Si të kontrolloni nëse një satelit Mesh Wi-Fi përdor ruterin VPN

Një satelit që përgjigjet në të njëjtin emër Wi-Fi si rutori bazë nuk thotë pothuajse asgjë për atë se ku shkojnë paketat e klientëve të tij. Nyja është radio dhe urë derisa të vërtetohet e kundërta. Atë që përcakton daljen e vendos porta e paracaktuar që merr çdo klient dhe mënyra e përcjelljes së nyjes përpara tij. Kryeni këto pesë kontrolle nga klienti nga jashtë dhe do të keni një përgjigje që mund ta mbroni, jo një përshtypje nga një test shpejtësie.

Lexoni portën që klienti mori në të vërtetë

Në klient, printoni tabelën e rrugëve dhe tabelën e fqinjëve. Rruga e paracaktuar emërton adresën që përcjell trafikun; zëri i fqinjit emërton MAC-in që zotëron atë adresë. Përdorni klientin, jo listën e pajisjeve të ruterit, sepse një listë pajisjesh tregon shoqërime, jo rrugë.

ip route show default
ip -6 route show default
ip neigh show

Windows printon të njëjtat fakte në një formë tjetër: ipconfig /all jep portën e paracaktuar dhe arp -a jep MAC-in. Në macOS, route -n get default dhe arp -an mbulojnë të njëjtën gjë.

Krahasoni atë portë me dy adresa që i dini tashmë: adresa LAN e ruterit bazë dhe adresa e menaxhimit e satelitit. Nëse porta është adresa LAN e ruterit, klienti është i urëzuar te rutori dhe politika e ruterit për atë rrjet zbatohet e pandryshuar. Nëse porta është adresa e satelitit, sateliti po bën rrugëtim dhe rutori nuk i sheh kurrë paketat e klientit si trafik LAN; vendimi duhet të merret në nyje, përndryshe nuk merret fare.

Konfirmoni në cilën mënyrë është vërtet nyja

Produktet Mesh ripërdorin tre fjalë për sjellje të ndryshme, prandaj besoni më shumë rrugën e paketës sesa etiketën në aplikacion. Mënyra urë ose pikë aksesi përcjell korniza. Mënyra ruter përfundon një nënrrjet dhe ekzekuton DHCP. Mënyra mysafir zakonisht i vendos klientët në një VLAN të veçantë me rregullat e veta. Një nyje në mënyrën ruter pas një rutori tjetër është NAT i dyfishtë, dhe klientët e saj arrijnë te rutori VPN tashmë të përkthyer, gjë që minon politikën e bazuar në adresën burimore.

Për të përcaktuar MAC-in, lexoni etiketën në nyje dhe krahasojeni me ip neigh. Prodhuesit printojnë MAC-in bazë dhe nxjerrin MAC-in e çdo radioje duke rritur një bajt, kështu që shifra e fundit heksadecimale ndryshon; krahasoni prefiksin, jo adresën e plotë. Nëse MAC-i i portës i përket ndërfaqes LAN të ruterit, nyja nuk bën rrugëtim për atë klient.

Vërtetoni daljen në ruter, jo me një test shpejtësie

Gjendja në anën e ruterit është vendi i vetëm që tregon përkthimin. Në OpenWrt, listoni rregullat e politikës dhe tabelat e rrugëve, pastaj konfirmoni se tuneli ka një handshake të freskët:

ip rule show
ip route show table all | grep default
wg show

Në pfSense ose OPNsense të njëjtat dëshmi ndodhen në pfctl -sr për rregulla, pfctl -ss për gjendje aktive dhe në faqen e statusit të WireGuard për numëruesit e palëve, sipas dokumentacionit të klientit WireGuard. Filtro tabelën e gjendjeve sipas adresës së klientit. Nëse gjendja tregon klientin të përkthyer në adresën e tunelit, trafiku është brenda tunelit; nëse tregon adresën WAN, nuk është, çfarëdo që thotë distinktivi në panel.

Një traceroute nga klienti shton një fakt që tabela e gjendjeve nuk mund ta japë: kërcimin e parë. Nëse kërcimi i parë është adresa LAN e ruterit, klienti arriti ruterin drejtpërdrejt. Nëse është adresa e nyjes e ndjekur nga një kërcim tjetër privat, jeni në një segment të rrugëtuar, dhe ai kërcimi i dytë është pajisja që duhet të mbajë politikën.

Shikoni çfarë shpërndan nyja përveç adresës

Opsionet DHCP udhëtojnë me qiranë, kështu që një nyje me DHCP të vetin mund të shpërndajë edhe DNS-in e vet dhe njoftimet e veta të ruterit IPv6. Prandaj klienti mund të dalë përmes tunelit dhe gjithsesi të dërgojë pyetje te një zgjidhës në nyje, ose të marrë një adresë IPv6 globale që politika e tunelit nuk e mbulon kurrë. Printoni të dyja në klient:

cat /etc/resolv.conf
ip -6 addr show scope global

Nëse zgjidhësi është nyja dhe nyja përcjell te rutori, DNS ndjek tunelin. Nëse nyja zgjidh lokalisht ose tregon te zgjidhësi i ofruesit, pyetjet dalin jashtë tunelit edhe kur HTTP nuk e bën. IPv6 meriton të njëjtin test: një adresë globale plus një rrugë e paracaktuar që anashkalon tunelin është rrjedhje, dhe firmware-i Mesh shpesh e lë IPv6 të ndezur ndërsa politika VPN mbulon vetëm IPv4.

Thyeni tunelin qëllimisht, pastaj shkruani rezultatin

Ulni tunelin dhe vëzhgoni një klient të lidhur me atë nyje, jo një klient pranë ruterit. ping dhe një curl me afat të shkurtër mjaftojnë; pyetja është nëse trafiku ndalon ose bie përsëri në WAN. Ndalni tunelin me komandën e shërbimit të vetë ruterit, për shembull wg-quick down wg0 ose ndalimin e shërbimit OpenVPN, dhe mbajeni testin të shkurtër.

Nëse klienti vazhdon të funksionojë, nyja ose rutori dështon hapur për atë segment, dhe mesh-i e ka anuluar kill switch-in në heshtje. Kthejeni tunelin, konfirmoni që numëruesi i handshake lëvizi dhe përsëritni kontrollin e tabelës së gjendjeve nga hapi i tretë.

Shkruani një rresht për çdo nyje: etiketë, SSID, adresa e portës, prefiksi MAC, dalja e konfirmuar po ose jo, IPv6 i mbuluar dhe sjellja me tunelin e ulur. Roaming-u është vendi ku përgjigjja ndryshon, prandaj testoni dhomat që përdorni vërtet. Kur një rresht nuk përputhet me të tjerët, ajo nyje është ajo që duhet hetuar, dhe korrigjimi i takon pajisjes që zotëron portën e atij rreshti.