Wi-Fi funcționează prin VPN-ul routerului. Dar porturile cu cablu?

Laptopul pe Wi-Fi arată adresa de ieșire a VPN-ului, iar desktopul cu cablu din camera alăturată arată adresa furnizorului. Ambele sunt conectate la același router, deci diferența nu este în configurația VPN-ului. Diferența este prin ce interfață, VLAN sau politică a trecut efectiv traficul. Acoperirea este o proprietate a fiecărei căi, nu o proprietate a cutiei.

Compararea celor doi clienți unul lângă altul găsește diferența mai repede decât citirea regulilor routerului.

Două căi spre același router

Un router cu client VPN poate direcționa traficul dintr-un pod, dintr-un VLAN sau dintr-o listă de porturi și poate lăsa restul pe WAN. Acesta este un proiect normal, și de aceea un test fără fir reușit dovedește doar calea fără fir. Un switch administrat poate pune și un port de perete într-un alt segment decât cel folosit de punctul de acces, fără ca cineva să atingă routerul. Politicile bazate pe porturi sunt cele mai ușor de ratat, pentru că portul pare parte din același LAN.

Același hardware, altă politică. Cutia fizică nu este granița la care vă gândiți.

Comparați poarta de acces pe care fiecare client o folosește

Pe dispozitivul cu cablu, citiți interfața activă, adresa acesteia și poarta de acces implicită. Pe o mașină cu Wi-Fi și Ethernet ambele active, metrica de rutare decide care câștigă, și adesea nu este cea pe care o așteptați. Comparați acea poartă cu cea folosită de clientul fără fir și verificați cărei rețele a routerului îi aparține portul switchului. Rețeta de client WireGuard din pfSense arată cum un singur router poate avea un tunel și poate lăsa celelalte interfețe în pace.

Dacă cele două porți diferă, aveți răspunsul înainte de a atinge o singură regulă de firewall.

Comparați DNS și IPv6 separat

Un client cu cablu cu un resolver configurat manual poate ocoli complet politica DNS a routerului, chiar și când traficul său este direcționat corect. IPv6 este cealaltă jumătate: un tunel care tratează doar IPv4 poate lăsa traficul IPv6 pe calea nativă. Testați o interogare de nume și o destinație IPv6 de pe dispozitivul cu cablu, nu doar o verificare de adresă IPv4. Folosiți o interogare la care doar resolverul routerului ar putea răspunde, cum ar fi un nume de gazdă intern.

Fiecare dintre acestea este o comparație separată, și fiecare poate eșua de una singură.

Comparați ce se întâmplă când tunelul cade

Dacă proiectul cere acces doar prin VPN, opriți tunelul și testați clientul cu cablu cu trafic inofensiv. Un dispozitiv cu cablu care revine la WAN-ul obișnuit rămâne online dar ratează ruta dorită, ceea ce oricui verifică doar conectivitatea îi pare un succes. Clientul fără fir se poate comporta diferit, și exact acea diferență este comparația care merită făcută.

Comportamentul la eșec face parte din acoperire, nu este un caz limită ulterior.

Atribuiți rezultatul stratului corect

Un client VPN la nivel de dispozitiv sau un proxy de browser pe mașina cu cablu pot schimba adresa de ieșire măsurată independent de router. Notați ce straturi erau active în timpul testului, altfel o schimbare reușită de adresă este atribuită porții greșite. Aceeași prudență se aplică unui rezultat din cache de dinaintea schimbării.

Testați trafic proaspăt, notați straturile și scrieți segmentul și interfața. Această înregistrare este ce face următoarea comparație semnificativă în loc de încă o presupunere.