ufw route allow in on wg0 out on wg0 to 10.0.0.6/32

Я использую WireGuard VPM для обратного подключения к домашнему серверу через внешний узел входа. На этом узле входа я пытаюсь добавить правило брандмауэра с помощью ufw. Его цель - разрешить маршрутизацию только к одному и только одному определенному IP (10.0.0.6).

Итак, базовая установка такова:

10.0.0.1    entry node (publicly available, responsible for routing packets inside the VPN)
10.0.0.6    home server (should be reachable for any machine in the VPN)
10.0.0.13   any other peer (should not be reachable for other peers, therefor the ufw rule)

Маршрутизация пакетов через узел входа работает нормально, но правило брандмауэра не запрещает другие целевые IP.

Моя установка выглядит следующим образом:

user@host:~$ sudo ufw route allow in on wg0 out on wg0 to 10.0.0.6/32
Rule added

->

user@host:~$ sudo ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
...
[firewall rules]
...

10.0.0.6 on wg0        ALLOW FWD   Anywhere on wg0  

(Примечание: я удалил другие правила. Они не связаны с маршрутизацией, только правила ALLOW IN / LIMIT IN)

Вышеприведенный вывод четко показывает Default: ... deny (routed), в то время как следующий вывод утверждает политику "ACCEPT" во всех цепочках.

user@host:~$ sudo iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination 

Удивительно, но следующая команда показывает другое:

user@host:~$ sudo iptables -L
Chain INPUT (policy DROP)
...        

Chain FORWARD (policy DROP)
target     prot opt source               destination         
ufw-before-logging-forward  all  --  anywhere             anywhere            
ufw-before-forward  all  --  anywhere             anywhere            
ufw-after-forward  all  --  anywhere             anywhere            
ufw-after-logging-forward  all  --  anywhere             anywhere            
ufw-reject-forward  all  --  anywhere             anywhere            
ufw-track-forward  all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)
...

Этот вопрос без ответа на askubuntu содержит комментарий от saiarcot895, у которого, похоже, есть связанная проблема (именно там я нашел идею попробовать две предыдущие команды).

Что бы я ни пробовал до сих пор, я все еще могу пинговать, например, 10.0.0.13 с домашнего сервера.

user@home-server:~$ ping 10.0.0.2
PING 10.0.0.2 (10.0.0.2) 56(84) bytes of data.
64 bytes from 10.0.0.2: icmp_seq=1 ttl=63 time=58.0 ms
64 bytes from 10.0.0.2: icmp_seq=2 ttl=63 time=51.7 ms

Я ожидал, однако, что этот пакет ping не маршрутизируется и поэтому возвращает таймаут или что-то подобное.

Мой вопрос в том, ожидается ли такое поведение, и если да, то как мне создать соответствующее правило в ufw?

Как ни странно, я не смог найти ответ в далекой интернет-сети. Но это должно быть просто, поэтому я снова погрузился в manpage ufw. Если у вас есть идеи, дайте мне знать!