SSH nei it iepenbiere IP fan de WireGuard-tsjinner mislearret op Windows

Tunnels dy’t omheech komme wylst SSH nei it iepenbiere adres fan de tsjinner ophâldt te wurkjen, lykje in tsjinner dy’t de ferbining wegeret. Op Windows is de wierskynliker oarsaak lokaal: in AllowedIPs fan in folsleine tunnel fan /0 skeakelt beheinende fjoerwâlregels oan dy’t it eigen transport fan ’e tunnel tastean en hiel lyts bytsje oars. Fersifere pakketten dy’t dat adres berikke, sizze neat oer oft in aparte TCP-ferbining nei itselde adres fuortgean mei.

Skied it iepenbiere adres fan it einpunt fan syn ynterne tunneladres foardatst de peerlist oanrekest. Hast elke poging om dit te reparearjen troch AllowedIPs te bewurkjen makket it belied swakker ynstee fan ’e rûte goed.

Rûtepermisje en fjoerwâlpermisje binne ferskillend

In rûte beslút wêr’t in pakket hinne stjoerd wurde soe, en in fjoerwâlregel beslút oft it hielendal stjoerd wurde mei. In rûte foar it iepenbiere IP fan it einpunt taheakje smyt dus in paad op dat it filter noch altyd blokkearje kin, en dat is krekt de betizing dy’t dit symptoom makket. Op Windows is it filter part fan ’e ymplemintaasje en net in taheaksel, dus gjin rûte-ynfier feroaret it. De twa besluten binne ek earne oars apart, hoewol’t de standertwearden ferskille.

Dêrom kin in traceroute nei it einpunt slagje wylst in SSH-poging mislearret. De earste wurdt droegen troch de tsjinst dy’t de útsûndering hat, de twadde net.

Wat /0 op Windows docht

Mei ien peer waans tastiene adressen de hiele IPv4-romte beslaan, past WireGuard for Windows in beheinende fjoerwâlhâlding ta dy’t ferkear blokkearret dat oars bûten de tunnel fuortgean soe. It eigen transport fan ’e tunnontsjinst is tastien, om’t de VPN oars net wurkje koe. In oare applikaasje nei itselde iepenbiere adres krijt sa’n tastimming net, om’t de útsûndering by it transport heart en net by it adres. Windows-netwurknotysjes beskriuwe dit gedrach en de besibbe kontrôle yn ’e bewurker.

Dy regels binne it meganisme efter de útdrukking kill switch. Se wurde aktivearre troch de foarm fan ’e konfiguraasje en net troch in oanfinkfakje mei dy namme.

Utsûnderingen feroarje it beskermingsmodel

/0 ferfange troch twa heal-standert foarheakselen is de dokumintearre wize om breed rûtegean te hâlden sûnder de beheinende semantyk, en it is in oar beskermingsmodel, net in koartere stavering. It einpuntadres fan ’e tastiene foarheakselen ôflûke is de oare gongbere omwei, dy’t de list ferlinget en ek feroaret hokker regels aktivearre wurde. Gjin fan beide is in lokale bewurking mei lokaal effekt. Elk ferpleatst de grins foar elke stream op ’e masine, net allinne foar de ferbining dy’tst reparearrest.

Wêr’t direkte iepenbiere SSH echt nedich is, moat de profileigner sawol de bûtenrûte as har fjoerwâlpermisje ûntwerpe, en beslute wat der bart mei net-besibbe ferkear as de tunnel falt. IPv4 en IPv6 apart besjen heart dêr ek by, om’t de regels per famylje útdrukt wurde. In brede omwei dy’t taheakke wurdt om ien beheersesje te rêden, bleatet meastentiids mear as de sesje.

Test it beheerpaad datst keazen hast

Beslút earst oft behear binnen de tunnel of derbûten reizgje moat, en test dan dy kar ynstee fan beide tagelyk. De opdrachten hjirûnder kontrolearje de adressen fan ’e klant, de steat fan ’e peer en in ferbining nei elk doel. Rinnese fan ’e Windows-klant wylst de tunnel omheech is.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

In slagge SSH nei it ynterne adres bewiist dat de tunnel beheerverkear draacht en dat de eigen fjoerwâl fan ’e tsjinner it út it peerberik akseptearret. In mislearring op beide doelen is in tsjinnerkant- of kaaiprobleem, net in Windows-rûteprobleem. As it ynterne adres wurket en it bûtenste net, de lokale fjoerwâlhâlding docht krekt wat it ûntwurpen is om te dwaan. Lês de trije resultaten yn dy folchoarder foardatst in profyl bewurkest.

Skriuw it beheerpaad, it brûkte adres en it gedrach as de tunnel del is. Dy notysje is wat de folgjende persoan tsjinhâldt om de omwei te ferbreedzjen om fiif minuten te sparjen.