Wifi fungerar genom routerns VPN. Och de kablede portarna?

Wifi-bärbara datorn visar VPN:ens utgångsadress, och den kabelanslutna stationära datorn i rummet intill visar leverantörens. Båda sitter i samma router, så skillnaden är inte VPN-konfigurationen. Skillnaden är vilket gränssnitt, VLAN eller vilken policy trafiken faktiskt gick igenom. Täckning är en egenskap per väg, inte en egenskap hos lådan.

Att jämföra de två klienterna sida vid sida hittar skillnaden snabbare än att läsa routerns regler.

Två vägar in i samma router

En router med VPN-klient kan styra trafik från en brygga, ett VLAN eller en portlista och låta resten stanna på WAN. Det är en normal design, och därför bevisar ett lyckat trådlöst test bara den trådlösa vägen. En hanterad switch kan också sätta en väggport på ett annat segment än det som åtkomstpunkten använder, utan att någon rör routern. Portbaserade policyer är de lättaste att missa, eftersom porten ser ut som en del av samma LAN.

Samma hårdvara, annan policy. Den fysiska lådan är inte den gräns du tror.

Jämför den gateway som varje klient faktiskt använder

På den kabelanslutna enheten läser du det aktiva gränssnittet, dess adress och standardgatewayen. På en maskin där både wifi och Ethernet är uppe avgör routingmetriken vem som vinner, och det är ofta inte den du förväntar dig. Jämför den gatewayen med den som den trådlösa klienten använde, och kontrollera vilket routernät switchporten hör till. Receptet för WireGuard-klienten i pfSense visar hur en router kan äga en tunnel och lämna andra gränssnitt i fred.

Om de två gatewayerna skiljer sig har du svaret innan du rör en enda brandväggsregel.

Jämför DNS och IPv6 var för sig

En kabelansluten klient med manuellt konfigurerad resolver kan kringgå routerns DNS-policy helt, även när trafiken styrs rätt. IPv6 är den andra halvan: en tunnel som bara hanterar IPv4 kan lämna IPv6-trafik på den ursprungliga vägen. Testa en namnförfrågan och en IPv6-destination från den kabelanslutna enheten, inte bara en IPv4-adresskontroll. Använd en fråga som bara routerns resolver kunde svara på, som ett internt värdnamn.

Var och en av dessa är en egen jämförelse, och var och en kan misslyckas på egen hand.

Jämför vad som händer när tunneln faller

Om designen kräver åtkomst enbart via VPN, stoppa tunneln och testa den kabelanslutna klienten med ofarlig trafik. En kabelansluten enhet som faller tillbaka på det vanliga WAN:et är kvar online men missar den avsedda vägen, vilket ser ut som framgång för alla som bara kontrollerar anslutningen. Den trådlösa klienten kan bete sig annorlunda, och just den skillnaden är jämförelsen värd.

Felfunktionsbeteende är en del av täckningen, inte ett specialfall efteråt.

Tillskriv resultatet rätt lager

En VPN-klient på enhetsnivå eller en webbläsarproxy på den kabelanslutna maskinen kan ändra den uppmätta utgångsadressen oberoende av routern. Notera vilka lager som var aktiva under testet, annars krediteras en lyckad adressändring fel gateway. Samma försiktighet gäller för ett cachat resultat från före ändringen.

Testa färsk trafik, notera lagren och skriv ner segmentet och gränssnittet. Den dokumentationen är det som gör nästa jämförelse meningsfull i stället för ännu en gissning.