Peer VPN jpingja interfaces oħra għax huma lokali

Klijent WireGuard jikkonnettja u jpingja indirizz fuq interface kompletament differenti, u r-risposta tasal. Ir-rekordings juru t-talba biss fuq it-tunnel. Xejn mhu miksur, u s-setting tal-forwarding li ntgħalqet bl-attenzjoni m’għandha x’taqsam ma’ dan. Din hija paragun bejn żewġ toroq li jidhru simili fi diagramma u huma kompletament differenti fil-kernel.

Triq waħda tibgħat pakketti forward għal ħaddieħor; l-oħra twassalhom lill-host stess.

Pakkett indirizzat lill-host jibqa’ fil-host

Il-klijent remot jibgħat pakkett IP lil indirizz li jkollu l-host. Ir-routing jistaqsi mistoqsija waħda dwar dak il-pakkett: dan id-destinazzjoni huwiex lokali? Kull indirizz li jkollu l-host jidher fit-tabella tal-routing lokali, u dik it-tabella tiġi kkonsultata qabel dik prinċipali, għalhekk il-pakkett imur fl-istack tal-host stess minflok ma joħroġ minn interface oħra. Ir-risposta tiġi ġġenerata lokalment, u hija terga’ lura mit-tunnel għax minn hemm ġiet il-mistoqsija.

Dan huwa l-mekkaniżmu kollu. Ma sseħħ l-ebda forwarding, ma tiddaħħal l-ebda bidla fl-istat tal-interface, u l-indirizz inkwistjoni m’għandux għalfejn ikun aċċessibbli minn imkien ieħor.

Għaliex ip_forward ma japplikax

Il-forwarding jirregola pakketti li jridu joħorġu minn interface differenti minn dik li waslu fuqha. Ping lill-host stess qatt ma jieħu dik it-triq: il-pakkett jiġi kkunsmat lokalment u r-risposta tiġi ġġenerata lokalment. Għalhekk l-issettjar ta’ net.ipv4.ip_forward=0 ma jbiddel xejn hawn, u regola fil-katina tal-forwarding qatt ma tara dik it-traffiku. Il-kontroll korrett jinsab fit-triq tal-input, limitat mill-interface li tidħol jew mis-sors.

Għalhekk l-għeluq tal-forwarding u l-assunzjoni li l-host huwa iżolat jipproduċu sens falz ta’ sigurtà.

Aqra t-tabella lokali li ddeċidiet

ip rule show normalment jirrapporta regola b’prijorità żero li tibgħat it-tfittxijiet kollha l-ewwel lit-tabella lokali, u ip route show table local jelenka l-indirizzi tal-host stess b’ambitu lokali. Dik it-tabella tinkludi indirizzi fuq interfaces li huma amministrattivament mitfija iżda għadhom konfigurati. Indirizzi IPv4 assenjati statikament normalment jibqgħu jgħixu wara waqgħa tal-link, u hekk ping lejn pont mitfi jista’ xorta jirnexxi u jissorprendi l-operatur.

IPv6 ma jaqbilx eżattament f’dan il-punt. L-indirizzi tiegħu normalment jiġu rtirati meta jaqa’ l-link, sakemm keep_addr_on_down mhuwiex issettjat. Qabbel il-familji minflok ma tassumi li regola waħda tkopri t-tnejn.

X’jilħaq peer verament

Risposta mill-indirizz tar-router stess fuq segment ma tgħid xejn dwar il-magni wara dak is-segment. Il-peer ma jistax jilħaq host wara l-interface l-oħra minn din it-triq; jilħaq biss indirizzi li r-router stess għandu. L-ittestjar ta’ servizz fuq host LAN separat, minflok ping lill-indirizz tar-router, huwa dak li jistabbilixxi jekk il-forwarding huwiex permess xejn.

Li tħares peer għal servizzi marbutin mal-indirizz tat-tunnel hija kwistjoni ta’ politika tal-input. Ippermetti s-servizz mixtieq fuq l-interface tat-tunnel u ħares is-sorsi li jistgħu jużawh, għax il-pakkett verament jasal hemm.

Iċċekkja wkoll indirizzi li kont beħsiebkom tirtiraw. It-tneħħija ta’ indirizz minn interface hija aktar affidabbli milli tqiegħed regoli tal-firewall fuq indirizz qadim.