Mae cymar VPN yn pingio rhyngwynebau eraill oherwydd eu bod yn lleol

Mae cleient WireGuard yn cysylltu ac yn pingio cyfeiriad ar ryngwyneb hollol wahanol, ac mae’r ateb yn cyrraedd. Mae’r recordiadau’n dangos y cais ar y tiwnel yn unig. Nid oes dim wedi torri, ac nid oes gan y gosodiad anfon ymlaen a analluwyd yn ofalus unrhyw beth i’w wneud â hyn. Mae hwn yn gymhariaeth rhwng dau lwybr sy’n edrych yn debyg ar ddiagram ac yn hollol wahanol yn y cnewyllyn.

Mae un llwybr yn anfon pecynnau ymlaen ar gyfer rhywun arall; mae’r llall yn eu danfon at y gwesteiwr ei hun.

Mae pecyn a gyfeiriwyd at y gwesteiwr yn aros yn y gwesteiwr

Mae’r cleient o bell yn anfon pecyn IP at gyfeiriad y mae’r gwesteiwr yn berchen arno. Mae llwybro yn gofyn un cwestiwn am y pecyn hwnnw: a yw’r gyrchfan hon yn lleol? Mae pob cyfeiriad sy’n eiddo i’r gwesteiwr yn ymddangos yn y tabl llwybro lleol, ac ymgynghorir â’r tabl hwnnw o flaen yr un prif, felly mae’r pecyn yn mynd i stac y gwesteiwr ei hun yn lle mynd allan drwy ryngwyneb arall. Mae’r ateb yn cael ei greu’n lleol, ac mae’n teithio’n ôl drwy’r tiwnel oherwydd dyna o ble y daeth yr ymholiad.

Dyna’r mecanwaith cyfan. Nid oes unrhyw anfon ymlaen yn digwydd, nid oes unrhyw newid cyflwr rhyngwyneb yn cymryd rhan, ac nid oes angen i’r cyfeiriad dan sylw fod yn gyrraeddadwy o unrhyw le arall.

Pam nad yw ip_forward yn berthnasol

Mae anfon ymlaen yn rheoli pecynnau sy’n gorfod gadael drwy ryngwyneb gwahanol i’r un y gwnaethant gyrraedd arno. Nid yw ping at y gwesteiwr ei hun byth yn cymryd y llwybr hwnnw: mae’r pecyn yn cael ei ddefnyddio’n lleol ac mae’r ateb yn cael ei greu’n lleol. Felly nid yw gosod net.ipv4.ip_forward=0 yn newid dim yma, ac nid yw rheol yn y gadwyn anfon ymlaen byth yn gweld y traffig. Mae’r rheolaeth gywir ar y llwybr mewnbwn, wedi’i chyfyngu gan y rhyngwyneb sy’n dod i mewn neu’r ffynhonnell.

Dyna pam mae analluogi anfon ymlaen a thybio bod y gwesteiwr wedi’i ynysu yn cynhyrchu teimlad ffug o ddiogelwch.

Darllenwch y tabl lleol a benderfynodd

Mae ip rule show fel arfer yn adrodd rheol â blaenoriaeth sero sy’n anfon pob chwiliad i’r tabl lleol yn gyntaf, ac mae ip route show table local yn rhestr cyfeiriadau’r gwesteiwr ei hun gyda chwmpas lleol. Mae’r tabl hwnnw’n cynnwys cyfeiriadau ar ryngwynebau sydd wedi’u diffodd yn weinyddol ond sydd wedi’u ffurfweddu o hyd. Mae cyfeiriadau IPv4 a bennir yn statig fel arfer yn goroesi colli cyswllt, a dyna sut y gall ping at bont sydd wedi diffodd lwyddo o hyd a synnu’r gweithredwr.

Mae IPv6 yn anghytuno yn union ar y pwynt hwn. Mae ei gyfeiriadau fel arfer yn cael eu tynnu pan fydd y cyswllt yn cwympo, oni bai bod keep_addr_on_down wedi’i osod. Cymharwch y teuluoedd yn lle tybio bod un rheol yn cwmpasu’r ddau.

Beth mae cymar yn ei gyrraedd mewn gwirionedd

Nid yw ateb o gyfeiriad y llwybrydd ei hun ar segment yn dweud dim am y peiriannau y tu ôl i’r segment hwnnw. Ni all y cymar gyrraedd gwesteiwr y tu ôl i’r rhyngwyneb arall drwy’r llwybr hwn; dim ond at gyfeiriadau y mae’r llwybrydd ei hun yn berchen arnynt y mae’n cyrraedd. Mae profi gwasanaeth ar westeiwr LAN ar wahân, yn hytrach na pingio cyfeiriad y llwybrydd, sy’n sefydlu a yw anfon ymlaen yn cael ei ganiatáu o gwbl.

Mae cyfyngu cymar i wasanaethau sydd wedi’u rhwymo ar gyfeiriad y tiwnel yn gwestiwn polisi mewnbwn. Caniatáu’r gwasanaeth a ddymunir ar ryngwyneb y tiwnel a chyfyngu’r ffynonellau a ganiateir i’w ddefnyddio, oherwydd mae’r pecyn yn cyrraedd yno mewn gwirionedd.

Edrychwch hefyd am gyfeiriadau y bwriedech eu symud ymlaen. Mae tynnu cyfeiriad o ryngwyneb yn fwy dibynadwy na phentwrio rheolau mur tân ar ben un hen.