Kako preveriti, ali satelit Mesh Wi-Fi uporablja usmerjevalnik VPN
Sledite privzeti prehod, način posredovanja vozlišča in tabelo stanj usmerjevalnika, da dokažete, ali odjemalci satelita Mesh gredo skozi VPN.
Satelit, ki se odziva na isto ime Wi-Fi kot osnovni usmerjevalnik, ne pove skoraj nič o tem, kam gredo paketi njegovih odjemalcev. Vozlišče je radio in most, dokler ni dokazano nasprotno. O izhodu odločata privzeti prehod, ki ga prejme vsak odjemalec, in način posredovanja vozlišča pred njim. Izvedite teh pet preverjanj od odjemalca navzven in dobili boste odgovor, ki ga lahko branite, namesto vtisa s testa hitrosti.
Preberite prehod, ki ga je odjemalec dejansko dobil
Na odjemalcu izpišite tabelo poti in tabelo sosedov. Privzeta pot navaja naslov, ki posreduje promet; vnos soseda navaja MAC, ki temu naslovu pripada. Uporabite odjemalca, ne seznama naprav usmerjevalnika, ker seznam naprav prikazuje povezave, ne poti.
ip route show default
ip -6 route show default
ip neigh showWindows izpiše ista dejstva v drugi obliki: ipconfig /all da privzeti prehod in arp -a da MAC. V macOS route -n get default in arp -an pokrivata isto.
Primerjajte ta prehod z dvema naslovoma, ki ju že poznate: z naslovom LAN osnovnega usmerjevalnika in z upravljalnim naslovom satelita. Če je prehod naslov LAN usmerjevalnika, je odjemalec premosten na usmerjevalnik in pravilnik usmerjevalnika za to omrežje LAN velja nespremenjen. Če je prehod naslov satelita, satelit usmerja in usmerjevalnik nikoli ne vidi paketov odjemalca kot prometa LAN; odločitev mora pasti na vozlišču, sicer ne pade.
Potrdite, v katerem načinu je vozlišče v resnici
Izdelki Mesh uporabljajo tri besede za različno vedenje, zato bolj zaupajte poti paketa kot oznaki v aplikaciji. Način mostu ali dostopne točke posreduje okvire. Način usmerjevalnika zaključi podomrežje in izvaja DHCP. Gostinski način običajno postavi odjemalce v ločen VLAN z lastnimi pravili. Vozlišče v načinu usmerjevalnika za drugim usmerjevalnikom je dvojni NAT, njegovi odjemalci pa do usmerjevalnika VPN pridejo že prevedeni, kar spodkoplje pravilnik, ki temelji na izvornem naslovu.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
Za določitev MAC preberite oznako na vozlišču in jo primerjajte z ip neigh. Proizvajalci natisnejo osnovni MAC in izpeljejo MAC posameznih radiev s povečevanjem bajta, zato se zadnja šestnajstiška številka razlikuje; primerjajte predpono, ne celega naslova. Če MAC prehoda pripada vmesniku LAN usmerjevalnika, vozlišče za tega odjemalca ne usmerja.
Dokažite izhod na usmerjevalniku, ne s testom hitrosti
Stanje na strani usmerjevalnika je edino mesto, ki prikaže prevod. V OpenWrt izpišite pravila pravilnika in tabele usmerjanja, nato potrdite, da ima predor svež handshake:
ip rule show
ip route show table all | grep default
wg showV pfSense ali OPNsense so isti dokazi v pfctl -sr za pravila, pfctl -ss za aktivna stanja in na statusni strani WireGuarda za števce sopotnikov, v skladu z dokumentacijo odjemalca WireGuard. Filtrirajte tabelo stanj po naslovu odjemalca. Če stanje kaže odjemalca prevedenega na naslov predora, je promet v predoru; če kaže naslov WAN, ni, kar koli trdi značka na nadzorni plošči.
Traceroute z odjemalca doda dejstvo, ki ga tabela stanj ne more dati: prvi skok. Če je prvi skok naslov LAN usmerjevalnika, je odjemalec do usmerjevalnika prišel neposredno. Če je to naslov vozlišča, ki mu sledi še en zasebni skok, ste na usmerjenem segmentu, in ta drugi skok je naprava, ki mora držati pravilnik.
Preverite, kaj vozlišče dodeljuje poleg naslova
Možnosti DHCP potujejo z zakupom, zato lahko vozlišče z lastnim DHCP dodeljuje tudi lastni DNS in lastne objave usmerjevalnika IPv6. Odjemalec lahko zato izhaja skozi predor in vseeno pošilja poizvedbe razreševalniku na vozlišču ali dobi globalni naslov IPv6, ki ga pravilnik predora nikoli ne pokrije. Izpišite oboje na odjemalcu:
cat /etc/resolv.conf
ip -6 addr show scope globalČe je razreševalnik vozlišče in vozlišče posreduje usmerjevalniku, DNS sledi predoru. Če vozlišče razrešuje lokalno ali kaže na razreševalnik ponudnika, poizvedbe zapustijo predor, tudi ko HTTP ne. IPv6 si zasluži isto preverjanje: globalni naslov plus privzeta pot, ki obide predor, je uhajanje, in firmware Mesh pogosto pusti IPv6 vklopljen, medtem ko pravilnik VPN pokriva le IPv4.
Prekinite predor namenoma in nato zapišite rezultat
Spustite predor in opazujte odjemalca, povezanega s tem vozliščem, ne odjemalca ob usmerjevalniku. ping in curl s kratkim časovnim omejitvijo zadoščata; vprašanje je, ali se promet ustavi ali pade nazaj na WAN. Ustavite predor z ukazom storitve samega usmerjevalnika, na primer wg-quick down wg0 ali z ustavitvijo storitve OpenVPN, in preizkus naj bo kratek.
Če odjemalec deluje naprej, vozlišče ali usmerjevalnik odpoveduje odprto za ta segment, in mesh je tiho razveljavil kill switch. Vrnite predor, potrdite, da se je števec handshaka premaknil, in ponovite preverjanje tabele stanj iz tretjega koraka.
Zapišite eno vrstico na vozlišče: oznaka, SSID, naslov prehoda, predpona MAC, izhod potrjen da ali ne, IPv6 pokrit in vedenje ob izklopljenem predoru. Gostovanje je kraj, kjer se odgovor spremeni, zato preizkusite prostore, ki jih res uporabljate. Ko se ena vrstica ne ujema z drugimi, je treba raziskati to vozlišče, popravek pa spada na napravo, ki ima prehod iz te vrstice.