VPN kidea beste interfaze batzuetara ping egiten du, lokalak direlako
Bideratze lokalaren taulak hosteak dituen edozein helbidetara bidaltzen ditu paketeak, zein interfazetan dagoen ere. Birbidaltze-ezarpenek ez dute inoiz bide horretan sartzen.
WireGuard bezero bat konektatu eta erabat desberdina den interfaze bateko helbide batera ping egiten du, eta erantzuna iristen da. Kapturek eskaera tunelaren gainean bakarrik erakusten dute. Ez dago ezer hautsita, eta arretaz desgaitu zen birbidaltze-ezarpenak ez du horrekin zerikusirik. Hau diagraman antzekoak diruditen eta kernelerako erabat desberdinak diren bi bideren arteko konparaketa da.
Bide batek beste baten ordez birbidaltzen ditu paketeak; besteak hosteari berari ematen dizkio.
Hosteari zuzendutako paketea hostean geratzen da
Urruneko bezeroak IP pakete bat bidaltzen dio hosteak duen helbide bati. Bideraketak galdera bat egiten du pakete horri buruz: helmuga hau lokala da? Hosteak duen helbide bakoitza bideratze lokalaren taulan agertzen da, eta taula hori nagusiaren aurretik kontsultatzen da, beraz paketea hostearen beraren pilan sartzen da beste interfaze batetik irten beharrean. Erantzuna lokalki sortzen da, eta tuneletik itzultzen da, kontsulta handik etorri delako.
Hori da mekanismo osoa. Ez da birbidaltzerik gertatzen, ez da interfazearen egoera aldaketarik parte hartzen, eta aipatutako helbideak ez du beste inondik irisgarria izan behar.
Zergatik ez den ip_forward aplikatzen
Birbidaltzeak iritsi ziren interfazeaz bestelako batean zehar atera behar duten paketeak gobernatzen ditu. Hosteari berari egindako ping-ek ez du inoiz bide hori hartzen: paketea lokalki kontsumitzen da eta erantzuna lokalki sortzen da. Beraz, net.ipv4.ip_forward=0 ezartzeak ez du ezer aldatzen hemen, eta birbidaltze-kateko arau batek ez du inoiz trafikoa ikusten. Kontrol egokia sarrera-bidean dago, sarrerako interfazeak edo iturriak mugatuta.
Horregatik, birbidaltzea desgaitzeak eta hostea isolatuta dagoela suposatzeak segurtasun-sentsazio faltsua sortzen du.
Irakurri erabaki zuen taula lokala
ip rule show-ek normalean zero lehentasuna duen arau bat jakinarazten du, bilaketa guztiak lehenengo taula lokalera bidaltzen dituena, eta ip route show table local-ek hostearen beraren helbideak zerrendatzen ditu esparru lokalarekin. Taula horrek administrazioz itzalita baina oraindik konfiguratuta dauden interfazeetako helbideak biltzen ditu. Estatikoki esleitutako IPv4 helbideek normalean esteka-galerari eusten diote, eta horrela zubi itzal batera egindako ping-ek oraindik arrakasta dezake eta operadorea harritu.
IPv6-k puntu honetan bertan egiten du desadostasuna. Bere helbideak normalean erretiratu egiten dira esteka erortzean, keep_addr_on_down ezarrita ez badago. Konparatu familiak, arau bakarra biak estaltzen dituela suposatu beharrean.
Zer lortzen duen benetan kide batek
Segmentu bateko routerraren beraren helbidetik datorren erantzunak ez du ezer esaten segmentu horren atzeko makinei buruz. Kideak ezin du beste interfazearen atzeko hostea bide honetatik lortu; routerrak berak dituen helbideetara soilik iristen da. Routerraren helbideari ping egin beharrean LAN hoste bereizi batean zerbitzu bat probatzea da birbidaltzea baimenduta dagoen ala ez ezartzen duena.
Kideak tunelaren helbidean lotuta dauden zerbitzuetara mugatzea sarrera-politikaren kontua da. Baimendu nahi den zerbitzua tunelaren interfazean eta mugatu erabil dezaketen iturriak, paketea benetan iristen baita hara.
Egiaztatu erretiratzeko asmoa zenituen helbideak ere. Helbide bat interfaze batetik kentzea fidagarriagoa da zaharkitu baten gainean suebaki-arauak pilatzea baino.