Mesh Wi-Fi sun’iy yo‘ldoshi VPN routerdan foydalanadimi, shuni qanday tekshirish kerak

Asosiy router bilan bir xil Wi-Fi nomiga javob beradigan sun’iy yo‘ldosh uning mijozlari paketlari qayerga ketishi haqida deyarli hech narsa aytmaydi. Tugun radio va ko‘prikdir, aksi isbotlanmaguncha. Chiqishni har bir mijoz oladigan standart shlyuz va uning oldidagi tugunning uzatish rejimi belgilaydi. Ushbu besh tekshiruvni mijozdan tashqariga qarab bajaring va tezlik testidan qolgan taassurot emas, himoya qila oladigan javob olasiz.

Mijoz haqiqatan olgan shlyuzni o‘qing

Mijozda marshrutlar jadvali va qo‘shnilar jadvalini chop eting. Standart marshrut trafikni uzatadigan manzilni nomlaydi; qo‘shni yozuvi shu manzilga tegishli MACni nomlaydi. Routerning qurilmalar ro‘yxatini emas, mijozni ishlating, chunki qurilmalar ro‘yxati bog‘lanishlarni ko‘rsatadi, yo‘llarni emas.

ip route show default
ip -6 route show default
ip neigh show

Windows xuddi shu faktlarni boshqa shaklda chop etadi: ipconfig /all standart shlyuzni beradi, arp -a esa MACni beradi. macOS da route -n get default va arp -an xuddi shu narsani qamraydi.

Bu shlyuzni siz allaqachon biladigan ikki manzil bilan solishtiring: asosiy routerning LAN manzili va sun’iy yo‘ldoshning boshqaruv manzili. Agar shlyuz routerning LAN manzili bo‘lsa, mijoz routerga ko‘prik orqali ulangan va routerning o‘sha tarmoq uchun siyosati o‘zgarmagan holda amal qiladi. Agar shlyuz sun’iy yo‘ldoshning manzili bo‘lsa, sun’iy yo‘ldosh marshrutlash qilmoqda va router mijoz paketlarini hech qachon LAN trafigi sifatida ko‘rmaydi; qaror tugunda qabul qilinishi kerak, aks holda umuman qabul qilinmaydi.

Tugun haqiqatan qaysi rejimda ekanini tasdiqlang

Mesh mahsulotlari turli xatti-harakatlar uchun uchta so‘zni qayta ishlatadi, shuning uchun paket yo‘liga ilovadagi yorliqdan ko‘ra ko‘proq ishoning. Ko‘prik yoki kirish nuqtasi rejimi kadrlarni uzatadi. Router rejimi quyi tarmoqni tugatadi va DHCP ishlatadi. Mehmon rejimi odatda mijozlarni o‘z qoidalari bor alohida VLANga joylashtiradi. Boshqa router orqasidagi router rejimidagi tugun ikki barobar NAT bo‘lib, uning mijozlari VPN routeriga allaqachon tarjima qilingan holda yetib keladi, bu esa manba manziliga asoslangan siyosatni zaiflashtiradi.

MACni aniqlash uchun tugundagi yorliqni o‘qing va quyidagi bilan solishtiring: ip neigh. Ishlab chiqaruvchilar asosiy MACni chop etadi va har bir radioning MACini bir bayt oshirish orqali chiqaradi, shuning uchun oxirgi o‘n oltilik raqam farq qiladi; butun manzilni emas, prefiksni solishtiring. Agar shlyuz MACi routerning LAN interfeysiga tegishli bo‘lsa, tugun bu mijoz uchun marshrutlash qilmaydi.

Chiqishni routerda isbotlang, tezlik testi bilan emas

Tarjimani faqat router tomonidagi holat ko‘rsatadi. OpenWrt da siyosat qoidalari va marshrutlash jadvallarini sanab chiqing, so‘ng tunnelda yangi handshake borligini tasdiqlang:

ip rule show
ip route show table all | grep default
wg show

pfSense yoki OPNsense da xuddi shu dalillar quyidagilarda: pfctl -sr qoidalar uchun, pfctl -ss faol holatlar uchun va WireGuard holat sahifasida tengdosh hisoblagichlari uchun, quyidagiga muvofiq: WireGuard mijozi hujjatlari. Holat jadvalini mijoz manzili bo‘yicha filtrlang. Holat mijozni tunnel manziliga tarjima qilingan holda ko‘rsatsa, trafik tunnel ichida; WAN manzilini ko‘rsatsa, unday emas, panel belgisi nima desa ham.

Mijozdan traceroute holat jadvali bera olmaydigan bir faktni qo‘shadi: birinchi sakrash. Agar birinchi sakrash routerning LAN manzili bo‘lsa, mijoz routerga to‘g‘ridan-to‘g‘ri yetib bordi. Bu tugun manzili bo‘lib, keyin yana bir xususiy sakrash kelsa, siz marshrutlangan segmentdasiz va o‘sha ikkinchi sakrash siyosatni ushlab turishi kerak bo‘lgan qurilma.

Tugun manzildan tashqari nima tarqatishini ko‘ring

DHCP parametrlari ijara bilan birga yuradi, shuning uchun o‘z DHCPsini beradigan tugun o‘z DNSini va o‘z IPv6 router e’lonlarini ham bera oladi. Shuning uchun mijoz tunneldan chiqib, baribir tugundagi resolverga so‘rov yuborishi yoki tunnel siyosati hech qachon qamramaydigan global IPv6 manzilini olishi mumkin. Ikkalasini ham mijozda chop eting:

cat /etc/resolv.conf
ip -6 addr show scope global

Agar resolver tugun bo‘lsa va tugun routerga uzatsa, DNS tunnelni kuzatadi. Agar tugun mahalliy hal qilsa yoki provayder resolveriga ishora qilsa, HTTP qilmasa ham so‘rovlar tunneldan tashqariga chiqadi. IPv6 ham xuddi shu sinovga loyiq: global manzil va tunnelni chetlab o‘tadigan standart marshrut sizib chiqishdir, Mesh proshivkasi esa ko‘pincha IPv6ni yoniq qoldiradi, VPN siyosati faqat IPv4ni qamraydi.

Tunnelni ataylab uzib qo‘ying, so‘ng natijani yozib oling

Tunnelni tushiring va o‘sha tugunga ulangan mijozni kuzating, router yonida o‘tirgan mijozni emas. ping va curl qisqa kutish vaqti bilan yetarli; savol trafik to‘xtaydimi yoki WANga qaytadimi. Tunnelni routerning o‘z xizmat buyrug‘i bilan to‘xtating, masalan wg-quick down wg0 yoki OpenVPN xizmatini to‘xtatib, sinovni qisqa saqlang.

Agar mijoz ishlashda davom etsa, tugun yoki router o‘sha segment uchun ochiq holda ishdan chiqadi va mesh kill switchni jimgina bekor qilgan. Tunnelni qaytaring, handshake hisoblagichi siljiganini tasdiqlang va uchinchi qadamdagi holat jadvali tekshiruvini takrorlang.

Har bir tugun uchun bitta satr yozing: yorliq, SSID, shlyuz manzili, MAC prefiksi, chiqish tasdiqlandi ha yoki yo‘q, IPv6 qamrab olingan va tunnel tushirilgandagi xatti-harakat. Rouming javob o‘zgaradigan joy, shuning uchun haqiqatan ishlatadigan xonalaringizni sinab ko‘ring. Bir satr boshqalari bilan mos kelmasa, tekshirilishi kerak bo‘lgan tugun o‘sha, tuzatish esa o‘sha satr shlyuziga ega qurilmada bo‘lishi kerak.