Ako zistiť, či satelit Mesh Wi-Fi používa router VPN
Sledujte predvolenú bránu, režim preposielania uzla a tabuľku stavov routera, aby ste dokázali, či klienti satelitu Mesh idú cez VPN.
Satelit, ktorý odpovedá na rovnaký názov Wi-Fi ako základný router, nehovorí takmer nič o tom, kam pakety jeho klientov smerujú. Uzol je rádio a most, kým sa nepreukáže opak. O výstupe rozhoduje predvolená brána, ktorú každý klient dostane, a režim preposielania uzla pred ním. Vykonajte týchto päť kontrol od klienta smerom von a získate odpoveď, ktorú môžete obhájiť, namiesto dojmu z testu rýchlosti.
Prečítajte si bránu, ktorú klient skutočne dostal
Na klientovi vypíšte smerovaciu tabuľku a tabuľku susedov. Predvolená trasa uvádza adresu, ktorá preposiela prevádzku; záznam suseda uvádza MAC, ktoré tejto adrese patrí. Použite klienta, nie zoznam zariadení routera, pretože zoznam zariadení ukazuje priradenia, nie cesty.
ip route show default
ip -6 route show default
ip neigh showWindows vypisuje tie isté fakty inou formou: ipconfig /all dáva predvolenú bránu a arp -a dáva MAC. V macOS route -n get default a arp -an pokrývajú to isté.
Porovnajte túto bránu s dvoma adresami, ktoré už poznáte: adresou LAN základného routera a adresou správy satelitu. Ak je brána adresou LAN routera, klient je premostený k routeru a politika routera pre túto LAN platí bez zmeny. Ak je brána adresou satelitu, satelit smeruje a router nikdy nevidí pakety klienta ako LAN prevádzku; rozhodnutie musí padnúť na uzle, inak nepadne vôbec.
Overte, v akom režime uzol skutočne je
Produkty Mesh používajú tri slová pre rôzne správanie, takže verte skôr ceste paketu než štítku v aplikácii. Režim mosta alebo prístupového bodu preposiela rámce. Režim routera ukončuje podsiete a prevádzkuje DHCP. Režim hosťa zvyčajne umiestňuje klientov do samostatnej VLAN s vlastnými pravidlami. Uzol v režime routera za iným routerom je dvojitý NAT a jeho klienti dorazia k routeru VPN už preložení, čo podkopáva politiku založenú na zdrojovej adrese.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
Na určenie MAC si prečítajte štítok na uzle a porovnajte ho s ip neigh. Výrobcovia tlačia základnú MAC a odvodzujú MAC jednotlivých rádií zvyšovaním bajtu, takže posledná hexadecimálna číslica sa líši; porovnávajte prefix, nie celú adresu. Ak MAC brány patrí rozhraniu LAN routera, uzol pre tohto klienta nesmeruje.
Dokážte výstup na routeri, nie testom rýchlosti
Stav na strane routera je jediné miesto, ktoré preklad ukazuje. V OpenWrt vypíšte pravidlá politiky a smerovacie tabuľky a potom potvrďte, že tunel má čerstvý handshake:
ip rule show
ip route show table all | grep default
wg showV pfSense alebo OPNsense sú rovnaké dôkazy v pfctl -sr pre pravidlá, pfctl -ss pre aktívne stavy a na stavovej stránke WireGuard pre počítadlá peerov, podľa dokumentácie klienta WireGuard. Filtrujte tabuľku stavov podľa adresy klienta. Ak stav ukazuje klienta preloženého na adresu tunela, prevádzka je v tuneli; ak ukazuje adresu WAN, nie je, nech si odznak na paneli hovorí čokoľvek.
Traceroute z klienta pridáva fakt, ktorý tabuľka stavov dať nemôže: prvý skok. Ak je prvým skokom adresa LAN routera, klient dosiahol router priamo. Ak je to adresa uzla nasledovaná ďalším privátnym skokom, ste v smerovanom segmente a tento druhý skok je zariadenie, ktoré musí držať politiku.
Skontrolujte, čo uzol prideľuje okrem adresy
Možnosti DHCP cestujú s lease, takže uzol s vlastným DHCP môže prideľovať aj vlastný DNS a vlastné oznámenia routera IPv6. Klient tak môže vychádzať tunelom a napriek tomu posielať dopyty prekladaču na uzle, alebo získať globálnu adresu IPv6, ktorú politika tunela nikdy nepokrýva. Vypíšte oboje na klientovi:
cat /etc/resolv.conf
ip -6 addr show scope globalAk je prekladačom uzol a uzol preposiela routeru, DNS nasleduje tunel. Ak uzol rieši lokálne alebo ukazuje na prekladač poskytovateľa, dopyty vychádzajú mimo tunela, aj keď HTTP nie. IPv6 si zaslúži rovnaký test: globálna adresa plus predvolená trasa obchádzajúca tunel je únik a firmware Mesh často necháva IPv6 zapnuté, kým politika VPN pokrýva len IPv4.
Prerušte tunel naschvál a potom výsledok zapíšte
Zhoďte tunel a sledujte klienta priradeného k tomuto uzlu, nie klienta vedľa routera. ping a curl s krátkym časovým limitom stačia; otázka je, či prevádzka prestane, alebo spadne späť na WAN. Zastavte tunel príkazom služby samotného routera, napríklad wg-quick down wg0 alebo zastavením služby OpenVPN, a test udržte krátky.
Ak klient funguje ďalej, uzol alebo router zlyháva otvorene pre tento segment a mesh ticho zrušil kill switch. Vráťte tunel, potvrďte, že sa počítadlo handshake pohlo, a zopakujte kontrolu tabuľky stavov z tretieho kroku.
Zapíšte jeden riadok na uzol: označenie, SSID, adresa brány, prefix MAC, výstup potvrdený áno alebo nie, IPv6 pokryté a správanie pri vypnutom tuneli. Roaming je miesto, kde sa odpoveď mení, takže testujte miestnosti, ktoré skutočne používate. Keď jeden riadok nesúhlasí s ostatnými, je to ten uzol, ktorý treba preskúmať, a oprava patrí zariadeniu, ktoré vlastní bránu z toho riadku.