Wi-Fi работает через VPN роутера. А проводные порты?

Ноутбук по Wi-Fi показывает выходной адрес VPN, а проводной компьютер в соседней комнате показывает адрес провайдера. Оба подключены к одному роутеру, поэтому разница не в настройках VPN. Разница в том, через какой интерфейс, VLAN или политику трафик действительно прошёл. Покрытие — свойство каждого пути, а не свойство коробки.

Сравнение двух клиентов рядом находит разницу быстрее, чем чтение правил роутера.

Два пути к одному роутеру

Роутер с VPN-клиентом может направлять трафик из одного моста, одного VLAN или одного списка портов, а остальное оставлять в WAN. Это обычная схема, и поэтому удачная беспроводная проверка доказывает только беспроводной путь. Управляемый коммутатор тоже может поместить настенный порт в другой сегмент, нежели тот, который использует точка доступа, и никто не трогает роутер. Политики на основе портов пропускают легче всего, потому что порт выглядит частью того же LAN.

То же железо, другая политика. Физическая коробка — не та граница, о которой вы думаете.

Сравните шлюз, который реально использует каждый клиент

На проводном устройстве прочитайте активный интерфейс, его адрес и шлюз по умолчанию. На машине, где одновременно работают Wi-Fi и Ethernet, метрика маршрутизации решает, кто победит, и часто это не то, чего вы ждёте. Сравните этот шлюз с тем, который использовал беспроводной клиент, и проверьте, к какой сети роутера относится порт коммутатора. Рецепт клиента WireGuard в pfSense показывает, как один роутер может владеть туннелем, оставляя другие интерфейсы в покое.

Если два шлюза различаются, ответ у вас есть ещё до того, как вы тронете хоть одно правило брандмауэра.

Сравните DNS и IPv6 по отдельности

Проводной клиент с вручную настроенным резолвером может полностью обойти DNS-политику роутера, даже когда его трафик направляется правильно. IPv6 — вторая половина: туннель, который обрабатывает только IPv4, может оставить трафик IPv6 на естественном пути. Проверьте запрос имени и назначение IPv6 с проводного устройства, а не только проверку адреса IPv4. Используйте запрос, на который мог бы ответить только резолвер роутера, например внутреннее имя хоста.

Каждое из этого — отдельное сравнение, и каждое может провалиться само по себе.

Сравните, что происходит при падении туннеля

Если схема требует доступа только через VPN, остановите туннель и проверьте проводной клиент безвредным трафиком. Проводное устройство, которое откатывается на обычный WAN, остаётся в сети, но теряет нужный маршрут, и это кажется успехом всякому, кто проверяет только связность. Беспроводной клиент может вести себя иначе, и именно эта разница и есть сравнение, ради которого стоит потрудиться.

Поведение при отказе — часть покрытия, а не пограничный случай после него.

Отнесите результат к правильному уровню

VPN-клиент на уровне устройства или прокси браузера на проводной машине могут изменить измеренный выходной адрес независимо от роутера. Запишите, какие уровни были активны во время проверки, иначе удачная смена адреса будет приписана не тому шлюзу. Та же осторожность относится к кэшированному результату, полученному до изменения.

Проверяйте свежий трафик, отмечайте уровни и записывайте сегмент и интерфейс. Именно эта запись делает следующее сравнение осмысленным, а не очередной догадкой.