In VPN-pear pinget oare ynterfaces om't se lokaal binne
De lokale rûtetabel stjoert pakketten nei elk adres dat de host hat, op hokker ynterface it ek sit. Trochstjoerynstellingen komme nea op dat paad.
In WireGuard-klant ferbynt en pinget in adres op in folslein oare ynterface, en it antwurd komt oan. Opnamen litte it fersyk allinnich op de tunnel sjen. Neat is stikken, en de trochstjoerynstelling dy't soarchfâldich útskeakele is, hat der neat mei te krijen. Dit is in ferliking tusken twa paden dy't op in diagram gelyk lykje en yn de kernel folslein ferskillend binne.
It iene paad stjoert pakketten foar in oar troch; it oare leveret se ôf oan de host sels.
In pakket rjochte op de host bliuwt yn de host
De fiere klant stjoert in IP-pakket nei in adres dat de host hat. Rûtefreegje stelt ien fraach oer dat pakket: is dit bestimming lokaal? Elk adres dat de host hat, ferskynt yn 'e lokale rûtetabel, en dy tabel wurdt earder rieplachte as de haadtabel, dus it pakket giet nei de eigen steapel fan 'e host ynstee fan út in oare ynterface wei. It antwurd wurdt lokaal generearre, en it reizget werom troch de tunnel om't it fersyk dêr wei kaam.
Dat is it hiele meganisme. Der bart gjin trochstjoering, der is gjin feroaring fan ynterfacestatus belutsen, en it adres yn kwestje hoecht fan gjin oar plak berikber te wêzen.
Wêrom ip_forward net jildt
Trochstjoering regelet pakketten dy't troch in oare ynterface fuort moatte as dêr't se op oankamen. In ping nei de host sels nimt nea dat paad: it pakket wurdt lokaal ferbrûkt en it antwurd wurdt lokaal generearre. Dêrom feroaret it ynstellen fan net.ipv4.ip_forward=0 hjir neat, en in regel yn 'e trochstjoerkeatling sjocht it ferkear nea. De juste kontrôle sit op it yngongspaad, beheind troch de ynkommende ynterface of boarne.
Dêrom jout it útskeakeljen fan trochstjoering en it oannimmen dat de host isolearre is in falsk gefoel fan feiligens.
Lês de lokale tabel dy't besletten hat
ip rule show meldt normaal in regel mei prioriteit nul dy't alle sykopsjes earst nei de lokale tabel stjoert, en ip route show table local listet de eigen adressen fan 'e host mei lokale omfang op. Dy tabel omfettet adressen op ynterfaces dy't administratyf út stean mar noch konfigurearre binne. IPv4-adressen dy't statysk tawiisd binne, oerlibje normaal in linkfal, en dêrom kin in ping nei in útskeakele brêge noch slagje en de operator ferrasse.
IPv6 is it krekt op dit punt net mei iens. De adressen wurde normaal weromlutsen as de link falt, útsein as keep_addr_on_down ynsteld is. Ferlykje de famyljes ynstee fan oan te nimmen dat ien regel beide dekt.
Wat in pear echt berikt
In antwurd fan it eigen adres fan 'e router op in segmint seit neat oer de masines efter dat segmint. It pear kin in host efter de oare ynterface net fia dit paad berikke; it berikt allinnich adressen dy't de router sels hat. It testen fan in tsjinst op in aparte LAN-host, ynstee fan it pingjen fan it adres fan 'e router, is wat fêststelt oft trochstjoering hielendal tastien is.
It beheinen fan in pear ta tsjinsten dy't bûn binne oan it tunneladres is in fraach fan yngongsbelied. Stean de winske tsjinst ta op 'e tunnelinterface en behein de boarnen dy't it brûke meie, om't it pakket dêr echt oankomt.
Kontrolearje ek adressen dy't jo fan doel wiene út te betsjenjen. In adres fan in ynterface fuorthelje is betrouberder as it opstapeljen fan firewallregels boppe op in ferâldere ien.