Wi-Fi ради кроз VPN рутера. А жичани портови?

Лаптоп на Wi-Fi приказује излазну адресу VPN-а, а жичани десктоп у суседној соби приказује адресу провајдера. Оба су укључена у исти рутер, па разлика није у VPN конфигурацији. Разлика је кроз који је интерфејс, VLAN или политику саобраћај заиста прошао. Покривеност је својство сваког пута појединачно, а не својство кутије.

Упоредно гледање два клијента брже налази разлику од читања рутерових правила.

Два пута до истог рутера

Рутер са VPN клијентом може усмерити саобраћај са једног моста, једног VLAN-а или једне листе портова и оставити остатак на WAN-у. То је нормалан дизајн и зато успешан бежични тест доказује само бежични пут. Управљани свич може и зидни порт ставити у други сегмент од оног који користи приступна тачка, без да ико дира рутер. Политике засноване на портовима најлакше се пропуштају, јер порт изгледа као део истог LAN-а.

Исти хардвер, друга политика. Физичка кутија није граница коју мислите да јесте.

Упоредите гејтвеј који сваки клијент стварно користи

На жичаном уређају прочитајте активни интерфејс, његову адресу и подразумевани гејтвеј. На машини са укљученим и Wi-Fi и Ethernet, метрика рутирања одлучује ко побеђује, а то често није оно што очекујете. Упоредите тај гејтвеј с оним који је користио бежични клијент и проверите којој рутеровој мрежи припада порт свича. Рецепт за WireGuard клијента у pfSense-у показује како један рутер може имати тунел, а оставити друге интерфејсе на миру.

Ако се два гејтвеја разликују, имате одговор пре него што дотакнете и једно правило фајервала.

Упоредите DNS и IPv6 одвојено

Жичани клијент са ручно подешеним резолвером може потпуно заобићи DNS политику рутера, чак и кад је његов саобраћај исправно усмерен. IPv6 је друга половина: тунел који обрађује само IPv4 може оставити IPv6 саобраћај на изворном путу. Тестирајте упит имена и IPv6 одредиште са жичаног уређаја, не само проверу IPv4 адресе. Користите упит на који само рутеров резолвер може да одговори, попут интерног имена хоста.

Свако од тога је засебно поређење и свако може пасти само за себе.

Упоредите шта се дешава кад тунел падне

Ако дизајн захтева приступ само преко VPN-а, зауставите тунел и тестирајте жичани клијент безопасним саобраћајем. Жичани уређај који се врати на обични WAN остаје онлајн, али промашује предвиђену руту, што свакоме ко проверава само повезаност изгледа као успех. Бежични клијент може се понашати другачије, а та разлика је поређење које вреди направити.

Понашање при отказу део је покривености, а не рубни случај после ње.

Припишите резултат правом слоју

VPN клијент на нивоу уређаја или прокси у прегледачу на жичаној машини може променити измерену излазну адресу независно од рутера. Забележите који су слојеви били активни током теста, иначе се успешна промена адресе приписује погрешном гејтвеју. Исти опрез важи и за кеширани резултат од пре промене.

Тестирајте свеж саобраћај, забележите слојеве и запишите сегмент и интерфејс. Тај запис је оно што следеће поређење чини смисленим уместо још једне претпоставке.