نظير VPN يرسل بينغ إلى واجهات أخرى لأنها محلية

يتصل عميل WireGuard ويرسل بينغ إلى عنوان على واجهة مختلفة تماماً، فيصل الرد. تُظهر التسجيلات أن الطلب لم يظهر إلا على النفق. لا شيء معطوب، وإعداد إعادة التوجيه الذي أُوقف بعناية لا علاقة له بالأمر. هذه مقارنة بين مسارين يبدوان متشابهين في الرسم التخطيطي ومختلفين تماماً في النواة.

أحد المسارين يعيد توجيه الحزم عن شخص آخر؛ والآخر يوصلها إلى المضيف نفسه.

الحزمة الموجهة إلى المضيف تبقى في المضيف

يرسل العميل البعيد حزمة IP إلى عنوان يملكه المضيف. يسأل التوجيه سؤالاً واحداً عن تلك الحزمة: هل هذه الوجهة محلية؟ يظهر كل عنوان يملكه المضيف في جدول التوجيه المحلي، ويُستشار ذلك الجدول قبل الجدول الرئيسي، لذلك تذهب الحزمة إلى مكدس المضيف نفسه بدلاً من الخروج من واجهة أخرى. يُولَّد الرد محلياً، ويعود عبر النفق لأن الاستعلام جاء من هناك.

هذه هي الآلية بأكملها. لا يحدث أي إعادة توجيه، ولا يتدخل أي تغيير في حالة الواجهة، والعنوان المعني لا يحتاج إلى أن يكون قابلاً للوصول من أي مكان آخر.

لماذا لا ينطبق ip_forward

إعادة التوجيه تحكم الحزم التي يجب أن تغادر عبر واجهة مختلفة عن التي وصلت عليها. لا يسلك بينغ إلى المضيف نفسه ذلك المسار أبداً: تُستهلك الحزمة محلياً ويُولَّد الرد محلياً. لذلك فإن ضبط net.ipv4.ip_forward=0 لا يغيّر شيئاً هنا، وقاعدة في سلسلة إعادة التوجيه لا ترى هذا الحمل أبداً. الضابط الصحيح يقع على مسار الإدخال، محدداً بالواجهة الواردة أو المصدر.

لهذا فإن تعطيل إعادة التوجيه والافتراض بأن المضيف معزول ينتج إحساساً زائفاً بالأمان.

اقرأ الجدول المحلي الذي قرر

ip rule show يبلّغ عادةً عن قاعدة بأولوية صفر ترسل كل عمليات البحث إلى الجدول المحلي أولاً، ويسرد ip route show table local عناوين المضيف نفسها بنطاق محلي. يتضمن ذلك الجدول عناوين على واجهات معطلة إدارياً لكنها ما زالت مُعدّة. عناوين IPv4 المعيّنة يدوياً تنجو عادةً من انقطاع الوصلة، وهكذا يمكن أن ينجح بينغ إلى جسر متوقف ويفاجئ المشغّل.

IPv6 يختلف في هذه النقطة بالتحديد. تُسحب عناوينه عادةً عندما تنقطع الوصلة، ما لم يُضبط keep_addr_on_down. قارن بين العائلتين بدلاً من افتراض أن قاعدة واحدة تغطيهما.

ما الذي يصل إليه النظير فعلاً

الرد من عنوان الموجه نفسه على شبكة ما لا يقول شيئاً عن الأجهزة الموجودة خلف تلك الشبكة. لا يستطيع النظير الوصول إلى مضيف خلف الواجهة الأخرى عبر هذا المسار؛ بل يصل فقط إلى العناوين التي يملكها الموجه نفسه. اختبار خدمة على مضيف LAN منفصل، بدلاً من بينغ عنوان الموجه، هو ما يثبت ما إذا كانت إعادة التوجيه مسموحة أصلاً.

تقييد النظير بخدمات مرتبطة على عنوان النفق مسألة سياسة إدخال. اسمح بالخدمة المطلوبة على واجهة النفق وقيّد المصادر التي يجوز لها استخدامها، لأن الحزمة تصل إلى هناك فعلاً.

افحص أيضاً العناوين التي كنت تنوي إيقافها. إزالة عنوان من واجهة أكثر موثوقية من تكديس قواعد جدار الحماية فوق عنوان قديم.