Mae SSH i IP gyhoeddus gweinydd WireGuard yn methu ar Windows

Mae twneli sy’n codi tra bo SSH i gyfeiriad cyhoeddus y gweinydd yn peidio â gweithio yn edrych fel gweinydd sy’n gwrthod y cysylltiad. Ar Windows y rheswm mwy tebygol yw lleol: mae AllowedIPs twnnel llawn o /0 yn troi rheolau wal dân cyfyngol ymlaen sy’n caniatáu trafnidiaeth y twnnel ei hun a fawr ddim arall. Nid yw pecynnau amgryptiedig sy’n cyrraedd y cyfeiriad hwnnw’n dweud dim am a gaiff cysylltiad TCP ar wahân i’r un cyfeiriad adael.

Gwahanwch gyfeiriad cyhoeddus y pen draw oddi wrth ei gyfeiriad twnnel mewnol cyn cyffwrdd â’r rhestr cymar. Mae bron pob ymgais i drwsio hyn drwy olygu AllowedIPs yn gwneud y polisi’n wannach yn hytrach na’r llwybr yn gywir.

Mae caniatâd llwybro a chaniatâd wal dân yn wahanol

Mae llwybr yn penderfynu i ble y byddai pecyn yn cael ei anfon, ac mae rheol wal dân yn penderfynu a gaiff ei anfon o gwbl. Felly mae ychwanegu llwybr ar gyfer IP cyhoeddus y pen draw yn creu llwybr y gall y hidlydd ei rwystro o hyd, a dyna’n union y dryswch y mae’r symptom hwn yn ei greu. Ar Windows mae’r hidlydd yn rhan o’r gweithrediad yn hytrach nag yn ychwanegyn, felly nid oes unrhyw gofnod llwybr yn ei newid. Mae’r ddau benderfyniad ar wahân mewn mannau eraill hefyd, er bod y rhagosodiadau’n wahanol.

Dyna pam y gall traceroute i’r pen draw lwyddo tra bo ymgais SSH yn methu. Y gwasanaeth sy’n berchen ar yr eithriad sy’n cario’r cyntaf, a’r llall ddim.

Beth mae /0 yn ei wneud ar Windows

Gydag un cymar y mae ei gyfeiriadau a ganiateir yn cwmpasu holl ofod IPv4, mae WireGuard for Windows yn cymhwyso agwedd wal dân gyfyngol sy’n rhwystro traffig a fyddai fel arall yn gadael y tu allan i’r twnnel. Caniateir trafnidiaeth y gwasanaeth twnnel ei hun, oherwydd na allai’r VPN weithredu fel arall. Nid yw cymhwysiad arall i’r un cyfeiriad cyhoeddus yn cael caniatâd o’r fath, gan fod yr eithriad yn perthyn i’r drafnidiaeth yn hytrach na’r cyfeiriad. Nodiadau rhwydweithio Windows yn disgrifio’r ymddygiad hwn a’r rheolydd cysylltiedig yn y golygydd.

Mae’r rheolau hynny’n gefnlen i’r ymadrodd kill switch. Fe’u gweithredir gan siâp y ffurfwedd yn hytrach na chan flwch ticio a enwir felly.

Mae eithriadau’n newid y model amddiffyn

Amnewid /0 â dau ragddodiad hanner rhagosodedig yw’r ffordd a nodir i gadw llwybro eang heb y semanteg gyfyngol, ac mae’n fodel amddiffyn gwahanol yn hytrach nag yn silliad byrrach. Tynnu cyfeiriad y pen draw o’r rhagddodiadau a ganiateir yw’r ffordd arall gyffredin, sy’n hwyhau’r rhestr ac yn newid pa reolau sy’n gweithredu hefyd. Nid yw’r un ohonynt yn olygiad lleol ag effaith leol. Mae pob un yn symud y ffin ar gyfer pob llif ar y peiriant, nid yn unig ar gyfer y cysylltiad roeddech yn ei drwsio.

Lle bo gwir angen SSH cyhoeddus uniongyrchol, rhaid i berchennog y proffil ddylunio’r llwybr allanol a’i ganiatâd wal dân ill dau, a phenderfynu beth sy’n digwydd i draffig diberthynol pan fydd y twnnel yn cwympo. Mae adolygu IPv4 ac IPv6 ar wahân yn rhan o hynny hefyd, gan fod y rheolau’n cael eu mynegi fesul teulu. Mae osgoi eang a ychwanegir i achub un sesiwn reoli fel arfer yn dinoethi mwy na’r sesiwn.

Profwch y llwybr rheoli a ddewisoch

Penderfynwch yn gyntaf a ddylai rheolaeth deithio y tu mewn i’r twnnel neu y tu allan iddo, yna profwch y dewis hwnnw yn hytrach na’r ddau ar unwaith. Mae’r gorchmynnau isod yn gwirio cyfeiriadau’r cleient, cyflwr y cymar a chysylltiad i bob targed. Rhedwch nhw o’r cleient Windows tra bo’r twnnel i fyny.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Mae SSH llwyddiannus i’r cyfeiriad mewnol yn profi bod y twnnel yn cario traffig rheoli a bod wal dân y gweinydd ei hun yn ei dderbyn o’r amrediad cymar. Mae methiant ar y ddau darged yn broblem ar ochr y gweinydd neu â’r allwedd, nid yn broblem llwybro Windows. Os yw’r cyfeiriad mewnol yn gweithio a’r un allanol ddim, agwedd wal dân leol yn gwneud yn union yr hyn y’i cynlluniwyd i’w wneud. Darllenwch y tri chanlyniad yn y drefn honno cyn golygu proffil.

Cofnodwch y llwybr rheoli, y cyfeiriad a ddefnyddiwyd a’r ymddygiad pan fydd y twnnel i lawr. Y nodyn hwnnw sy’n atal y person nesaf rhag lledu’r osgoi i arbed pum munud.