VPN qarşı tərəfi digər interfeyslərə ping göndərir, çünki onlar lokaldır

WireGuard müştərisi qoşulur və tamamilə başqa interfeysdəki ünvana ping göndərir, cavab gəlir. Çəkilişlər sorğunun yalnız tuneldə göründüyünü göstərir. Heç nə pozulmayıb və diqqətlə söndürülmüş yönləndirmə parametrinin buna heç bir aidiyyəti yoxdur. Bu, diaqramda oxşar görünən, lakin kerneldə tamamilə fərqli olan iki yolun müqayisəsidir.

Bir yol paketləri başqası adından yönləndirir; digəri onları hostun özünə çatdırır.

Hosta ünvanlanmış paket hostda qalır

Uzaq müştəri hostun sahib olduğu ünvana IP paketi göndərir. Marşrutlaşdırma bu paket barədə bir sual verir: bu təyinat lokaldırmı? Hostun saxladığı hər ünvan lokal marşrut cədvəlində görünür və həmin cədvələ əsas cədvəldən əvvəl baxılır, buna görə paket başqa interfeysdən çıxmaq əvəzinə hostun öz yığınına gedir. Cavab lokal olaraq yaradılır və tuneldən geri qayıdır, çünki sorğu oradan gəlib.

Bütün mexanizm budur. Yönləndirmə baş vermir, interfeys vəziyyətinin dəyişməsi iştirak etmir və sözügedən ünvanın başqa heç bir yerdən əlçatan olmasına ehtiyac yoxdur.

Niyə ip_forward tətbiq olunmur

Yönləndirmə gəldiyi interfeysdən fərqli interfeysdən çıxmalı olan paketləri idarə edir. Hostun özünə ping heç vaxt bu yolu tutmur: paket lokal olaraq istehlak edilir və cavab lokal olaraq yaradılır. Buna görə net.ipv4.ip_forward=0 təyini burada heç nəyi dəyişmir və yönləndirmə zəncirindəki qayda trafiki heç vaxt görmür. Düzgün nəzarət giriş yolunda yerləşir və daxil olan interfeys və ya mənbə ilə məhdudlaşdırılır.

Buna görə yönləndirməni söndürmək və hostun təcrid olunduğunu zənn etmək yalançı təhlükəsizlik hissi yaradır.

Qərar verən lokal cədvəli oxuyun

ip rule show adətən sıfır prioritetli bir qaydanın bütün axtarışları əvvəlcə lokal cədvələ göndərdiyini bildirir, ip route show table local isə hostun öz ünvanlarını lokal əhatədə sadalayır. Bu cədvəl inzibati olaraq söndürülmüş, lakin hələ də konfiqurasiya edilmiş interfeyslərdəki ünvanları da əhatə edir. Statik təyin edilmiş IPv4 ünvanları adətən linkin düşməsindən sonra da qalır və söndürülmüş körpüyə pingin yenə də uğurlu olması və operatoru təəccübləndirməsi bundandır.

IPv6 məhz bu nöqtədə fərqlənir. Onun ünvanları adətən link düşdükdə geri götürülür, əgər keep_addr_on_down təyin edilməyibsə. Bir qaydanın hər ikisini əhatə etdiyini zənn etmək əvəzinə ailələri müqayisə edin.

Qarşı tərəf əslində nəyə çatır

Şəbəkə seqmentində marşrutlaşdırıcının öz ünvanından gələn cavab həmin seqmentin arxasındakı maşınlar barədə heç nə demir. Qarşı tərəf bu yolla digər interfeysin arxasındakı hosta çata bilməz; yalnız marşrutlaşdırıcının özünün sahib olduğu ünvanlara çatır. Marşrutlaşdırıcının ünvanına ping göndərmək əvəzinə ayrı LAN hostunda xidməti sınamaq, yönləndirmənin ümumiyyətlə icazəli olub-olmadığını müəyyən edir.

Qarşı tərəfi tunel ünvanında bağlanmış xidmətlərlə məhdudlaşdırmaq giriş siyasəti məsələsidir. İstənilən xidmətə tunel interfeysində icazə verin və ondan istifadə edə biləcək mənbələri məhdudlaşdırın, çünki paket həqiqətən oraya gəlir.

Kənara çıxarmaq istədiyiniz ünvanları da yoxlayın. Ünvanı interfeysdən çıxarmaq köhnə ünvanın üzərinə firewall qaydaları yığmaqdan daha etibarlıdır.