(РЕШЕНО) Почему клиент VPN имеет доступ ко всем интерфейсам вместо того, чтобы быть ограниченным подсетью и отключенной опцией пересылки?

В моей инфраструктуре Debian Linux я управляю несколькими сетевыми интерфейсами с конкретными ролями.

• Правила брандмауэра: В настоящее время не применяются правила iptables/nftables. Все цепочки имеют политику по умолчанию, установленную на ACCEPT.
• Конфигурация ядра: Пересылка IPv4 отключена (net.ipv4.ip_forward = 0).

Цель

Цель состоит в том, чтобы строго ограничить сетевую коммуникацию в инфраструктуре:

Когда компьютер подключается к VPN через интерфейс wg0, он должен иметь возможность общаться только с конкретной виртуальной машиной, находящейся на мосту vmbr0.

Задача – обеспечить полную изоляцию между интерфейсами и ограничить трафик для этого конкретного случая использования.

Воспроизведение настройки

Конфигурация WireGuard (фейковые данные)

Чтобы воспроизвести окружение, вот базовая конфигурация WireGuard для двух Linux машин:

Машина 1: VPN сервер (фейковые данные)

Интерфейс: wg0

1. Генерация ключей (пример ключей, сгенерированных с помощью wg genkey и wg pubkey):

   • Приватный ключ: 9+9N5R5Dje2dmldDtrjQoBb3AFOWhOAyZ9mfWQKn7QY=
   • Публичный ключ: Ci4z9W+n8gfrFRRGZs3DNMHmKk1TFNG9QXGV7zg5OkE=

2. Конфигурация WireGuard: (фейковые данные)

   Файл /etc/wireguard/wg0.conf:

   [Interface]
   PrivateKey = 9+9N5R5Dje2dmldDtrjQoBb3AFOWhOAyZ9mfWQKn7QY=
   Address = 10.0.0.1/24
   ListenPort = 51820
   
   [Peer]
   PublicKey = YdC5+zMdKj5cRW2WlAv7GDETx+gjZukOmeC+lkJZ8is=
   AllowedIPs = 10.0.0.2/32
   

3. Команды для применения:

   sudo wg-quick up wg0
   sudo systemctl enable wg-quick@wg0
   

Машина 2: VPN клиент (фейковые данные)

Интерфейс: wg0

1. Генерация ключей:

   • Приватный ключ: mWjXaRlvJjThhf9ZZpaAWwdY0Puvy0k9fGy7prlzvV8=
   • Публичный ключ: YdC5+zMdKj5cRW2WlAv7GDETx+gjZukOmeC+lkJZ8is=

2. Конфигурация WireGuard:

   Файл /etc/wireguard/wg0.conf:

   [Interface]
   PrivateKey = mWjXaRlvJjThhf9ZZpaAWwdY0Puvy0k9fGy7prlzvV8=
   Address = 10.0.0.2/24
   
   [Peer]
   PublicKey = Ci4z9W+n8gfrFRRGZs3DNMHmKk1TFNG9QXGV7zg5OkE=
   Endpoint = <SERVER_IP>:51820
   AllowedIPs = 10.0.0.1/24, 172.16.0.0/16, 192.0.2.0/24
   PersistentKeepalive = 25
   

3. Команды для применения:

   sudo wg-quick up wg0
   sudo systemctl enable wg-quick@wg0
   

Эти конфигурации устанавливают простое соединение между VPN сервером (10.0.0.1) и клиентом (10.0.0.2). Эта настройка служит основой для проверки описанного требования.

Мост

sudo brctl addbr vmbr0
sudo ip addr add 172.16.0.1/16 dev vmbr0
sudo ip link set dev vmbr0 up

Проблема

Когда клиент подключается к VPN через интерфейс wg0, наблюдаются следующие проблемы:

Доступ ко всем интерфейсам:
Несмотря на разные подсети и отключенную пересылку IPv4, клиент VPN может успешно пинговать все сетевые интерфейсы, включая eth0 и vmbr0.

Просмотр пакетов:
При запуске tcpdump на каждом интерфейсе (eth0, vmbr0 и wg0) наблюдается, что пакеты ping пересекают только интерфейс wg0. Однако ответы все равно поступают, когда клиент пингует другие интерфейсы.

Выставление сервиса:
Если на любом интерфейсе запущена служба, например:

python3 -m http.server --bind 192.0.2.1

(привязана к IP-адресу eth0 192.0.2.1/24), клиент VPN имеет доступ к этой службе.

Сценарий отключения интерфейса:
Если интерфейс (например, eth0) отключен с помощью:

ip link set dev eth0 down

Клиент VPN все равно может успешно пинговать IP-адрес, связанный с отключенным интерфейсом, и получать доступ к работающему сервису (например, HTTP серверу). Это поведение сохраняется независимо от рабочего состояния интерфейса.

Проблема с виртуальной машиной:
При добавлении виртуальной машины на мосту vmbr0, клиент VPN не может ее пинговать. (Нормально, но почему я могу пинговать мост)

Запрос о помощи

Учитывая вышеизложенную конфигурацию и наблюдаемые проблемы:

• Почему клиент VPN имеет доступ ко всем интерфейсам (eth0, vmbr0), а не ограничен подсетью и отключенной функцией пересылки?
• Как клиент VPN все еще может получать доступ к службам или пинговать IP-адреса на отключенных интерфейсах?