Wi-Fi chạy qua VPN của router. Còn cổng có dây thì sao?

Máy tính xách tay Wi-Fi hiển thị địa chỉ ra của VPN, còn máy để bàn có dây ở phòng bên hiển thị địa chỉ của nhà cung cấp. Cả hai cùng cắm vào một router, nên khác biệt không nằm ở cấu hình VPN. Khác biệt nằm ở việc lưu lượng thực sự đi qua giao diện, VLAN hay chính sách nào. Độ phủ là thuộc tính của từng đường đi, không phải thuộc tính của chiếc hộp.

So sánh hai máy khách cạnh nhau tìm ra khác biệt nhanh hơn việc đọc các quy tắc của router.

Hai đường vào cùng một router

Router có máy khách VPN có thể chuyển lưu lượng từ một cầu, một VLAN hoặc một danh sách cổng và để phần còn lại trên WAN. Đây là thiết kế bình thường, và vì thế một lần kiểm tra không dây thành công chỉ chứng minh đường không dây. Switch được quản lý cũng có thể đặt cổng tường vào một phân đoạn khác với phân đoạn điểm truy cập dùng, mà không ai chạm vào router. Chính sách dựa trên cổng là dễ bỏ sót nhất, vì cổng trông như một phần của cùng LAN.

Cùng phần cứng, khác chính sách. Chiếc hộp vật lý không phải ranh giới bạn nghĩ.

So sánh gateway mà mỗi máy khách thực sự dùng

Trên thiết bị có dây, hãy đọc giao diện đang hoạt động, địa chỉ và gateway mặc định của nó. Trên máy có cả Wi-Fi và Ethernet cùng hoạt động, chỉ số định tuyến quyết định bên nào thắng, và thường không phải bên bạn chờ đợi. So sánh gateway đó với gateway mà máy khách không dây đã dùng, và kiểm tra cổng switch thuộc mạng router nào. Công thức máy khách WireGuard trong pfSense cho thấy một router có thể sở hữu đường hầm mà để yên các giao diện khác.

Nếu hai gateway khác nhau, bạn đã có câu trả lời trước khi chạm vào dù chỉ một quy tắc tường lửa.

So sánh DNS và IPv6 riêng rẽ

Máy khách có dây với trình phân giải được cấu hình thủ công có thể bỏ qua hoàn toàn chính sách DNS của router, ngay cả khi lưu lượng của nó được chuyển đúng hướng. IPv6 là nửa còn lại: một đường hầm chỉ xử lý IPv4 có thể để lưu lượng IPv6 đi theo đường gốc. Hãy thử một truy vấn tên và một đích IPv6 từ thiết bị có dây, không chỉ kiểm tra địa chỉ IPv4. Dùng một truy vấn mà chỉ trình phân giải của router mới trả lời được, chẳng hạn tên máy chủ nội bộ.

Mỗi điều trong số đó là một so sánh riêng, và mỗi điều có thể thất bại một mình.

So sánh điều gì xảy ra khi đường hầm sập

Nếu thiết kế yêu cầu chỉ truy cập qua VPN, hãy dừng đường hầm và thử máy khách có dây bằng lưu lượng vô hại. Thiết bị có dây quay về WAN thường vẫn trực tuyến nhưng trượt mất tuyến đã định, điều mà với người chỉ kiểm tra kết nối thì trông như thành công. Máy khách không dây có thể hành xử khác, và chính khác biệt đó mới đáng so sánh.

Hành vi khi thất bại là một phần của độ phủ, không phải trường hợp biên đến sau.

Quy kết quả cho đúng tầng

Máy khách VPN ở cấp thiết bị hoặc proxy trình duyệt trên máy có dây có thể thay đổi địa chỉ ra đo được độc lập với router. Ghi lại những tầng nào đang hoạt động trong lúc kiểm tra, nếu không một thay đổi địa chỉ thành công sẽ bị ghi công cho sai gateway. Sự cẩn trọng tương tự áp dụng cho kết quả đã lưu đệm từ trước khi thay đổi.

Thử lưu lượng mới, ghi lại các tầng, và viết ra phân đoạn cùng giao diện. Chính bản ghi đó làm cho lần so sánh tiếp theo có ý nghĩa thay vì một phỏng đoán nữa.