VPN sherigi boshqa interfeyslarga ping yuboradi, chunki ular lokal
Lokal marshrutlash jadvali paketlarni xost egalik qiladigan har qanday manzilga yuboradi, u qaysi interfeysda bo‘lishidan qat’i nazar. Yo‘naltirish sozlamalari bu yo‘lga hech qachon kirmaydi.
WireGuard mijozi ulanadi va butunlay boshqa interfeysdagi manzilga ping yuboradi, va javob keladi. Yozuvlar so‘rov faqat tunnelda ekanini ko‘rsatadi. Hech narsa buzilmagan, va ehtiyotkorlik bilan o‘chirilgan yo‘naltirish sozlamasining bunga aloqasi yo‘q. Bu diagrammada o‘xshash ko‘rinadigan, yadroda esa butunlay boshqacha bo‘lgan ikki yo‘lni taqqoslash.
Bir yo‘l paketlarni boshqa birov uchun yo‘naltiradi; ikkinchisi ularni xostning o‘ziga yetkazadi.
Xostga manzillangan paket xostda qoladi
Masofaviy mijoz xost egalik qiladigan manzilga IP paket yuboradi. Marshrutlash bu paket haqida bitta savol beradi: bu manzil lokalmi? Xost egalik qiladigan har bir manzil lokal marshrutlash jadvalida ko‘rinadi, va bu jadval asosiy jadvaldan oldin ko‘rib chiqiladi, shuning uchun paket boshqa interfeysdan chiqish o‘rniga xostning o‘z stekiga boradi. Javob lokal ravishda yaratiladi, va so‘rov o‘sha yerdan kelgani uchun u tunneldan qaytadi.
Bu butun mexanizm. Hech qanday yo‘naltirish sodir bo‘lmaydi, interfeys holatining o‘zgarishi ishtirok etmaydi, va gapirilayotgan manzil boshqa joydan kirish mumkin bo‘lishi shart emas.
Nega ip_forward qo‘llanilmaydi
Yo‘naltirish kelgan interfeysdan boshqa interfeys orqali chiqishi kerak bo‘lgan paketlarni boshqaradi. Xostning o‘ziga ping hech qachon bu yo‘lni tutmaydi: paket lokal ravishda iste’mol qilinadi va javob lokal ravishda yaratiladi. Shuning uchun net.ipv4.ip_forward=0 ni sozlash bu yerda hech narsani o‘zgartirmaydi, va yo‘naltirish zanjiridagi qoida bu trafikni hech qachon ko‘rmaydi. To‘g‘ri nazorat kirish yo‘lida, kiruvchi interfeys yoki manba bilan cheklangan.
Shuning uchun yo‘naltirishni o‘chirish va xost izolyatsiya qilingan deb o‘ylash yolg‘on xavfsizlik hissini keltirib chiqaradi.
Qaror qilgan lokal jadvalni o‘qing
ip rule show odatda nol ustuvorlikdagi qoidani bildiradi, u barcha qidiruvlarni avval lokal jadvalga yuboradi, ip route show table local esa xostning o‘z manzillarini lokal qamrov bilan sanab o‘tadi. Bu jadval ma’muriy ravishda o‘chirilgan, lekin hali sozlangan interfeyslardagi manzillarni ham o‘z ichiga oladi. Statik ravishda tayinlangan IPv4 manzillari odatda aloqa uzilishidan omon qoladi, va shuning uchun o‘chirilgan ko‘prikka ping hali ham muvaffaqiyatli bo‘lib operatorni hayratda qoldirishi mumkin.
IPv6 aynan shu nuqtada farq qiladi. Uning manzillari aloqa uzilganda odatda qaytarib olinadi, agar keep_addr_on_down o‘rnatilmagan bo‘lsa. Bitta qoida ikkalasini qamrab oladi deb o‘ylash o‘rniga oilalarni taqqoslang.
Sherik aslida nimaga yetadi
Segmentdagi marshrutizatorning o‘z manzilidan kelgan javob o‘sha segment orqasidagi mashinalar haqida hech narsa demaydi. Sherik bu yo‘l orqali boshqa interfeys orqasidagi xostga yeta olmaydi; faqat marshrutizatorning o‘zi egalik qiladigan manzillarga yetadi. Marshrutizator manziliga ping yuborish o‘rniga alohida LAN xostida xizmatni sinash yo‘naltirishga umuman ruxsat berilganini aniqlaydi.
Sherikni tunnel manziliga bog‘langan xizmatlar bilan cheklash kirish siyosati masalasidir. Kerakli xizmatga tunnel interfeysida ruxsat bering va undan foydalanishi mumkin bo‘lgan manbalarni cheklang, chunki paket haqiqatan ham u yerga yetadi.
Foydalanishdan chiqarmoqchi bo‘lgan manzillarni ham tekshiring. Manzilni interfeysdan olib tashlash eski manzil ustiga fayrvol qoidalarini uyishdan ishonchliroq.