Mwenza VPN anapinga violesura vingine kwa sababu ni vya ndani

Mteja wa WireGuard anajiunga na anapinga anwani kwenye kiolesura tofauti kabisa, na jibu linafika. Rekodi zinaonyesha ombi kwenye handaki pekee. Hakuna kilichovunjika, na mpangilio wa upelekaji uliozimwa kwa uangalifu hauna uhusiano wowote. Hii ni ulinganisho kati ya njia mbili zinazofanana kwenye mchoro na tofauti kabisa kwenye kerneli.

Njia moja hupeleka pakiti kwa ajili ya mtu mwingine; nyingine huzifikisha kwa mwenyeji mwenyewe.

Pakiti iliyoelekezwa kwa mwenyeji hubaki ndani ya mwenyeji

Mteja wa mbali hutuma pakiti ya IP kwa anwani ambayo mwenyeji anayo. Uelekezaji huuliza swali moja kuhusu pakiti hiyo: je, lengo hili ni la ndani? Kila anwani ambayo mwenyeji anayo inaonekana kwenye jedwali la uelekezaji la ndani, na jedwali hilo hushauriwa kabla ya lile kuu, kwa hiyo pakiti huenda kwenye staki ya mwenyeji mwenyewe badala ya kutoka kupitia kiolesura kingine. Jibu huzalishwa ndani, na hurudi kupitia handaki kwa sababu swali lilitoka huko.

Huo ndio utaratibu wote. Hakuna upelekaji unaotokea, hakuna mabadiliko ya hali ya kiolesura yanayohusika, na anwani inayozungumzwa haihitaji kufikiwa kutoka mahali pengine popote.

Kwa nini ip_forward haitumiki

Upelekaji husimamia pakiti ambazo lazima ziondoke kupitia kiolesura tofauti na kile zilizofikia. Ping kwa mwenyeji mwenyewe kamwe haichukui njia hiyo: pakiti hutumiwa ndani na jibu huzalishwa ndani. Kwa hiyo kuweka net.ipv4.ip_forward=0 hakubadilisha chochote hapa, na sheria katika mnyororo wa upelekaji kamwe haioni trafiki hiyo. Udhibiti sahihi upo kwenye njia ya kuingia, uliowekewa mipaka na kiolesura kinachoingia au chanzo.

Ndio sababu kuzima upelekaji na kudhani mwenyeji ametengwa huzalisha hisia za uwongo za usalama.

Soma jedwali la ndani lililoamua

ip rule show kwa kawaida huripoti sheria yenye kipaumbele sifuri inayotuma utafutaji wote kwenye jedwali la ndani kwanza, na ip route show table local huorodhesha anwani za mwenyeji mwenyewe zenye wigo wa ndani. Jedwali hilo linajumuisha anwani kwenye violesura vilivyozimwa kiutawala lakini bado vimesanidiwa. Anwani za IPv4 zilizopewa kwa njia isiyobadilika kwa kawaida hustahimili kukatika kwa kiungo, na ndio sababu ping kwa daraja lililozimwa bado inaweza kufanikiwa na kumshangaza mwendeshaji.

IPv6 haikubaliani hasa katika jambo hili. Anwani zake kwa kawaida huondolewa kiungo kinapoanguka, isipokuwa keep_addr_on_down imewekwa. Linganisha familia badala ya kudhani sheria moja inashughulikia zote mbili.

Mwenza anafikia nini kwa kweli

Jibu kutoka anwani ya kipanga njia yenyewe kwenye sehemu hakuna kinachosema kuhusu mashine zilizo nyuma ya sehemu hiyo. Mwenza hawezi kufikia mwenyeji aliye nyuma ya kiolesura kingine kwa njia hii; anafikia anwani ambazo kipanga njia yenyewe kinazo pekee. Kujaribu huduma kwenye mwenyeji tofauti wa LAN, badala ya kupinga anwani ya kipanga njia, ndiko kunakoamua kama upelekaji unaruhusiwa kabisa.

Kuweka mipaka kwa mwenza kwa huduma zilizofungamanishwa na anwani ya handaki ni swali la sera ya kuingia. Ruhusu huduma inayotakiwa kwenye kiolesura cha handaki na uweke mipaka kwa vyanzo vinavyoweza kuitumia, kwa sababu pakiti inafika hapo kweli.

Angalia pia anwani ulizokusudia kuzistaafisha. Kuondoa anwani kwenye kiolesura ni kuaminika zaidi kuliko kurundika sheria za kizuiua moto juu ya anwani ya zamani.