VPN साथीले अन्य इन्टरफेसमा पिङ गर्छ किनकि ती स्थानीय हुन्

एउटा WireGuard क्लाइन्ट जोडिन्छ र पूर्ण रूपमा फरक इन्टरफेसमा रहेको ठेगानामा पिङ गर्छ, र जवाफ आउँछ। क्याप्चरले अनुरोध टनेलमा मात्र देखाउँछ। केही पनि बिग्रिएको छैन, र ध्यानपूर्वक बन्द गरिएको फर्वार्डिङ सेटिङसँग यसको कुनै सम्बन्ध छैन। यो रेखाचित्रमा समान देखिने र कर्नेलमा पूर्ण रूपमा फरक दुई मार्गहरूको तुलना हो।

एउटा मार्गले अरूका लागि प्याकेट फर्वार्ड गर्छ; अर्कोले तिनीहरूलाई होस्टकैमा पुर्‍याउँछ।

होस्टलाई सम्बोधित प्याकेट होस्टमै रहन्छ

टाढाको क्लाइन्टले होस्टसँग भएको ठेगानामा IP प्याकेट पठाउँछ। राउटिङले त्यो प्याकेटबारे एउटा प्रश्न सोध्छ: के यो गन्तव्य स्थानीय हो? होस्टसँग भएको हरेक ठेगाना स्थानीय राउटिङ तालिकामा देखिन्छ, र त्यो तालिका मुख्य तालिकाभन्दा पहिले हेरिन्छ, त्यसैले प्याकेट अर्को इन्टरफेसबाट बाहिर जानुको सट्टा होस्टको आफ्नै स्ट्याकमा जान्छ। जवाफ स्थानीय रूपमा उत्पन्न हुन्छ, र प्रश्न त्यहीँबाट आएको हुनाले यो टनेलबाट फर्कन्छ।

यही सम्पूर्ण कार्यविधि हो। कुनै फर्वार्डिङ हुँदैन, इन्टरफेसको अवस्था परिवर्तन संलग्न हुँदैन, र विचाराधीन ठेगाना अन्य कतैबाट पुग्न सकिने हुनु आवश्यक छैन।

ip_forward किन लागू हुँदैन

फर्वार्डिङले ती प्याकेटलाई नियन्त्रण गर्छ जुन आएको इन्टरफेसभन्दा फरक इन्टरफेसबाट बाहिर जानुपर्छ। होस्टलाई नै पिङ कहिल्यै त्यो मार्ग लिँदैन: प्याकेट स्थानीय रूपमा खपत हुन्छ र जवाफ स्थानीय रूपमा उत्पन्न हुन्छ। त्यसैले net.ipv4.ip_forward=0 सेट गर्दा यहाँ केही बदलिँदैन, र फर्वार्ड चेनको नियमले त्यो ट्राफिक कहिल्यै देख्दैन। सही नियन्त्रण इनपुट मार्गमा छ, आउने इन्टरफेस वा स्रोतले सीमित गरिएको।

त्यसैले फर्वार्डिङ बन्द गर्नु र होस्ट अलग छ भनी मान्नु सुरक्षाको झुटो भावना उत्पन्न गर्छ।

निर्णय गर्ने स्थानीय तालिका पढ्नुहोस्

ip rule show सामान्यतया शून्य प्राथमिकताको नियम रिपोर्ट गर्छ जसले सबै खोजहरू पहिले स्थानीय तालिकामा पठाउँछ, र ip route show table local होस्टका आफ्नै ठेगानाहरू स्थानीय दायरासहित सूचीबद्ध गर्छ। त्यो तालिकामा प्रशासनिक रूपमा बन्द तर अझै कन्फिगर गरिएका इन्टरफेसका ठेगानाहरू पनि समावेश हुन्छन्। स्थिर रूपमा तोकिएका IPv4 ठेगानाहरू सामान्यतया लिङ्क टुट्दा पनि टिकिरहन्छन्, र यसैकारण बन्द गरिएको ब्रिजमा पिङ अझै सफल हुन सक्छ र अपरेटरलाई छक्क पार्न सक्छ।

IPv6 ठ्याक्कै यही बिन्दुमा फरक छ। लिङ्क खस्दा यसका ठेगानाहरू सामान्यतया फिर्ता लिइन्छन्, जबसम्म keep_addr_on_down सेट गरिएको छैन। एउटै नियमले दुवैलाई समेट्छ भनी मान्नुको सट्टा परिवारहरूको तुलना गर्नुहोस्।

एक साथीले वास्तवमा केसम्म पुग्छ

कुनै खण्डमा राउटरकै ठेगानाबाट आएको जवाफले त्यो खण्डपछाडिका मेसिनबारे केही भन्दैन। साथीले यो मार्गबाट अर्को इन्टरफेसपछाडिको होस्टसम्म पुग्न सक्दैन; यो राउटर आफैसँग भएका ठेगानासम्म मात्र पुग्छ। राउटरको ठेगानामा पिङ गर्नुको सट्टा छुट्टै LAN होस्टमा सेवा परीक्षण गर्नुले फर्वार्डिङलाई अनुमति छ कि छैन भन्ने निर्धारण गर्छ।

साथीलाई टनेल ठेगानामा बाँधिएका सेवाहरूमा सीमित गर्नु इनपुट नीतिको प्रश्न हो। टनेल इन्टरफेसमा चाहिएको सेवालाई अनुमति दिनुहोस् र यसलाई प्रयोग गर्न सक्ने स्रोतहरूलाई सीमित गर्नुहोस्, किनकि प्याकेट साँच्चै त्यहाँ पुग्छ।

तपाईंले हटाउन चाहेका ठेगानाहरू पनि जाँच्नुहोस्। इन्टरफेसबाट ठेगाना हटाउनु पुरानो ठेगानामाथि फायरवाल नियमहरू थुपार्नुभन्दा बढी भरपर्दो हुन्छ।