L’SSH a la IP pública del servidor WireGuard falla a Windows

Els túnels que pugen mentre l’SSH a l’adreça pública del servidor deixa de funcionar semblen un servidor que rebutja la connexió. A Windows la causa més probable és local: un AllowedIPs de túnel complet de /0 activa regles de tallafocs restrictives que permeten el transport propi del túnel i molt poca cosa més. Els paquets xifrats que arriben a aquesta adreça no diuen res sobre si una connexió TCP separada a la mateixa adreça pot sortir.

Separa l’adreça pública del punt final de la seva adreça interna de túnel abans de tocar la llista de parells. Gairebé tots els intents de corregir-ho editant AllowedIPs fan la política més feble en lloc de fer la ruta correcta.

El permís d’encaminament i el permís del tallafocs són diferents

Una ruta decideix on s’enviaria un paquet, i una regla de tallafocs decideix si es pot enviar. Per tant, afegir una ruta per a la IP pública del punt final produeix un camí que el filtre encara pot bloquejar, i aquesta és exactament la confusió que crea aquest símptoma. A Windows el filtre forma part de la implementació i no és un afegit, així que cap entrada d’encaminament el canvia. Les dues decisions també són separades en altres llocs, tot i que els valors per defecte difereixen.

Per això un traceroute al punt final pot tenir èxit mentre un intent d’SSH falla. El primer el porta el servei que posseeix l’excepció, i el segon no.

Què fa /0 a Windows

Amb un sol parell les adreces permeses del qual cobreixen tot l’espai IPv4, WireGuard for Windows aplica una postura de tallafocs restrictiva que bloqueja el trànsit que d’altra manera sortiria fora del túnel. El transport propi del servei del túnel sí que es permet, perquè la VPN no podria funcionar altrament. Una altra aplicació a la mateixa adreça pública no rep aquest permís, ja que l’excepció pertany al transport i no a l’adreça. Notes de xarxa de Windows descriuen aquest comportament i el control relacionat de l’editor.

Aquestes regles són el mecanisme darrere de l’expressió kill switch. S’activen per la forma de la configuració i no per una casella amb aquest nom.

Les excepcions canvien el model de protecció

Substituir /0 per dos prefixos mig per defecte és la manera documentada de mantenir un encaminament ampli sense la semàntica restrictiva, i és un model de protecció diferent, no una escriptura més curta. Restar l’adreça del punt final dels prefixos permesos és l’altra solució habitual, que allarga la llista i també canvia quines regles s’activen. Cap de les dues és una edició local amb efecte local. Cadascuna mou el límit per a cada flux de la màquina, no només per a la connexió que reparàveu.

On l’SSH públic directe és realment necessari, el propietari del perfil ha de dissenyar tant la ruta exterior com el seu permís de tallafocs, i decidir què passa amb el trànsit no relacionat quan el túnel cau. Revisar IPv4 i IPv6 per separat també en forma part, perquè les regles s’expressen per família. Una excepció àmplia afegida per salvar una sola sessió de gestió normalment exposa més que la sessió.

Prova el camí de gestió que has triat

Decideix primer si la gestió ha de viatjar dins del túnel o fora, i després prova aquesta opció en lloc de les dues alhora. Les ordres següents comproven les adreces del client, l’estat del parell i una connexió a cada objectiu. Executa-les des del client Windows mentre el túnel està aixecat.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Un SSH correcte a l’adreça interna demostra que el túnel transporta el trànsit de gestió i que el tallafocs propi del servidor l’accepta des del rang de parells. Un error en tots dos objectius és un problema del servidor o de la clau, no d’encaminament de Windows. Si l’adreça interna funciona i l’exterior no, la postura local del tallafocs fa exactament allò per a què va ser dissenyada. Llegeix els tres resultats en aquest ordre abans d’editar un perfil.

Anota el camí de gestió, l’adreça utilitzada i el comportament quan el túnel està caigut. Aquesta nota és el que impedeix que la propera persona ampliï l’excepció per estalviar cinc minuts.