SSH na die WireGuard-bediener se publieke IP misluk op Windows

Tonnels wat opkom terwyl SSH na die bediener se publieke adres ophou werk, lyk soos 'n bediener wat die verbinding verwerp. Op Windows is die waarskynliker oorsaak plaaslik: 'n vol-tonnel AllowedIPs van /0 skakel beperkende vuurmuurreëls in wat die tonnel se eie vervoer toelaat en baie min anders. Geënkripteerde pakkette wat daardie adres bereik, sê niks oor of 'n aparte TCP-verbinding na dieselfde adres mag uitgaan nie.

Skei die eindpunt se publieke adres van sy binneste tonneladres voordat jy aan die eweknielys raak. Byna elke poging om dit reg te maak deur AllowedIPs te wysig, maak die beleid swakker eerder as die roete korrek.

Roetetoestemming en vuurmuurtoestemming is verskillend

'n Roete bepaal waar 'n pakket gestuur sal word, en 'n vuurmuurreël bepaal of dit hoegenaamd gestuur mag word. Om 'n roete vir die eindpunt se publieke IP by te voeg, lewer dus 'n pad wat die filter steeds kan blokkeer, en dit is presies die verwarring wat hierdie simptoom skep. Op Windows is die filter deel van die implementering eerder as 'n byvoegsel, so geen roete-inskrywing verander dit nie. Die twee besluite is elders ook apart, al verskil die verstekwaardes.

Daarom kan 'n traceroute na die eindpunt slaag terwyl 'n SSH-poging misluk. Die eerste word gedra deur die diens wat die uitsondering besit, en die tweede nie.

Wat /0 op Windows doen

Met 'n enkele eweknie wie se toegelate adresse die hele IPv4-ruimte dek, pas WireGuard for Windows 'n beperkende vuurmuurhouding toe wat verkeer blokkeer wat andersins buite die tonnel sou uitgaan. Die tonneldiens se eie vervoer word toegelaat, want die VPN sou andersins nie kon werk nie. 'n Ander toepassing na dieselfde publieke adres kry geen sodanige toestemming nie, want die uitsondering hoort by die vervoer eerder as by die adres. Die Windows-netwerknotas beskryf hierdie gedrag en die verwante beheer in die redigeerder.

Daardie reëls is die meganisme agter die term kill switch. Hulle word geaktiveer deur die vorm van die konfigurasie eerder as deur 'n merkblokkie wat so genoem word.

Uitsonderings verander die beskermingsmodel

Om /0 te vervang met twee half-verstek-voorvoegsels is die gedokumenteerde manier om wye roetering sonder die beperkende semantiek te behou, en dit is 'n ander beskermingsmodel eerder as 'n korter spelling. Om die eindpuntadres van die toegelate voorvoegsels af te trek, is die ander algemene oplossing, wat die lys verleng en ook verander watter reëls aktiveer. Nie een is 'n plaaslike wysiging met 'n plaaslike uitwerking nie. Elkeen skuif die grens vir elke stroom op die masjien, nie net vir die verbinding wat jy herstel het nie.

Waar direkte publieke SSH werklik nodig is, moet die profieleienaar beide die buitenste roete en sy vuurmuurtoestemming ontwerp, en besluit wat met onverwante verkeer gebeur wanneer die tonnel val. Om IPv4 en IPv6 afsonderlik te hersien, hoort daarby, want die reëls word per familie uitgedruk. 'n Wye verbypad wat bygevoeg word om een bestuurssessie te red, stel gewoonlik meer bloot as die sessie.

Toets die bestuurspad wat jy gekies het

Besluit eers of bestuur binne die tonnel of daarbuite moet reis, en toets dan daardie keuse eerder as albei gelyktydig. Die opdragte hieronder kontroleer die kliënt se adresse, die ewekniestatus en 'n verbinding na elke teiken. Voer hulle uit vanaf die Windows-kliënt terwyl die tonnel op is.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

'n Suksesvolle SSH na die binneste adres bewys dat die tonnel bestuursverkeer dra en dat die bediener se eie vuurmuur dit vanaf die eweknie-reeks aanvaar. 'n Mislukking op albei teikens is 'n bedienerkant- of sleutelprobleem eerder as 'n Windows-roeteprobleem. As die binneste adres werk en die buitenste nie, die plaaslike vuurmuurhouding doen presies wat dit ontwerp is om te doen. Lees die drie resultate in daardie volgorde voordat jy 'n profiel wysig.

Teken die bestuurspad aan, die adres wat gebruik is en die gedrag wanneer die tonnel af is. Daardie nota is wat die volgende persoon daarvan weerhou om die verbypad te verbreed om vyf minute te spaar.