Wi-Fi працює через VPN роутера. А проводові порти?

Ноутбук по Wi-Fi показує вихідну адресу VPN, а проводовий комп’ютер у сусідній кімнаті показує адресу провайдера. Обидва підключені до одного роутера, тому різниця не в налаштуваннях VPN. Різниця в тому, через який інтерфейс, VLAN чи політику трафік справді пройшов. Покриття — це властивість кожного шляху, а не властивість коробки.

Порівняння двох клієнтів поруч знаходить різницю швидше, ніж читання правил роутера.

Два шляхи до одного роутера

Роутер із клієнтом VPN може спрямовувати трафік з одного моста, одного VLAN чи одного списку портів, а решту залишати у WAN. Це звичайна схема, і тому успішна бездротова перевірка доводить лише бездротовий шлях. Керований комутатор також може поставити настінний порт в інший сегмент, ніж той, який використовує точка доступу, і ніхто не торкається роутера. Політики на основі портів проґавити найлегше, бо порт виглядає частиною того самого LAN.

Те саме залізо, інша політика. Фізична коробка — не та межа, про яку ви думаєте.

Порівняйте шлюз, який реально використовує кожен клієнт

На проводовому пристрої прочитайте активний інтерфейс, його адресу та шлюз за замовчуванням. На машині, де одночасно працюють Wi-Fi і Ethernet, метрика маршрутизації вирішує, хто переможе, і часто це не те, на що ви чекаєте. Порівняйте цей шлюз із тим, який використав бездротовий клієнт, і перевірте, до якої мережі роутера належить порт комутатора. Рецепт клієнта WireGuard у pfSense показує, як один роутер може володіти тунелем, залишаючи інші інтерфейси спокійними.

Якщо два шлюзи різні, відповідь у вас є ще до того, як ви торкнетеся хоч одного правила брандмауера.

Порівняйте DNS і IPv6 окремо

Проводовий клієнт із вручну налаштованим резолвером може повністю обійти DNS-політику роутера, навіть коли його трафік спрямований правильно. IPv6 — це друга половина: тунель, що обробляє лише IPv4, може залишити трафік IPv6 на природному шляху. Перевірте запит імені та призначення IPv6 з проводового пристрою, а не лише перевірку адреси IPv4. Використайте запит, на який міг би відповісти лише резолвер роутера, наприклад внутрішнє ім’я хоста.

Кожне з цього — окреме порівняння, і кожне може провалитися саме по собі.

Порівняйте, що відбувається, коли тунель падає

Якщо схема вимагає доступу лише через VPN, зупиніть тунель і перевірте проводовий клієнт нешкідливим трафіком. Проводовий пристрій, який відкочується на звичайний WAN, залишається в мережі, але втрачає потрібний маршрут, і це здається успіхом кожному, хто перевіряє лише зв’язність. Бездротовий клієнт може поводитися інакше, і саме ця різниця є порівнянням, заради якого варто працювати.

Поведінка в разі відмови — частина покриття, а не граничний випадок після нього.

Віднесіть результат до правильного рівня

VPN-клієнт на рівні пристрою або проксі браузера на проводовій машині можуть змінити виміряну вихідну адресу незалежно від роутера. Запишіть, які рівні були активні під час перевірки, інакше успішну зміну адреси припишуть не тому шлюзу. Така сама обережність стосується кешованого результату, отриманого до зміни.

Перевіряйте свіжий трафік, позначайте рівні та записуйте сегмент і інтерфейс. Саме цей запис робить наступне порівняння осмисленим, а не ще однією здогадкою.