Wi-Fi ทำงานผ่าน VPN ของเราเตอร์ แล้วพอร์ตแบบมีสายล่ะ

แล็ปท็อป Wi-Fi แสดงที่อยู่ขาออกของ VPN ส่วนเดสก์ท็อปแบบมีสายในห้องข้าง ๆ แสดงที่อยู่ของผู้ให้บริการ ทั้งสองต่อกับเราเตอร์ตัวเดียวกัน ดังนั้นความต่างจึงไม่ได้อยู่ที่การตั้งค่า VPN ความต่างอยู่ที่ทราฟฟิกผ่านอินเทอร์เฟซ VLAN หรือแนวนโยบายใดจริง ๆ ความครอบคลุมเป็นคุณสมบัติของแต่ละเส้นทาง ไม่ใช่คุณสมบัติของกล่อง

การเทียบไคลเอนต์สองตัวเคียงข้างกัน หาความต่างได้เร็วกว่าการอ่านกฎของเราเตอร์

สองเส้นทางสูเราเตอร์ตัวเดียวกัน

เราเตอร์ที่มีไคลเอนต์ VPN สามารถบังคับทราฟฟิกจากบริดจ์หนึ่ง VLAN หนึ่ง หรือรายการพอร์ตหนึ่ง แล้วปล่อยที่เหลือไว้บน WAN นี่คือการออกแบบปกติ และนั่นคือเหตุผลที่การทดสอบไร้สายที่ผ่านพิสูจน์ได้เพียงเส้นทางไร้สาย สวิตช์แบบจัดการยังวางพอร์ตผนังไว้คนละเซกเมนต์กับที่จุดเข้าใช้งานใช้ โดยไม่มีใครแตะเราเตอร์ นโยบายตามพอร์ตเป็นสิ่งที่พลาดได้ง่ายที่สุด เพราะพอร์ตดูเหมือนเป็นส่วนหนึ่งของ LAN เดียวกัน

ฮาร์ดแวร์เดียวกัน นโยบายต่างกัน กล่องทางกายภาพไม่ใช่ขอบเขตที่คุณคิด

เปรียบเทียบเกตเวย์ที่แต่ละไคลเอนต์ใช้จริง

บนอุปกรณ์มีสาย ให้อ่านอินเทอร์เฟซที่ใช้งาน ที่อยู่ และเกตเวย์เริ่มต้น บนเครื่องที่ทั้ง Wi-Fi และ Ethernet ทำงานอยู่ เมตริกการเลือกเส้นทางเป็นตัวตัดสินว่าใครชนะ และบ่อยครั้งไม่ใช่ตัวที่คุณคาดไว้ เปรียบเทียบเกตเวย์นั้นกับที่ไคลเอนต์ไร้สายใช้ และตรวจว่าพอร์ตสวิตช์อยู่ในเครือข่ายเราเตอร์ใด สูตรไคลเอนต์ WireGuard ใน pfSense แสดงว่าเราเตอร์ตัวเดียวมีอุโมงค์ได้อย่างไรโดยปล่อยอินเทอร์เฟซอื่นไว้

ถ้าเกตเวย์สองตัวต่างกัน คุณได้คำตอบก่อนแตะกฎไฟร์วอลล์แม้แต่ข้อเดียว

เปรียบเทียบ DNS และ IPv6 แยกกัน

ไคลเอนต์มีสายที่ตั้งตัวแปลงชื่อไว้เองสามารถข้ามนโยบาย DNS ของเราเตอร์ได้ทั้งหมด แม้ทราฟฟิกจะถูกบังคับเส้นทางอย่างถูกต้อง IPv6 คืออีกครึ่งหนึ่ง อุโมงค์ที่จัดการเฉพาะ IPv4 อาจปล่อยทราฟฟิก IPv6 ไว้บนเส้นทางเดิม ทดสอบการสอบถามชื่อและปลายทาง IPv6 จากอุปกรณ์มีสาย ไม่ใช่แค่ตรวจที่อยู่ IPv4 ใช้การสอบถามที่ตัวแปลงชื่อของเราเตอร์เท่านั้นจึงจะตอบได้ เช่นชื่อโฮสต์ภายใน

แต่ละข้อเป็นการเปรียบเทียบแยกกัน และแต่ละข้อล้มเหลวได้ด้วยตัวเอง

เปรียบเทียบว่าเกิดอะไรขึ้นเมื่ออุโมงค์ล่ม

ถ้าดีไซน์ต้องการการเข้าถึงผ่าน VPN เท่านั้น ให้หยุดอุโมงค์และทดสอบไคลเอนต์มีสายด้วยทราฟฟิกที่ไม่เป็นอันตราย อุปกรณ์มีสายที่ย้อนกลับไปใช้ WAN ปกติยังออนไลน์อยู่แต่พลาดเส้นทางที่ตั้งใจ ซึ่งดูเหมือนความสำเร็จสำหรับคนที่ตรวจเพียงการเชื่อมต่อ ไคลเอนต์ไร้สายอาจทำงานต่างออกไป และความต่างนั้นคือการเปรียบเทียบที่คุ้มค่า

พฤติกรรมเมื่อล้มเหลวเป็นส่วนหนึ่งของความครอบคลุม ไม่ใช่กรณีสุดขั้วที่ตามมาทีหลัง

ระบุผลลัพธ์ให้ถูกชั้น

ไคลเอนต์ VPN ระดับอุปกรณ์หรือพร็อกซีเบราว์เซอร์บนเครื่องมีสายสามารถเปลี่ยนที่อยู่ขาออกที่วัดได้โดยไม่ขึ้นกับเราเตอร์ บันทึกว่าชั้นใดทำงานอยู่ระหว่างการทดสอบ มิฉะนั้นการเปลี่ยนที่อยู่ที่สำเร็จจะถูกนับให้เกตเวย์ผิดตัว ความระมัดระวังเดียวกันใช้กับผลลัพธ์ที่แคชไว้ก่อนการเปลี่ยนแปลง

ทดสอบทราฟฟิกใหม่ บันทึกชั้น แล้วเขียนเซกเมนต์และอินเทอร์เฟซ บันทึกนั้นเองที่ทำให้การเปรียบเทียบครั้งต่อไปมีความหมายแทนที่จะเป็นการเดาอีกครั้ง