VPN әріптесі басқа интерфейстерді пингтейді, себебі олар жергілікті
Жергілікті маршруттау кестесі пакеттерді хост иеленетін кез келген мекенжайға жібереді, ол қай интерфейсте болса да. Қайта жіберу параметрлері бұл жолға ешқашан кірмейді.
WireGuard клиенті қосылып, мүлде басқа интерфейстегі мекенжайға пинг жібереді, және жауап келеді. Жазбалар сұраныстың тек туннельде екенін көрсетеді. Ештеңе бұзылмаған, және абайлап өшірілген қайта жіберу параметрінің бұған қатысы жоқ. Бұл диаграммада ұқсас көрінетін, ал ядрода мүлде бөлек екі жолдың салыстырмасы.
Бір жол пакеттерді басқа біреу үшін қайта жібереді; екіншісі оларды хосттың өзіне жеткізеді.
Хостқа адрестелген пакет хостта қалады
Қашықтағы клиент хост иеленетін мекенжайға IP пакетін жібереді. Маршруттау осы пакет туралы бір сұрақ қояды: бұл межелі жергілікті ме? Хост иеленетін әрбір мекенжай жергілікті маршруттау кестесінде көрінеді, және бұл кесте негізгі кестеден бұрын қаралады, сондықтан пакет басқа интерфейстен шығудың орнына хосттың өз стегіне барады. Жауап жергілікті түрде жасалады, және ол туннель арқылы қайтады, өйткені сұрау сол жерден келген.
Бұл бүкіл механизм. Қайта жіберу болмайды, интерфейс күйінің өзгеруі қатыспайды, және айтылып отырған мекенжай басқа жерден қолжетімді болуы міндетті емес.
Неге ip_forward қолданылмайды
Қайта жіберу келген интерфейстен басқа интерфейс арқылы шығуы тиіс пакеттерді реттейді. Хосттың өзіне пинг ешқашан бұл жолмен жүрмейді: пакет жергілікті түрде тұтынылады және жауап жергілікті түрде жасалады. Сондықтан net.ipv4.ip_forward=0 параметрін орнату мұнда ештеңені өзгертпейді, және қайта жіберу тізбегіндегі ереже бұл трафикті ешқашан көрмейді. Дұрыс бақылау кіру жолында, кіріс интерфейсімен немесе көзімен шектелген.
Сондықтан қайта жіберуді өшіріп, хостты оқшауланған деп есептеу қауіпсіздіктің жалған сезімін тудырады.
Шешім қабылдаған жергілікті кестені оқыңыз
ip rule show әдетте нөлдік басымдықты ереже туралы хабарлайды, ол барлық іздеулерді алдымен жергілікті кестеге жібереді, ал ip route show table local хосттың өз мекенжайларын жергілікті ауқыммен тізімдейді. Бұл кесте әкімшілік түрде өшірілген, бірақ әлі конфигурацияланған интерфейстердегі мекенжайларды қамтиды. Статикалық тағайындалған IPv4 мекенжайлары әдетте байланыс үзілгенде де сақталады, және осылайша өшірілген көпірге пинг әлі де сәтті болып, операторды таңқалдыруы мүмкін.
IPv6 дәл осы тұста ерекшеленеді. Оның мекенжайлары байланыс үзілгенде әдетте кері қайтарылады, егер keep_addr_on_down орнатылмаған болса. Бір ереже екеуін де қамтиды деп есептеудің орнына отбасыларды салыстырыңыз.
Әріптес шын мәнінде неге жетеді
Сегменттегі маршрутизатордың өз мекенжайынан келген жауап сол сегменттің артындағы машиналар туралы ештеңе айтпайды. Әріптес бұл жолмен басқа интерфейстің артындағы хостқа жете алмайды; ол тек маршрутизатордың өзі иеленетін мекенжайларға жетеді. Маршрутизатордың мекенжайына пинг жасаудың орнына бөлек LAN хостта қызметті тексеру қайта жіберудің жалпы рұқсат етілгенін анықтайды.
Әріптесті туннель мекенжайына байланған қызметтермен шектеу кіру саясатының мәселесі. Қалаған қызметке туннель интерфейсінде рұқсат беріңіз және оны пайдалана алатын көздерді шектеңіз, өйткені пакет шынымен сол жерге жетеді.
Пайдаланудан шығармақ болған мекенжайларыңызды да тексеріңіз. Мекенжайды интерфейстен алып тастау ескірген мекенжайға firewall ережелерін қабаттаудан сенімдірек.