Një peer VPN pingon ndërfaqe të tjera sepse janë lokale

Një klient WireGuard lidhet dhe pingon një adresë në një ndërfaqe krejt tjetër, dhe përgjigjja vjen. Regjistrimet tregojnë kërkesën vetëm në tunel. Asgjë nuk është prishur, dhe cilësimi i përcjelljes që u çaktivizua me kujdes nuk ka asnjë lidhje. Ky është një krahasim midis dy rrugëve që duken njësoj në një diagram dhe janë krejt të ndryshme në kernel.

Njëra rrugë përcjell paketa për dikë tjetër; tjetra i dorëzon ato vetë hostit.

Një paketë e adresuar hostit mbetet në host

Klienti i largët dërgon një paketë IP në një adresë që zotëron hosti. Rrugëtimi bën një pyetje për atë paketë: a është ky destinacion lokal? Çdo adresë që mban hosti shfaqet në tabelën lokale të rrugëtimit, dhe ajo tabelë konsultohet para asaj kryesore, kështu që paketa shkon në stivën e vetë hostit në vend që të dalë nga një ndërfaqe tjetër. Përgjigjja gjenerohet lokalisht, dhe ajo kthehet përmes tunelit sepse prej andej erdhi kërkesa.

Ky është i gjithë mekanizmi. Nuk ndodh asnjë përcjellje, nuk përfshihet asnjë ndryshim i gjendjes së ndërfaqes, dhe adresa në fjalë nuk ka nevojë të jetë e arritshme nga askund tjetër.

Pse ip_forward nuk zbatohet

Përcjellja qeveris paketat që duhet të dalin përmes një ndërfaqeje tjetër nga ajo ku mbërritën. Një ping drejt vetë hostit nuk e merr kurrë atë rrugë: paketa konsumohet lokalisht dhe përgjigjja gjenerohet lokalisht. Prandaj vendosja e net.ipv4.ip_forward=0 nuk ndryshon asgjë këtu, dhe një rregull në zinxhirin e përcjelljes nuk e sheh kurrë atë trafik. Kontrolli i saktë ndodhet në rrugën hyrëse, i kufizuar nga ndërfaqja hyrëse ose burimi.

Prandaj çaktivizimi i përcjelljes dhe supozimi se hosti është i izoluar prodhon një ndjenjë të rreme sigurie.

Lexoni tabelën lokale që vendosi

ip rule show normalisht raporton një rregull me përparësi zero që i dërgon të gjitha kërkimet fillimisht tabelës lokale, dhe ip route show table local liston adresat e vetë hostit me shtrirje lokale. Ajo tabelë përfshin adresa në ndërfaqe që janë çaktivizuar administrativisht por ende të konfiguruara. Adresat IPv4 të caktuara statikisht zakonisht i mbijetojnë një ndërprerjeje të lidhjes, dhe kështu një ping drejt një ure të çaktivizuar mund ende të ketë sukses dhe të befasojë operatorin.

IPv6 nuk pajtohet pikërisht në këtë pikë. Adresat e tij zakonisht tërhiqen kur lidhja bie, përveç nëse keep_addr_on_down është vendosur. Krahasoni familjet në vend që të supozoni se një rregull mbulon të dyja.

Çfarë arrin në të vërtetë një peer

Një përgjigje nga vetë adresa e ruterit në një segment nuk thotë asgjë për makinat prapa atij segmenti. Peer-i nuk mund të arrijë një host prapa ndërfaqes tjetër në këtë rrugë; ai arrin vetëm adresat që zotëron vetë ruteri. Testimi i një shërbimi në një host të veçantë LAN, në vend të ping-ut drejt adresës së ruterit, është ajo që përcakton nëse përcjellja lejohet fare.

Kufizimi i një peer-i te shërbimet e lidhura në adresën e tunelit është çështje e politikës hyrëse. Lejoni shërbimin e dëshiruar në ndërfaqen e tunelit dhe kufizoni burimet që mund ta përdorin, sepse paketa vërtet arrin atje.

Kontrolloni edhe adresat që kishit ndërmend të tërhiqni. Heqja e një adrese nga një ndërfaqe është më e besueshme se grumbullimi i rregullave të murit të zjarrit mbi një adresë të vjetëruar.