Bir VPN eşi diğer arayüzlere ping atar çünkü bunlar yereldir

Bir WireGuard istemcisi bağlanır ve tamamen farklı bir arayüzdeki adrese ping atar ve yanıt gelir. Kayıtlar isteğin yalnızca tünelde olduğunu gösterir. Hiçbir şey bozuk değildir ve dikkatle devre dışı bırakılan yönlendirme ayarının bununla ilgisi yoktur. Bu, bir diyagramda benzer görünen ve çekirdekte tamamen farklı olan iki yolun karşılaştırmasıdır.

Bir yol paketleri başkası adına iletir; diğeri onları ana makinenin kendisine teslim eder.

Ana makineye adreslenen paket ana makinede kalır

Uzak istemci, ana makinenin sahip olduğu bir adrese IP paketi gönderir. Yönlendirme bu paket hakkında tek bir soru sorar: bu hedef yerel mi? Ana makinenin sahip olduğu her adres yerel yönlendirme tablosunda görünür ve bu tabloya ana tablodan önce bakılır, bu yüzden paket başka bir arayüzden çıkmak yerine ana makinenin kendi yığınına gider. Yanıt yerel olarak üretilir ve sorgu oradan geldiği için tünelden geri döner.

Bütün mekanizma budur. Hiçbir iletme gerçekleşmez, hiçbir arayüz durumu değişikliği devreye girmez ve söz konusu adresin başka bir yerden erişilebilir olması gerekmez.

ip_forward neden uygulanmaz

İletme, geldikleri arayüzden farklı bir arayüzden çıkması gereken paketleri yönetir. Ana makinenin kendisine yapılan ping bu yolu asla izlemez: paket yerel olarak tüketilir ve yanıt yerel olarak üretilir. Bu nedenle net.ipv4.ip_forward=0 ayarını yapmak burada hiçbir şeyi değiştirmez ve iletme zincirindeki bir kural bu trafiği hiç görmez. Doğru denetim giriş yolundadır, gelen arayüz veya kaynak ile sınırlandırılır.

Bu yüzden iletmeyi kapatmak ve ana makinenin yalıtılmış olduğunu varsaymak yanlış bir güvenlik duygusu yaratır.

Karar veren yerel tabloyu okuyun

ip rule show genellikle sıfır öncelikli bir kuralın tüm aramaları önce yerel tabloya gönderdiğini bildirir ve ip route show table local ana makinenin kendi adreslerini yerel kapsamla listeler. O tablo, yönetimsel olarak kapatılmış ama hâlâ yapılandırılmış arayüzlerdeki adresleri de içerir. Statik olarak atanan IPv4 adresleri genellikle bağlantı kopmasından sağ çıkar ve bu yüzden kapatılmış bir köprüye yapılan ping hâlâ başarılı olup operatörü şaşırtabilir.

IPv6 tam da bu noktada farklıdır. Adresleri, bağlantı düştüğünde genellikle geri çekilir, keep_addr_on_down ayarlanmadıkça. Tek bir kuralın ikisini de kapsadığını varsaymak yerine aileleri karşılaştırın.

Bir eş gerçekte neye ulaşır

Bir segmentte yönlendiricinin kendi adresinden gelen yanıt, o segmentin arkasındaki makineler hakkında hiçbir şey söylemez. Eş bu yoldan diğer arayüzün arkasındaki ana makineye ulaşamaz; yalnızca yönlendiricinin kendi sahip olduğu adreslere ulaşır. Yönlendiricinin adresine ping atmak yerine ayrı bir LAN ana makinesinde bir hizmeti test etmek, iletmeye baştan izin verilip verilmediğini ortaya koyar.

Bir eşi tünel adresine bağlı hizmetlerle sınırlamak bir giriş politikası sorunudur. İstenen hizmete tünel arayüzünde izin verin ve onu kullanabilecek kaynakları sınırlayın, çünkü paket gerçekten oraya varır.

Kaldırmayı düşündüğünüz adresleri de kontrol edin. Bir adresi arayüzden kaldırmak, eski bir adresin üzerine güvenlik duvarı kuralları yığmaktan daha güvenilirdir.