SSH a la IP pública del servidor WireGuard falla en Windows

Los túneles que suben mientras el SSH a la dirección pública del servidor deja de funcionar parecen un servidor que rechaza la conexión. En Windows la causa más probable es local: un AllowedIPs de túnel completo con /0 activa reglas de cortafuegos restrictivas que permiten el transporte propio del túnel y muy poco más. Los paquetes cifrados que llegan a esa dirección no dicen nada sobre si una conexión TCP aparte a la misma dirección puede salir.

Separa la dirección pública del extremo de su dirección interna de túnel antes de tocar la lista de pares. Casi todos los intentos de arreglar esto editando AllowedIPs hacen la política más débil en lugar de la ruta correcta.

El permiso de enrutamiento y el permiso del cortafuegos son distintos

Una ruta decide adónde se enviaría un paquete, y una regla de cortafuegos decide si se puede enviar. Por eso añadir una ruta para la IP pública del extremo produce un camino que el filtro aún puede bloquear, y esa es justo la confusión que crea este síntoma. En Windows el filtro forma parte de la implementación y no es un complemento, así que ninguna entrada de ruta lo cambia. Las dos decisiones también están separadas en otros sitios, aunque los valores por defecto difieren.

Por eso un traceroute al extremo puede funcionar mientras un intento de SSH falla. El primero lo lleva el servicio que posee la excepción, y el segundo no.

Qué hace /0 en Windows

Con un solo par cuyas direcciones permitidas cubren todo el espacio IPv4, WireGuard for Windows aplica una postura de cortafuegos restrictiva que bloquea el tráfico que de otro modo saldría fuera del túnel. El transporte propio del servicio del túnel sí se permite, porque la VPN no podría funcionar de otro modo. Otra aplicación a la misma dirección pública no recibe ese permiso, ya que la excepción pertenece al transporte y no a la dirección. Notas de red de Windows describen este comportamiento y el control correspondiente del editor.

Esas reglas son el mecanismo detrás de la expresión kill switch. Se activan por la forma de la configuración y no por una casilla con ese nombre.

Las excepciones cambian el modelo de protección

Sustituir /0 por dos prefijos medio predeterminados es la forma documentada de mantener un enrutamiento amplio sin la semántica restrictiva, y es un modelo de protección distinto, no una escritura más corta. Restar la dirección del extremo de los prefijos permitidos es el otro apaño habitual, que alarga la lista y también cambia qué reglas se activan. Ninguno es una edición local con efecto local. Cada uno mueve el límite para todos los flujos de la máquina, no solo para la conexión que reparabas.

Donde el SSH público directo es realmente necesario, el propietario del perfil debe diseñar tanto la ruta exterior como su permiso de cortafuegos, y decidir qué ocurre con el tráfico no relacionado cuando el túnel cae. Revisar IPv4 e IPv6 por separado forma parte de ello, ya que las reglas se expresan por familia. Un bypass amplio añadido para rescatar una sola sesión de gestión suele exponer más que la sesión.

Prueba el camino de gestión que elegiste

Decide primero si la gestión debe viajar dentro del túnel o fuera de él, y luego prueba esa opción en lugar de ambas a la vez. Los comandos siguientes comprueban las direcciones del cliente, el estado del par y una conexión a cada objetivo. Ejecútalos desde el cliente Windows mientras el túnel está levantado.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Un SSH correcto a la dirección interna demuestra que el túnel transporta el tráfico de gestión y que el cortafuegos propio del servidor lo acepta desde el rango de pares. Un fallo en ambos objetivos es un problema del servidor o de la clave, no de enrutamiento de Windows. Si la dirección interna funciona y la exterior no, la postura local del cortafuegos hace exactamente aquello para lo que fue diseñada. Lee los tres resultados en ese orden antes de editar un perfil.

Anota el camino de gestión, la dirección utilizada y el comportamiento cuando el túnel está caído. Esa nota es lo que impide que la siguiente persona amplíe el bypass para ahorrar cinco minutos.