E VPN-Peer pingt aner Interfaceen, well se lokal sinn

E WireGuard-Client verbënnt sech a pingt eng Adress op engem ganz aneren Interface, an d’Äntwert kënnt un. Opnamen weisen d’Ufro just op dem Tunnel. Näischt ass futti, an d’Weiderleedungsastellung, déi suergfälteg ausgeschalt gouf, huet domat näischt ze dinn. Dëst ass e Verglach tëscht zwéi Weeër, déi op engem Diagramm gläich ausgesinn an am Kernel komplett aneschter sinn.

Deen ee Wee leet Pakete fir een aneren weider; deen aneren liwwert se un den Host selwer.

E Paket, deen un den Host adresséiert ass, bleift am Host

De Client aus der Distanz schéckt en IP-Paket un eng Adress, déi den Host huet. D’Routing stellt eng Fro zu dësem Paket: ass dës Destinatioun lokal? All Adress, déi den Host huet, erschéngt an der lokaler Routingstabell, an déi Tabell gëtt virun der Haapttabell consultéiert, also geet de Paket an den eegene Stack vum Host, amplaz iwwer en aneren Interface erauszegoen. D’Äntwert gëtt lokal generéiert, a se geet duerch den Tunnel zréck, well d’Ufro vun do koum.

Dat ass de ganze Mechanismus. Et geschitt keng Weiderleedung, et ass keng Ännerung vum Interface-Zoustand bedeelegt, an d’Adress, ëm déi et geet, muss net vun engem aneren Endpunkt aus erreechbar sinn.

Firwat ip_forward net gëllt

D’Weiderleedung reegelt Pakete, déi iwwer en aneren Interface eraus mussen, wéi deen, op deem se ukomm sinn. E Ping un den Host selwer hëlt ni dee Wee: de Paket gëtt lokal verbraucht an d’Äntwert gëtt lokal generéiert. Dofir ännert d’Astellung net.ipv4.ip_forward=0 hei näischt, an eng Regel an der Weiderleedungsketten gesäit den Trafik ni. Déi richteg Kontroll sëtzt op dem Input-Wee, begrenzt duerch den erakommenden Interface oder d’Quell.

Dofir erzeugen d’Ausschalte vun der Weiderleedung an d’Unhuele, den Host sief isoléiert, e falscht Sécherheetsgefill.

Liest déi lokal Tabell, déi decidéiert huet

ip rule show mellt normalerweis eng Regel mat Prioritéit null, déi all Recherchen als éischt an d’lokal Tabell schéckt, an ip route show table local lëscht d’eegen Adressen vum Host mat lokalem Ëmfang. Déi Tabell enthält Adressen op Interfaceen, déi administrativ ausgeschalt awer nach konfiguréiert sinn. IPv4-Adressen, déi statesch zougewisen sinn, iwwerliewe normalerweis e Linkausfall, an dofir kann e Ping op eng ausgeschalt Bréck nach ëmmer geléngen an den Operateur iwwerrasche.

IPv6 ass genau op dësem Punkt anescht. Seng Adressen ginn normalerweis zréckgezunn, wann de Link fält, ausser keep_addr_on_down ass gesat. Vergläicht d’Famillen, amplaz unzehuelen, eng Regel deckt béid of.

Wat e Peer tatsächlech erreecht

Eng Äntwert vun der eegener Adress vum Router op engem Segment seet näischt iwwer d’Maschinnen hannert deem Segment. De Peer kann en Host hannert dem aneren Interface iwwer dëse Wee net erreechen; en erreecht just Adressen, déi de Router selwer huet. Engem Service op engem separaten LAN-Host testen, amplaz d’Adress vum Router ze pingen, ass dat, wat kläert, ob d’Weiderleedung iwwerhaapt erlaabt ass.

E Peer op Servicer ze begrenzen, déi un d’Tunneladress gebonnen sinn, ass eng Fro vun der Input-Politik. Erlaabt de gewënschte Service um Tunnel-Interface a begrenzt d’Quellen, déi en däerfen notzen, well de Paket wierklech do ukommt.

Iwwerpréift och Adressen, déi dir wollt aus dem Betrib huelen. Eng Adress vun engem Interface ewechzehuelen ass zouverlässeger wéi Firewall-Reegelen iwwer eng al Adress ze stappelen.