Wi-Fi funguje cez VPN routera. A káblové porty?
Úspešný test Wi-Fi nedokazuje, že káblový port používa rovnakú politiku. Porovnajte bránu, VLAN a DNS priamo na káblovom zariadení.
Notebook na Wi-Fi ukazuje výstupnú adresu VPN a káblový počítač v susednej miestnosti ukazuje adresu poskytovateľa. Oba sú zapojené do toho istého routera, takže rozdiel nie je v konfigurácii VPN. Rozdiel je v tom, cez ktoré rozhranie, VLAN alebo politiku prevádzka skutočne prešla. Pokrytie je vlastnosť každej cesty, nie vlastnosť škatule.
Porovnanie oboch klientov vedľa seba nájde rozdiel rýchlejšie než čítanie pravidiel routera.
Dve cesty do toho istého routera
Router s klientom VPN môže smerovať prevádzku z jedného mosta, jedného VLAN alebo jedného zoznamu portov a zvyšok nechať na WAN. To je bežný návrh, a preto úspešný bezdrôtový test dokazuje len bezdrôtovú cestu. Spravovaný switch môže tiež umiestniť nástenný port do iného segmentu, než používa prístupový bod, bez toho, aby niekto siahol na router. Politiky založené na portoch sa prehliadnu najľahšie, pretože port vyzerá ako časť tej istej LAN.
Rovnaký hardvér, iná politika. Fyzická škatuľa nie je hranica, ktorú si myslíte.
Porovnajte bránu, ktorú každý klient skutočne používa
Na káblovom zariadení prečítajte aktívne rozhranie, jeho adresu a predvolenú bránu. Na stroji s aktívnym Wi-Fi aj Ethernetom rozhoduje metrika smerovania, kto zvíťazí, a často to nie je ten, ktorého čakáte. Porovnajte túto bránu s tou, ktorú použil bezdrôtový klient, a skontrolujte, do ktorej siete routera port switcha patrí. Recept na klienta WireGuard v pfSense ukazuje, ako jeden router môže vlastniť tunel a ostatné rozhrania nechať na pokoji.
Ak sa obe brány líšia, odpoveď máte skôr, než sa dotknete jediného pravidla firewallu.
Porovnajte DNS a IPv6 oddelene
Káblový klient s ručne nastaveným rezolverom môže politiku DNS routera úplne obísť, aj keď je jeho prevádzka správne smerovaná. IPv6 je druhá polovica: tunel, ktorý zvláda len IPv4, môže nechať prevádzku IPv6 na natívnej ceste. Otestujte dopyt na meno a cieľ IPv6 z káblového zariadenia, nie len kontrolu adresy IPv4. Použite dopyt, na ktorý by dokázal odpovedať len rezolver routera, napríklad interné meno hostiteľa.
Každé z toho je samostatné porovnanie a každé môže zlyhať samo o sebe.
Porovnajte, čo sa stane, keď tunel padne
Ak návrh vyžaduje prístup len cez VPN, zastavte tunel a otestujte káblového klienta neškodnou prevádzkou. Káblové zariadenie, ktoré spadne späť na bežnú WAN, zostane online, ale minie zamýšľanú trasu, čo každému, kto kontroluje len konektivitu, pripadá ako úspech. Bezdrôtový klient sa môže správať inak a práve ten rozdiel stojí za porovnanie.
Správanie pri zlyhaní je súčasťou pokrytia, nie neskorší okrajový prípad.
Priraďte výsledok správnej vrstve
Klient VPN na úrovni zariadenia alebo proxy v prehliadači na káblovom stroji môžu zmeniť nameranú výstupnú adresu nezávisle od routera. Zaznamenajte, ktoré vrstvy boli počas testu aktívne, inak sa úspešná zmena adresy pripíše nesprávnej bráne. Rovnaká opatrnosť platí pre výsledok z vyrovnávacej pamäte spred zmeny.
Testujte čerstvú prevádzku, poznamenajte vrstvy a zapíšte segment a rozhranie. Práve tento záznam robí ďalšie porovnanie zmysluplným namiesto ďalšieho hádania.