Како проверити да ли Mesh Wi-Fi сателит користи VPN рутер
Пратите подразумевани гејтвеј, режим прослеђивања чвора и табелу стања рутера да бисте доказали да ли клијенти Mesh сателита иду кроз VPN.
Сателит који одговара на исто Wi-Fi име као основни рутер не говори готово ништа о томе куда иду пакети његових клијената. Чвор је радио и мост док се не докаже супротно. О излазу одлучују подразумевани гејтвеј који сваки клијент добије и режим прослеђивања чвора испред њега. Урадите ових пет провера од клијента ка споља и добићете одговор који можете бранити, уместо утиска из теста брзине.
Прочитајте гејтвеј који је клијент стварно добио
На клијенту испишите табелу рута и табелу суседа. Подразумевана рута наводи адресу која прослеђује саобраћај; запис суседа наводи MAC који тој адреси припада. Користите клијент, а не списак уређаја рутера, јер списак уређаја показује придруживања, а не путање.
ip route show default
ip -6 route show default
ip neigh showWindows исписује исте чињенице у другом облику: ipconfig /all даје подразумевани гејтвеј, а arp -a даје MAC. На macOS-у route -n get default и arp -an покривају исто.
Упоредите тај гејтвеј са две адресе које већ знате: LAN адресом основног рутера и управљачком адресом сателита. Ако је гејтвеј LAN адреса рутера, клијент је премошћен на рутер и политика рутера за ту мрежу важи непромењена. Ако је гејтвеј адреса сателита, сателит усмерава и рутер никада не види пакете клијента као LAN саобраћај; одлука мора пасти на чвору, иначе не пада уопште.
Потврдите у ком режиму је чвор стварно
Mesh производи користе три речи за различито понашање, зато верујте путу пакета више него ознаци у апликацији. Режим моста или приступне тачке прослеђује оквире. Режим рутера завршава подмрежу и покреће DHCP. Гостински режим обично смешта клијенте у засебан VLAN са сопственим правилима. Чвор у режиму рутера иза другог рутера је двоструки NAT, а његови клијенти долазе до VPN рутера већ преведени, што поткопава политику засновану на изворној адреси.
| What you see | What it means | Next check |
|---|---|---|
| Gateway is the router's LAN address, one MAC for every node | The node bridges; the router owns the policy | Router policy for that LAN and VLAN |
| Gateway is the node's address and DHCP comes from the node | The node routes; double NAT | Node's own VPN client, or a static route plus policy on the router |
| Gateway is a different subnet on a guest SSID | Guest VLAN, often client-isolated | Whether that VLAN is inside the tunnel policy |
| Gateway changes when you walk into another room | Roaming across segments | Repeat the check per node |
Да бисте утврдили MAC, прочитајте налепницу на чвору и упоредите је са ip neigh. Произвођачи штампају основни MAC и изводе MAC појединих радија повећавањем бајта, па се последња хексадецимална цифра разликује; упоредите префикс, а не целу адресу. Ако MAC гејтвеја припада LAN интерфејсу рутера, чвор не усмерава за тог клијента.
Докажите излаз на рутеру, а не тестом брзине
Стање на страни рутера једино је место које показује превод. На OpenWrt-у испишите правила политике и табеле усмеравања, а затим потврдите да тунел има свеж handshake:
ip rule show
ip route show table all | grep default
wg showНа pfSense или OPNsense исти докази се налазе у pfctl -sr за правила, pfctl -ss за активна стања и на статусној страници WireGuarda за бројаче партнера, према документацији WireGuard клијента. Филтрирајте табелу стања по адреси клијента. Ако стање показује клијента преведеног на адресу тунела, саобраћај је у тунелу; ако показује WAN адресу, није, шта год тврдила значка на контролној табли.
Traceroute са клијента додаје чињеницу коју табела стања не може дати: први скок. Ако је први скок LAN адреса рутера, клијент је до рутера дошао директно. Ако је то адреса чвора праћена још једним приватним скоком, налазите се на усмереном сегменту, а тај други скок је уређај који мора да држи политику.
Проверите шта чвор дели осим адресе
DHCP опције путују са lease-ом, па чвор са сопственим DHCP-ом може делити и сопствени DNS и сопствене објаве IPv6 рутера. Клијент стога може излазити кроз тунел и даље слати упите резолверу на чвору или добити глобалну IPv6 адресу коју политика тунела никада не покрива. Испишите обоје на клијенту:
cat /etc/resolv.conf
ip -6 addr show scope globalАко је резолвер чвор и чвор прослеђује рутеру, DNS следи тунел. Ако чвор резолвује локално или показује на резолвер добављача, упити излазе изван тунела и када HTTP не излази. IPv6 заслужује исти тест: глобална адреса плус подразумевана рута која заобилази тунел је цурење, а Mesh фирмвер често оставља IPv6 укључен док политика VPN-а покрива само IPv4.
Прекините тунел намерно, а затим запишите резултат
Оборите тунел и посматрајте клијента повезаног са тим чвором, а не клијента поред рутера. ping и curl са кратким временским ограничењима довољни су; питање је да ли се саобраћај зауставља или пада назад на WAN. Зауставите тунел командом услуге самог рутера, на пример wg-quick down wg0 или заустављањем услуге OpenVPN, и нека тест остане кратак.
Ако клијент и даље ради, чвор или рутер отказује отворено за тај сегмент, а mesh је тихо поништио kill switch. Вратите тунел, потврдите да се бројач handshake-а померио и поновите проверу табеле стања из трећег корака.
Запишите један ред по чвору: ознака, SSID, адреса гејтвеја, MAC префикс, излаз потврђен да или не, IPv6 покривен и понашање са искљученим тунелом. Роаминг је место где се одговор мења, зато тестирајте просторије које заиста користите. Када се један ред не слаже са осталима, тај чвор треба истражити, а исправка припада уређају који поседује гејтвеј из тог реда.