Доступ между интерфейсами

Контекст

В моей инфраструктуре Debian Linux я управляю несколькими сетевыми интерфейсами с определенными ролями.

• Правила брандмауэра: На данный момент не применяются правила iptables/nftables. Все цепочки имеют политику по умолчанию, установленную на ACCEPT.
• Конфигурация ядра: Пересылка IPv4 отключена (net.ipv4.ip_forward = 0).

Цель

Цель состоит в том, чтобы строго ограничить сетевое взаимодействие в инфраструктуре:

Когда компьютер подключается к VPN через интерфейс wg0, он должен иметь возможность связываться только с определенной виртуальной машиной, расположенной на мосту vmbr0.

Задача состоит в том, чтобы обеспечить полную изоляцию между интерфейсами и ограничить трафик для этого конкретного случая использования.

Воспроизведение настройки

Конфигурация WireGuard (выдуманная информация)

Чтобы воспроизвести окружение, вот базовая конфигурация WireGuard для двух машин на Linux:

Машина 1: VPN Сервер (выдуманная информация)

Интерфейс: wg0

1. Генерация ключа (пример ключей, сгенерированных с помощью wg genkey и wg pubkey):

   • Приватный ключ: 9+9N5R5Dje2dmldDtrjQoBb3AFOWhOAyZ9mfWQKn7QY=
   • Публичный ключ: Ci4z9W+n8gfrFRRGZs3DNMHmKk1TFNG9QXGV7zg5OkE=

2. Конфигурация WireGuard: (выдуманная информация)

   Файл /etc/wireguard/wg0.conf:

   [Interface]
   PrivateKey = 9+9N5R5Dje2dmldDtrjQoBb3AFOWhOAyZ9mfWQKn7QY=
   Address = 10.0.0.1/24
   ListenPort = 51820
   
   [Peer]
   PublicKey = YdC5+zMdKj5cRW2WlAv7GDETx+gjZukOmeC+lkJZ8is=
   AllowedIPs = 10.0.0.2/32
   

3. Команды для применения:

   sudo wg-quick up wg0
   sudo systemctl enable wg-quick@wg0
   

Машина 2: VPN Клиент (выдуманная информация)

Интерфейс: wg0

1. Генерация ключа:

   • Приватный ключ: mWjXaRlvJjThhf9ZZpaAWwdY0Puvy0k9fGy7prlzvV8=
   • Публичный ключ: YdC5+zMdKj5cRW2WlAv7GDETx+gjZukOmeC+lkJZ8is=

2. Конфигурация WireGuard:

   Файл /etc/wireguard/wg0.conf:

   [Interface]
   PrivateKey = mWjXaRlvJjThhf9ZZpaAWwdY0Puvy0k9fGy7prlzvV8=
   Address = 10.0.0.2/24
   
   [Peer]
   PublicKey = Ci4z9W+n8gfrFRRGZs3DNMHmKk1TFNG9QXGV7zg5OkE=
   Endpoint = <SERVER_IP>:51820
   AllowedIPs = 10.0.0.1/24, 172.16.0.0/16, 192.0.2.0/24
   PersistentKeepalive = 25
   

3. Команды для применения:

   sudo wg-quick up wg0
   sudo systemctl enable wg-quick@wg0
   

Эти конфигурации создают простое соединение между VPN сервером (10.0.0.1) и клиентом (10.0.0.2). Эта настройка является основой для тестирования описанного требования.

Мост

sudo brctl addbr vmbr0
sudo ip addr add 172.16.0.1/16 dev vmbr0
sudo ip link set dev vmbr0 up

Проблема

Когда клиент подключается к VPN через интерфейс wg0, наблюдаются следующие проблемы:

Доступ ко всем интерфейсам:
Несмотря на разные подсети и отключенную пересылку IPv4, VPN клиент может успешно выполнять ping ко всем сетевым интерфейсам, включая eth0 и vmbr0.

Видимость пакетов:
При запуске tcpdump на каждом из интерфейсов (eth0, vmbr0 и wg0) наблюдается, что ping-пакеты проходят только через интерфейс wg0. Тем не менее, ответы все еще получаются, когда клиент отправляет ping на другие интерфейсы.

Выявление сервисов:
Если на любом интерфейсе запущен сервис, такой как:

python3 -m http.server --bind 192.0.2.1

(привязан к IP-адресу eth0 192.0.2.1/24), VPN клиент получает доступ к этому сервису.

Сценарий отключения интерфейса:
Если интерфейс (например, eth0) отключен с помощью:

ip link set dev eth0 down

VPN клиент все равно может успешно выполнить ping к IP-адресу, связанному с отключенным интерфейсом, и получить доступ к работающему сервису (например, к HTTP серверу). Это поведение сохраняется независимо от состояния работы интерфейса.

Проблема с виртуальной машиной:
При добавлении виртуальной машины на мост vmbr0 VPN клиент не может ее пинговать. (Нормально, но почему я могу пинговать мост)

Запрос на помощь

Учитывая вышеуказанную конфигурацию и наблюдаемые проблемы:

• Почему у VPN клиента есть доступ ко всем интерфейсам (eth0, vmbr0), а не ограничен подсетью и отключенной пересылкой?
• Как VPN клиент все еще может получать доступ к сервисам или пинговать IP-адреса на отключенных интерфейсах?

Будем признательны за любые идеи или решения!