O Wi-Fi funciona pela VPN do router. E as portas por cabo?

O portátil em Wi-Fi mostra o endereço de saída da VPN, e o desktop por cabo na sala ao lado mostra o do provedor. Os dois estão ligados ao mesmo router, portanto a diferença não está na configuração da VPN. Está em qual interface, VLAN ou política o tráfego realmente passou. A cobertura é uma propriedade de cada caminho, não uma propriedade da caixa.

Comparar os dois clientes lado a lado encontra a diferença mais depressa do que ler as regras do router.

Dois caminhos até o mesmo router

Um router com cliente VPN pode encaminhar tráfego de uma bridge, de uma VLAN ou de uma lista de portas e deixar o resto na WAN. É um desenho normal, e é por isso que um teste sem fios bem-sucedido só prova o caminho sem fios. Um switch gerido também pode colocar uma porta de parede num segmento diferente do que o ponto de acesso usa, sem que ninguém toque no router. As políticas baseadas em portas são as mais fáceis de escapar, porque a porta parece fazer parte da mesma LAN.

O mesmo hardware, outra política. A caixa física não é a fronteira que você pensa.

Compare o gateway que cada cliente realmente usa

No dispositivo por cabo, leia a interface ativa, o endereço e o gateway predefinido. Numa máquina com Wi-Fi e Ethernet ambos ativos, a métrica de encaminhamento decide qual vence, e muitas vezes não é a que você espera. Compare esse gateway com o que o cliente sem fios usou, e verifique a que rede do router pertence a porta do switch. A receita de cliente WireGuard do pfSense mostra como um único router pode ter um túnel e deixar as outras interfaces em paz.

Se os dois gateways forem diferentes, já tem a resposta antes de tocar numa única regra de firewall.

Compare DNS e IPv6 separadamente

Um cliente por cabo com um resolver configurado à mão pode contornar por completo a política de DNS do router, mesmo quando o seu tráfego é encaminhado corretamente. O IPv6 é a outra metade: um túnel que só trata de IPv4 pode deixar o tráfego IPv6 no caminho nativo. Teste uma consulta de nome e um destino IPv6 a partir do dispositivo por cabo, não apenas uma verificação de endereço IPv4. Use uma consulta que só o resolver do router poderia responder, como um nome de host interno.

Cada uma dessas é uma comparação separada, e cada uma pode falhar por si.

Compare o que acontece quando o túnel cai

Se o desenho exige acesso apenas por VPN, pare o túnel e teste o cliente por cabo com tráfego inofensivo. Um dispositivo por cabo que volta à WAN normal fica online mas perde a rota pretendida, o que a quem só verifica a conectividade parece um sucesso. O cliente sem fios pode comportar-se de forma diferente, e essa diferença é a comparação que vale a pena.

O comportamento em caso de falha faz parte da cobertura, não é um caso limite posterior.

Atribua o resultado à camada certa

Um cliente VPN ao nível do dispositivo ou um proxy do navegador na máquina por cabo podem alterar o endereço de saída medido independentemente do router. Anote que camadas estavam ativas durante o teste, senão uma mudança de endereço bem-sucedida é creditada ao gateway errado. A mesma cautela aplica-se a um resultado em cache anterior à mudança.

Teste tráfego novo, anote as camadas e escreva o segmento e a interface. É esse registo que torna a próxima comparação significativa em vez de mais um palpite.