VPN өнөктөшү башка интерфейстерди пингдейт, анткени алар жергиликтүү
Жергиликтүү маршруттоо таблицасы пакеттерди хост ээлик кылган ар кандай дарекке жөнөтөт, ал кайсы интерфейсте болбосун. Кайра жөнөтүү параметрлери бул жолго эч качан кирбейт.
WireGuard кардары туташып, такыр башка интерфейстеги дарекке пинг жөнөтөт, жана жооп келет. Жазуулар сурамдын туннелде гана экенин көрсөтөт. Эч нерсе бузулган эмес, жана этияттык менен өчүрүлгөн кайра жөнөтүү параметринин буга эч кандай тиешеси жок. Бул диаграммада окшош көрүнгөн, ал эми өзөктө такыр башка эки жолдун салыштырмасы.
Бир жол пакеттерди башка бирөө үчүн кайра жөнөтөт; экинчиси аларды хосттун өзүнө жеткирет.
Хостко адрестелген пакет хостто калат
Алыскы кардар хост ээлик кылган дарекке IP пакет жөнөтөт. Маршруттоо бул пакет жөнүндө бир суроо берет: бул багыт жергиликтүүбү? Хост ээлик кылган ар бир дарек жергиликтүү маршруттоо таблицасында көрүнөт, жана бул таблица негизги таблицадан мурун каралат, ошондуктан пакет башка интерфейстен чыгуунун ордуна хосттун өз стегине барат. Жооп жергиликтүү түрдө жаралат, жана ал туннел аркылуу кайтат, анткени сурам ошол жерден келген.
Бул бүткүл механизм. Кайра жөнөтүү болбойт, интерфейс абалынын өзгөрүшү катышпайт, жана айтылып жаткан дарек башка жерден жеткиликтүү болушу шарт эмес.
Эмне үчүн ip_forward колдонулбайт
Кайра жөнөтүү келген интерфейстен башка интерфейс аркылуу чыгышы керек пакеттерди башкарат. Хосттун өзүнө пинг эч качан бул жол менен жүрбөйт: пакет жергиликтүү түрдө керектелет жана жооп жергиликтүү түрдө жаралат. Ошондуктан net.ipv4.ip_forward=0 жөндөөсү бул жерде эч нерсени өзгөртпөйт, жана кайра жөнөтүү чынжырындагы эреже бул трафикти эч качан көрбөйт. Туура көзөмөл кирүү жолунда, кирүүчү интерфейс же булак менен чектелген.
Ошондуктан кайра жөнөтүүнү өчүрүп, хостту обочолонгон деп эсептөө коопсуздуктун жалган сезимин жаратат.
Чечим кабыл алган жергиликтүү таблицаны окуңуз
ip rule show адатта нөлдүк артыкчылыктагы эреже жөнүндө билдирет, ал бардык издөөлөрдү адегенде жергиликтүү таблицага жөнөтөт, ал эми ip route show table local хосттун өз даректерин жергиликтүү камтуу менен тизмелейт. Бул таблица административдик түрдө өчүрүлгөн, бирок дагы эле конфигурацияланган интерфейстердеги даректерди камтыйт. Статикалык дайындалган IPv4 даректери адатта байланыш үзүлгөндө да сакталып калат, жана ошол себептен өчүрүлгөн көпүрөгө пинг дагы эле ийгиликтүү болуп, операторду таң калтырышы мүмкүн.
IPv6 дал ушул пунктта айырмаланат. Анын даректери байланыш үзүлгөндө адатта кайтарылып алынат, эгер keep_addr_on_down орнотулбаган болсо. Бир эреже экөөнү тең камтыйт деп эсептөөнүн ордуна үй-бүлөлөрдү салыштырыңыз.
Өнөктөш чындыгында эмнеге жетет
Сегменттеги маршрутизатордун өз дарегинен келген жооп ошол сегменттин артындагы машиналар жөнүндө эч нерсе айтпайт. Өнөктөш бул жол менен башка интерфейстин артындагы хостко жете албайт; ал маршрутизатордун өзү ээлик кылган даректерге гана жетет. Маршрутизатордун дарегине пинг жасоонун ордуна өзүнчө LAN хостунда кызматты текшерүү кайра жөнөтүүнүн жалпы уруксат берилгенин аныктайт.
Өнөктөштү туннел дарегине байланган кызматтар менен чектөө кирүү саясатынын маселеси. Каалаган кызматка туннел интерфейсинде уруксат бериңиз жана аны колдоно алган булактарды чектеңиз, анткени пакет чындыгында ошол жерге жетет.
Колдонуудан чыгармакчы болгон даректериңизди да текшериңиз. Даректи интерфейстен алып салуу эски даректин үстүнө firewall эрежелерин катмарлоодон ишенимдүү.