VPN partneris pingē citas saskarnes, jo tās ir lokālas

WireGuard klients izveido savienojumu un pingē adresi pavisam citā saskarnē, un atbilde pienāk. Ieraksti rāda, ka pieprasījums ir tikai tunelī. Nekas nav salūzis, un rūpīgi izslēgtais pārsūtīšanas iestatījums ar to nav saistīts. Šis ir divu ceļu salīdzinājums: diagrammā tie izskatās līdzīgi, bet kodolā ir pilnīgi atšķirīgi.

Viens ceļš pārsūta paketes kāda cita vietā; otrs piegādā tās pašam resursdatoram.

Resursdatoram adresētā pakete paliek resursdatorā

Attālinātais klients sūta IP paketi uz adresi, kas pieder resursdatoram. Maršrutēšana uzdod vienu jautājumu par šo paketi: vai šis galamērķis ir lokāls? Katra resursdatora adrese parādās vietējā maršrutēšanas tabulā, un šī tabula tiek apskatīta pirms galvenās, tāpēc pakete nonāk paša resursdatora stekā, nevis iziet caur citu saskarni. Atbilde tiek ģenerēta lokāli, un tā atgriežas pa tuneli, jo vaicājums nāca no turienes.

Tas ir viss mehānisms. Pārsūtīšana nenotiek, saskarnes stāvokļa izmaiņas nepiedalās, un attiecīgajai adresei nav jābūt sasniedzamai no citurienes.

Kāpēc ip_forward neattiecas

Pārsūtīšana pārvalda paketes, kurām jāiziet caur citu saskarni, nekā tā, kurā tās ienāca. Ping uz pašu resursdatoru nekad neiet šo ceļu: pakete tiek patērēta lokāli un atbilde tiek ģenerēta lokāli. Tāpēc net.ipv4.ip_forward=0 iestatīšana šeit neko nemaina, un pārsūtīšanas ķēdes noteikums šo plūsmu nekad neredz. Pareizā kontrole atrodas ievades ceļā, ierobežota ar ienākošo saskarni vai avotu.

Tāpēc pārsūtīšanas izslēgšana un pieņēmums, ka resursdators ir izolēts, rada viltus drošības sajūtu.

Izlasiet vietējo tabulu, kas pieņēma lēmumu

ip rule show parasti ziņo par noteikumu ar nulles prioritāti, kas visus meklējumus vispirms sūta uz vietējo tabulu, un ip route show table local uzskaita paša resursdatora adreses ar lokālu tvērumu. Šajā tabulā ir arī adreses saskarnēs, kas administratīvi izslēgtas, bet joprojām konfigurētas. Statiski piešķirtās IPv4 adreses parasti pārdzīvo saites pārrāvumu, un tieši tāpēc ping uz izslēgtu tiltu joprojām var izdoties un pārsteigt operatoru.

IPv6 šajā jautājumā atšķiras. Tās adreses parasti tiek atsauktas, kad saite pārtrūkst, ja vien nav iestatīts keep_addr_on_down. Salīdziniet saimes, nevis pieņemiet, ka viens noteikums aptver abas.

Ko partneris patiešām sasniedz

Atbilde no paša maršrutētāja adreses segmentā neko nepasaka par mašīnām aiz šī segmenta. Partneris šajā ceļā nevar sasniegt resursdatoru aiz otras saskarnes; tas sasniedz tikai adreses, kas pieder pašam maršrutētājam. Pakalpojuma testēšana atsevišķā LAN resursdatorā, nevis ping uz maršrutētāja adresi, ir tas, kas nosaka, vai pārsūtīšana vispār ir atļauta.

Partnera ierobežošana ar pakalpojumiem, kas piesaistīti tuneļa adresei, ir ievades politikas jautājums. Atļaujiet vēlamo pakalpojumu tuneļa saskarnē un ierobežojiet avotus, kuriem to drīkst izmantot, jo pakete patiešām tur nonāk.

Pārbaudiet arī adreses, kuras bijāt iecerējuši izņemt. Adreses noņemšana no saskarnes ir uzticamāka nekā ugunsmūra noteikumu kraušana uz novecojušas adreses.