VPN-ийн түнш бусад интерфэйс рүү пинг илгээдэг, учир нь тэдгээр нь локал

WireGuard клиент холбогдож, огт өөр интерфэйс дээрх хаяг руу пинг илгээхэд хариу ирдэг. Бичлэгүүд хүсэлт зөвхөн туннель дээр байгааг харуулна. Юу ч эвдэрээгүй бөгөөд болгоомжтой унтраасан дамжуулах тохиргоотой энэ нь ямар ч холбоогүй. Энэ нь диаграмм дээр төстэй харагдах боловч цөмд огт өөр хоёр замын харьцуулалт юм.

Нэг зам бусдын өмнөөс пакет дамжуулдаг; нөгөө нь тэдгээрийг хост өөрт нь хүргэдэг.

Хост руу хаягласан пакет хост дотор үлддэг

Алслагч клиент хост эзэмшдэг хаяг руу IP пакет илгээдэг. Маршрутлал тэр пакетын талаар нэг асуулт асуудаг: энэ чиглэл локал уу? Хост эзэмшдэг бүх хаяг локал маршрутын хүснэгтэд харагдана, мөн тэр хүснэгтийг үндсэн хүснэгтээс өмнө авч үздэг, тиймээс пакет өөр интерфэйсээр гарсны оронд хост өөрийн стек рүү очно. Хариу локалаар үүсдэг бөгөөд асуулга тэндээс ирсэн тул туннелээр буцаж явдаг.

Энэ бол бүх механизм. Дамжуулалт болохгүй, интерфэйсийн төлөвийн өөрчлөлт оролцохгүй, дурдсан хаяг өөр газраас хүрэх боломжтой байх шаардлагагүй.

Яагаад ip_forward хамаарахгүй вэ

Дамжуулалт нь ирсэн интерфэйсээс өөр интерфэйсээр гарах ёстой пакетуудыг удирддаг. Хост өөр рүү чиглэсэн пинг хэзээ ч тэр замаар явахгүй: пакет локалаар хэрэглэгдэж, хариу локалаар үүсдэг. Тиймээс net.ipv4.ip_forward=0 тохируулах нь энд юу ч өөрчлөхгүй бөгөөд дамжуулалтын гинжин дэх дүрэм тэр урсгалыг хэзээ ч хардаггүй. Зөв хяналт нь оролтын зам дээр, ирж буй интерфэйс эсвэл эх сурвалжаар хязгаарлагддаг.

Тиймээс дамжуулалтыг унтрааж, хост тусгаарлагдсан гэж үзэх нь аюулгүй байдлын хуурамч мэдрэмж төрүүлдэг.

Шийдвэр гаргасан локал хүснэгтийг уншаарай

ip rule show ихэвчлэн тэг тэргүүлэх чиглэлтэй дүрмийг мэдээлдэг бөгөөд энэ нь бүх хайлтыг эхлээд локал хүснэгт рүү илгээдэг, харин ip route show table local хост өөрийн хаягуудыг локал хүрээтэйгээр жагсаадаг. Тэр хүснэгтэд захиргааны хувьд унтраасан боловч тохируулагдсан хэвээр байгаа интерфэйсүүдийн хаягууд багтана. Статикаар олгосон IPv4 хаягууд ихэвчлэн холбоос тасрахад ч үлддэг бөгөөд ийм учраас унтраасан гүүр рүү пинг амжилттай болж операторыг гайхшруулж болно.

IPv6 яг энэ асуудалд өөр байдаг. Холбоос унах үед түүний хаягууд ихэвчлэн буцаагдана, хэрэв keep_addr_on_down тохируулаагүй бол. Нэг дүрэм хоёуланг нь хамарна гэж үзэхийн оронд гэр бүлүүдийг харьцуулаарай.

Түнш бодитоор юунд хүрдэг вэ

Сегмент дээрх маршрутлагчийн өөрийн хаягаас ирсэн хариу тэр сегментийн ард байгаа машинуудын талаар юу ч хэлэхгүй. Түнш энэ замаар нөгөө интерфэйсийн ард байгаа хост руу хүрч чадахгүй; зөвхөн маршрутлагч өөрөө эзэмшдэг хаягууд руу хүрнэ. Маршрутлагчийн хаяг руу пинг хийхийн оронд тусдаа LAN хост дээр үйлчилгээг турших нь дамжуулалт ер нь зөвшөөрөгдсөн эсэхийг тогтоодог.

Түншийг туннелийн хаяг дээр холбогдсон үйлчилгээнүүдээр хязгаарлах нь оролтын бодлогын асуудал. Хүссэн үйлчилгээг туннелийн интерфэйс дээр зөвшөөрч, түүнийг ашиглаж болох эх сурвалжийг хязгаарлаарай, учир нь пакет үнэхээр тэнд ирдэг.

Та хасахаар төлөвлөж байсан хаягуудаа ч шалгаарай. Хаягийг интерфэйсээс хасах нь хуучирсан хаяг дээр галт ханын дүрмийг давхарлахаас илүү найдвартай.