Peer VPN pinga druge vmesnike, ker so lokalni
Lokalna usmerjevalna tabela pošilja pakete na vsak naslov, ki ga ima gostitelj, ne glede na to, na katerem vmesniku je. Nastavitve posredovanja nikoli ne vstopijo na to pot.
Odjemalec WireGuard se poveže in pinga naslov na popolnoma drugem vmesniku, in odgovor prispe. Posnetki kažejo zahtevo samo na tunelu. Nič ni pokvarjeno, in skrbno onemogočena nastavitev posredovanja nima s tem ničesar. To je primerjava dveh poti, ki sta na diagramu videti enaki, v jedru pa popolnoma različni.
Ena pot posreduje pakete za nekoga drugega; druga jih dostavi gostitelju samemu.
Paket, naslovljen na gostitelja, ostane v gostitelju
Oddaljeni odjemalec pošlje IP paket na naslov, ki ga ima gostitelj. Usmerjanje postavi eno vprašanje o tem paketu: ali je ta cilj lokalen? Vsak naslov, ki ga ima gostitelj, se pojavi v lokalni usmerjevalni tabeli, in ta tabela se pregleda pred glavno, zato paket gre v gostiteljev lastni sklad, namesto da bi šel ven skozi drug vmesnik. Odgovor se ustvari lokalno, in se vrne skozi tunel, ker je poizvedba prišla od tam.
To je celoten mehanizem. Do posredovanja ne pride, nobena sprememba stanja vmesnika ni vključena, in zadevni naslov ni treba biti dosegljiv od nikoder drugje.
Zakaj ip_forward ne velja
Posredovanje upravlja pakete, ki morajo oditi skozi drug vmesnik, kot je tisti, na katerem so prispeli. Ping na gostitelja samega nikoli ne gre po tej poti: paket se porabi lokalno in odgovor se ustvari lokalno. Zato nastavitev net.ipv4.ip_forward=0 tu nič ne spremeni, in pravilo v verigi posredovanja tega prometa nikoli ne vidi. Pravilen nadzor je na vhodni poti, omejen z vhodnim vmesnikom ali virom.
Zato onemogočanje posredovanja in domneva, da je gostitelj izoliran, ustvarjata lažen občutek varnosti.
Preberite lokalno tabelo, ki je odločila
ip rule show običajno poroča o pravilu s prioriteto nič, ki pošlje vsa iskanja najprej v lokalno tabelo, ip route show table local pa našteje lastne naslove gostitelja z lokalnim obsegom. Ta tabela vključuje naslove na vmesnikih, ki so administrativno izklopljeni, a še vedno konfigurirani. Statično dodeljeni naslovi IPv4 običajno preživijo prekinitev povezave, in prav zato lahko ping na izklopljen most še vedno uspe in preseneti operaterja.
IPv6 se v tej točki razlikuje. Njegovi naslovi se ob padcu povezave običajno umaknejo, razen če je nastavljen keep_addr_on_down. Primerjajte družine, namesto da bi domnevali, da eno pravilo pokriva obe.
Do česa peer v resnici doseže
Odgovor z lastnega naslova usmerjevalnika v segmentu ne pove ničesar o strojih za tem segmentom. Peer po tej poti ne more doseči gostitelja za drugim vmesnikom; doseže le naslove, ki jih ima sam usmerjevalnik. Preizkušanje storitve na ločenem gostitelju LAN, namesto pinganja naslova usmerjevalnika, je tisto, kar ugotovi, ali je posredovanje sploh dovoljeno.
Omejevanje peera na storitve, vezane na naslov tunela, je vprašanje vhodne politike. Dovolite želeno storitev na vmesniku tunela in omejite vire, ki jo smejo uporabljati, ker paket v resnici prispe tja.
Preverite tudi naslove, ki ste jih nameravali umakniti. Odstranitev naslova z vmesnika je zanesljivejša od kopičenja pravil požarnega zidu na zastarel naslov.