VPN-jafningi pingar önnur tengi vegna þess að þau eru staðbundin

WireGuard-biðlari tengist og pingar vistfang á gjörólíku tengi, og svarið berst. Upptökur sýna beiðnina aðeins á göngunni. Ekkert er bilað, og áframsendingarstillingin sem var vandlega gerð óvirk hefur ekkert með þetta að gera. Þetta er samanburður á tveimur leiðum sem líta svipaðar út á skýringarmynd og eru gjörólíkar í kjarnanum.

Önnur leiðin áframsendir pakka fyrir aðra; hin skilar þeim til hýsilsins sjálfs.

Pakki sem er stílaður á hýsilinn verður eftir í hýslinum

Fjarbiðlarinn sendir IP-pakka á vistfang sem hýsillinn á. Leiðsögn spyr einnar spurningar um þann pakka: er þessi áfangastaður staðbundinn? Hvert vistfang sem hýsillinn hefur birtist í staðbundnu leiðartöflunni, og sú tafla er skoðuð á undan aðaltöflunni, svo pakkinn fer í eigin staka hýsilsins í stað þess að fara út um annað tengi. Svarið er búið til staðbundið, og það fer til baka um gönguna vegna þess að fyrirspurnin kom þaðan.

Þetta er allt ferlið. Engin áframsending á sér stað, engin breyting á stöðu tengis kemur við sögu, og vistangið sem um ræðir þarf ekki að vera aðgengilegt annars staðar frá.

Hvers vegna ip_forward á ekki við

Áframsending stjórnar pökkum sem verða að fara út um annað tengi en það sem þeir komu á. Ping á hýsilinn sjálfan fer aldrei þessa leið: pakkinn er eytt staðbundið og svarið er búið til staðbundið. Þess vegna breytir stillingin net.ipv4.ip_forward=0 engu hér, og regla í áframsendingarkeðjunni sér aldrei þessa umferð. Rétta stjórnin er á inntaksleiðinni, afmörkuð af innkomandi tengi eða upptökum.

Þess vegna skapar það falska öryggistilfinningu að slökkva á áframsendingu og gera ráð fyrir að hýsillinn sé einangraður.

Lestu staðbundnu töfluna sem réð

ip rule show tilkynnir venjulega reglu með forgangi núll sem sendir allar uppflettingar fyrst í staðbundnu töfluna, og ip route show table local listar eigin vistföng hýsilsins með staðbundið umfang. Sú tafla inniheldur vistföng á tengjum sem eru stjórnunarlega óvirk en enn stillt. IPv4-vistföng sem eru úthlutuð statískt lifa venjulega af slit á tengingu, og þannig getur ping á óvirka brú enn tekist og komið rekstraraðilanum á óvart.

IPv6 er ósammála einmitt á þessum punkti. Vistföng þess eru venjulega dregin til baka þegar tengingin slitnar, nema keep_addr_on_down sé stillt. Berðu saman fjölskyldurnar í stað þess að gera ráð fyrir að ein regla nái yfir báðar.

Hvað jafningi nær í raun

Svar frá eigin vistfangi beinisins á einum hluta segir ekkert um vélarnar bak við þann hluta. Jafninginn getur ekki náð í hýsil bak við hitt tengið á þessari leið; hann nær aðeins vistföngum sem beinirinn sjálfur á. Að prófa þjónustu á sérstökum LAN-hýsli, í stað þess að pinga vistfang beinisins, er það sem staðfestir hvort áframsending sé yfirhöfuð leyfð.

Að takmarka jafningja við þjónustur sem eru bundnar á vistfang göngunnar er spurning um inntaksstefnu. Leyfðu óskaða þjónustu á tengi göngunnar og takmarkaðu upptökurnar sem mega nota hana, vegna þess að pakkinn kemur sannarlega þangað.

Athugaðu líka vistföng sem þú ætlaðir að taka úr notkun. Að fjarlægja vistfang af tengi er áreiðanlegra en að stafla eldveggjarreglum ofan á úrelt vistfang.