SSH vers l’IP publique du serveur WireGuard échoue sous Windows

Les tunnels qui montent alors que le SSH vers l’adresse publique du serveur cesse de fonctionner ressemblent à un serveur qui refuse la connexion. Sous Windows, la cause la plus probable est locale : un AllowedIPs de tunnel complet à /0 active des règles de pare-feu restrictives qui autorisent le transport propre du tunnel et très peu d’autre chose. Les paquets chiffrés qui atteignent cette adresse ne disent rien sur la possibilité pour une connexion TCP distincte vers la même adresse de sortir.

Séparez l’adresse publique du point de terminaison de son adresse interne de tunnel avant de toucher à la liste des pairs. Presque toutes les tentatives de correction par modification d’AllowedIPs affaiblissent la politique au lieu de rendre la route correcte.

L’autorisation de routage et l’autorisation du pare-feu sont différentes

Une route décide où un paquet serait envoyé, et une règle de pare-feu décide s’il peut l’être. Ajouter une route pour l’IP publique du point de terminaison produit donc un chemin que le filtre peut encore bloquer, et c’est exactement la confusion que crée ce symptôme. Sous Windows, le filtre fait partie de l’implémentation et non d’un module complémentaire, donc aucune entrée de route ne le modifie. Les deux décisions sont également distinctes ailleurs, même si les valeurs par défaut diffèrent.

C’est pourquoi un traceroute vers le point de terminaison peut réussir alors qu’une tentative SSH échoue. Le premier est porté par le service qui possède l’exception, la seconde non.

Ce que fait /0 sous Windows

Avec un seul pair dont les adresses autorisées couvrent tout l’espace IPv4, WireGuard for Windows applique une posture de pare-feu restrictive qui bloque le trafic qui sortirait autrement hors du tunnel. Le transport propre du service de tunnel est autorisé, car le VPN ne pourrait pas fonctionner autrement. Une autre application vers la même adresse publique ne reçoit pas cette autorisation, l’exception appartenant au transport et non à l’adresse. Notes réseau de Windows décrivent ce comportement et le contrôle associé dans l’éditeur.

Ces règles sont le mécanisme derrière l’expression kill switch. Elles sont activées par la forme de la configuration et non par une case à cocher portant ce nom.

Les exceptions changent le modèle de protection

Remplacer /0 par deux préfixes demi-par-défaut est la manière documentée de conserver un routage large sans la sémantique restrictive, et c’est un modèle de protection différent, non une écriture plus courte. Soustraire l’adresse du point de terminaison des préfixes autorisés est l’autre contournement courant, qui allonge la liste et change aussi les règles activées. Aucun n’est une modification locale à effet local. Chacun déplace la frontière pour chaque flux de la machine, pas seulement pour la connexion que vous répariez.

Là où le SSH public direct est réellement nécessaire, le propriétaire du profil doit concevoir à la fois la route extérieure et son autorisation de pare-feu, et décider de ce qui arrive au trafic sans rapport lorsque le tunnel tombe. Examiner IPv4 et IPv6 séparément en fait partie, puisque les règles s’expriment par famille. Un contournement large ajouté pour sauver une seule session d’administration expose généralement plus que la session.

Testez le chemin d’administration choisi

Décidez d’abord si l’administration doit passer à l’intérieur ou à l’extérieur du tunnel, puis testez ce choix plutôt que les deux à la fois. Les commandes ci-dessous vérifient les adresses du client, l’état du pair et une connexion vers chaque cible. Exécutez-les depuis le client Windows pendant que le tunnel est monté.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Un SSH réussi vers l’adresse interne prouve que le tunnel transporte le trafic d’administration et que le pare-feu du serveur l’accepte depuis la plage des pairs. Un échec sur les deux cibles est un problème côté serveur ou de clé, non de routage Windows. Si l’adresse interne fonctionne et que l’externe non, la posture locale du pare-feu fait exactement ce pour quoi elle a été conçue. Lisez les trois résultats dans cet ordre avant de modifier un profil.

Notez le chemin d’administration, l’adresse utilisée et le comportement lorsque le tunnel est coupé. Cette note est ce qui empêche la personne suivante d’élargir le contournement pour gagner cinq minutes.