A WireGuard-kiszolgáló nyilvános IP-jére indított SSH meghiúsul Windowson

Az útvonal és a tűzfalszabály két külön döntés. Windowson a /0-s peer szigorú szabályokat kapcsol be, és a kivétel maga az alagút forgalma.

Azok az alagutak, amelyek akkor jönnek fel, amikor a kiszolgáló nyilvános címére indított SSH működése leáll, úgy tűnnek, mintha a kiszolgáló elutasítaná a kapcsolatot. Windowson a valószínűbb ok helyi: a teljes alagút /0-s AllowedIPs beállítása szigorú tűzfalszabályokat kapcsol be, amelyek az alagút saját forgalmát és nagyon kevés mást engednek. A címre érkező titkosított csomagok semmit sem mondanak arról, hogy egy külön TCP-kapcsolat ugyanarra a címre kiléphet-e.

Válassza el a végpont nyilvános címét a belső alagútcímétől, mielőtt a peerlistához nyúl. Szinte minden kísérlet, amely ezt az AllowedIPs szerkesztésével próbálja javítani, gyengíti a házirendet ahelyett, hogy helyessé tenné az útvonalat.

Az útválasztási engedély és a tűzfalengedély különbözik

Az útvonal eldönti, hová kerülne a csomag, a tűzfalszabály pedig azt, hogy egyáltalán elküldhető-e. Ezért a végpont nyilvános IP-jéhez adott útvonal olyan utat hoz létre, amelyet a szűrő továbbra is blokkolhat, és pontosan ezt a zavart kelti ez a tünet. Windowson a szűrő a megvalósítás része, nem kiegészítés, ezért egyetlen útvonalbejegyzés sem változtat rajta. A két döntés máshol is különválik, bár az alapértékek eltérnek.

Ezért lehet sikeres a végpont felé indított traceroute, miközben az SSH-kísérlet meghiúsul. Az előbbit a kivétel tulajdonosa szolgáltatás viszi, az utóbbit nem.

Mit tesz a /0 Windowson

Ha egyetlen peer engedélyezett címrei lefedik a teljes IPv4-teret, a WireGuard for Windows szigorú tűzfalállást alkalmaz, amely blokkolja az alagúton kívülre egyébként kimenő forgalmat. Az alagút saját szolgáltatásának forgalma engedélyezett, mert a VPN másként nem működhetne. Egy másik alkalmazás ugyanarra a nyilvános címre nem kap ilyen engedélyt, mivel a kivétel a forgalomhoz, nem a címhez tartozik. Windows hálózati megjegyzések írják le ezt a viselkedést és a kapcsolódó vezérlőt a szerkesztőben.

Ezek a szabályok állnak a kill switch kifejezés mögött. A konfiguráció alakja aktiválja őket, nem egy ilyen nevű jelölőnégyzet.

A kivételek megváltoztatják a védelmi modellt

A /0 két fél-alapértelmezett előtaggal való helyettesítése a dokumentált módja a széles útválasztás megtartásának a szigorú szemantika nélkül, és ez más védelmi modell, nem rövidebb írásmód. A végpont címének kivonása az engedélyezett előtagokból a másik gyakori megoldás, amely meghosszabbítja a listát, és azt is megváltoztatja, mely szabályok aktiválódnak. Egyik sem helyi hatású helyi szerkesztés. Mindegyik minden folyamat határát elmozdítja a gépen, nem csak a javított kapcsolatét.

Ahol a közvetlen nyilvános SSH valóban szükséges, a profil tulajdonosának meg kell terveznie a külső útvonalat és annak tűzfalengedélyét is, és el kell döntenie, mi történik a nem kapcsolódó forgalommal, amikor az alagút leesik. Az IPv4 és az IPv6 külön vizsgálata is ehhez tartozik, mivel a szabályok családonként fogalmazódnak meg. Egyetlen kezelési munkamenet megmentésére hozzáadott széles megkerülés általában többet tár fel a munkamenetnél.

Tesztelje a választott kezelési útvonalat

Először döntse el, hogy a kezelés az alagúton belül vagy azon kívül haladjon-e, majd ezt a választást tesztelje, ne mindkettőt egyszerre. Az alábbi parancsok a kliens címeit, a peer állapotát és az egyes célok felé irányuló kapcsolatot ellenőrzik. Futtassa őket a Windows kliensről, amíg az alagút áll.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

A belső címre sikeres SSH bizonyítja, hogy az alagút viszi a kezelési forgalmat, és hogy a kiszolgáló saját tűzfala elfogadja azt a peer-tartományból. Mindkét cél hibája kiszolgálóoldali vagy kulcsprobléma, nem Windows-útválasztási probléma. Ha a belső cím működik, a külső pedig nem, a helyi tűzfalállás pontosan azt teszi, amire tervezték. Olvassa el a három eredményt ebben a sorrendben, mielőtt szerkeszti a profilt.

Jegyezze fel a kezelési útvonalat, a használt címet és a viselkedést, amikor az alagút le van állítva. Ez a feljegyzés akadályozza meg a következő embert abban, hogy öt perc megtakarításáért kiszélesítse a megkerülést.

Kapcsolódó cikkek