z klientem VPN może kierować ruch z jednego mostu, jednego VLAN-u lub jednej listy portów, a resztę zostawić w WAN. To normalny projekt, dlatego udany test bezprzewodowy dowodzi tylko drogi bezprzewodowej. Zarządzany switch może też umieścić port ścienny w innym segmencie niż ten, którego używa punkt dostępowy, bez dotykania routera. Polityki oparte na portach najłatwiej przeoczyć, bo port wygląda jak część tej samej sieci LAN.

Ten sam sprzęt, inna polityka. Fizyczne pudełko nie jest granicą, którą myślisz.

Porównaj bramę, której każdy klient naprawdę używa

Na urządzeniu kablowym odczytaj aktywny interfejs, jego adres i domyślną bramę. Na maszynie z aktywnym Wi-Fi i Ethernetem metryka routingu decyduje, kto wygra, i często nie jest to strona, której oczekujesz. Porównaj tę bramę z tą, której użył klient bezprzewodowy, i sprawdź, do której sieci routera należy port switcha. Przepis na klienta WireGuard w pfSense pokazuje, jak jeden router może mieć tunel, a inne interfejsy zostawić w spokoju.

Jeśli obie bramy się różnią, masz odpowiedź, zanim dotkniesz choćby jednej reguły firewalla.

Porównaj DNS i IPv6 osobno

Kablowy klient z ręcznie skonfigurowanym resolverem może całkowicie obejść politykę DNS routera, nawet gdy jego ruch jest prawidłowo kierowany. IPv6 to druga połowa: tunel obsługujący tylko IPv4 może zostawić ruch IPv6 na ścieżce natywnej. Przetestuj zapytanie o nazwę i cel IPv6 z urządzenia kablowego, a nie tylko sprawdzenie adresu IPv4. Użyj zapytania, na które mógłby odpowiedzieć tylko resolver routera, na przykład wewnętrznej nazwy hosta.

Każde z nich to osobne porównanie i każde może zawieść samo.

Porównaj, co się dzieje, gdy tunel padnie

Jeśli projekt wymaga dostępu wyłącznie przez VPN, zatrzymaj tunel i przetestuj klienta kablowego nieszkodliwym ruchem. Urządzenie kablowe, które wraca do zwykłego WAN, pozostaje online, ale mija zamierzoną trasę, co każdemu, kto sprawdza tylko łączność, wygląda jak sukces. Klient bezprzewodowy może zachowywać się inaczej, i właśnie ta różnica jest warta porównania.

Zachowanie przy awarii jest częścią pokrycia, a nie późniejszym przypadkiem brzegowym.

Przypisz wynik właściwej warstwie

Klient VPN na poziomie urządzenia lub proxy przeglądarki na maszynie kablowej mogą zmienić zmierzony adres wyjściowy niezależnie od routera. Zapisz, które warstwy były aktywne podczas testu, inaczej udana zmiana adresu zostanie przypisana niewłaściwej bramie. Ta sama ostrożność dotyczy wyniku z pamięci podręcznej sprzed zmiany.

Testuj świeży ruch, zanotuj warstwy i zapisz segment oraz interfejs. To właśnie ten zapis czyni następne porównanie sensownym, a nie kolejnym domysłem.