Wi-Fi 经路由器 VPN 正常工作，有线端口呢

Wi-Fi 笔记本显示的是 VPN 的出口地址，隔壁房间的有线台式机显示的却是运营商的地址。两者插在同一台路由器上，所以差异不在 VPN 配置。差异在于流量实际经过了哪块接口、哪个 VLAN 或哪条策略。覆盖范围是每条路径各自的属性，不是机箱的属性。

把两个客户端并排比较比读路由器的规则更快找到差异。

进入同一台路由器的两条路径

带 VPN 客户端的路由器可以把流量从某个网桥、某个 VLAN 或某张端口列表引出，其余仍留在 WAN 上。这是正常设计，也正因如此，无线测试通过只能证明无线路径。受管交换机也能把墙面端口放到与接入点不同的网段，而没人碰过路由器。基于端口的策略最容易漏看，因为端口看起来就像同一 LAN 的一部分。

同一套硬件，不同的策略。物理机箱并不是你以为的边界。

比较每个客户端实际使用的网关

在有线设备上读取活动接口、它的地址和默认网关。在同时启用 Wi-Fi 与以太网的机器上，路由度量决定谁胜出，而这往往不是你以为的那一方。把该网关与无线客户端所用的网关比较，并确认交换机端口属于哪张路由器网络。pfSense 的 WireGuard 客户端配方展示了单台路由器如何在拥有隧道的同时不动其它接口。

如果两个网关不同，你还没碰任何一条防火墙规则就已得到答案。

分别比较 DNS 与 IPv6

手动配置了解析器的有线客户端可以完全绕过路由器的 DNS 策略，即使它的流量被正确引导。IPv6 是另一半：只处理 IPv4 的隧道可能把 IPv6 流量留在原生路径上。从有线设备上测试一次名称查询和一个 IPv6 目标，而不仅是 IPv4 地址检查。使用只有路由器解析器才能回答的查询，比如内部主机名。

其中每一项都是独立的比较，每一项都可能单独失败。

比较隧道断开时的行为

如果设计要求仅经 VPN 访问，就停掉隧道，用无害流量测试有线客户端。回落到普通 WAN 的有线设备仍然在线，却错失了本该走的路径，这在只看连通性的人眼里像是成功。无线客户端可能表现不同，而那处差异才值得比较。

故障时的行为也是覆盖范围的一部分，而不是它之后的边缘情况。

把结果归到正确的层

设备级 VPN 客户端或有线机器上的浏览器代理，都能在不依赖路由器的情况下改变实测的出口地址。记录测试期间哪些层是活动的，否则一次成功的地址变化会被记到错误的网关头上。同样的谨慎也适用于变更之前的缓存结果。

测试新流量，记下各层，并写下网段与接口。正是这份记录让下一次比较有意义，而不是又一次猜测。