Windows-ում WireGuard սերվերի հանրային IP-ին SSH-ը ձախողվում է

Թունելները, որոնք բարձրանում են, մինչ սերվերի հանրային հասցեին SSH-ը դադարում է աշխատել, նման են սերվերի, որը մերժում է կապը։ Windows-ում ավելի հավանական պատճառը տեղական է, քանի որ լրիվ թունելի /0 AllowedIPs-ը միացնում է սահմանափակող firewall-ի կանոններ, որոնք թույլ են տալիս թունելի սեփական տրանսպորտը և շատ քիչ այլ բան։ Այդ հասցեին հասնող գաղտնագրված փաթեթները ոչինչ չեն ասում այն մասին, թե արդյոք նույն հասցեին առանձին TCP կապը կարող է դուրս գալ։

Առանձնացրեք վերջնակետի հանրային հասցեն նրա ներքին թունելային հասցեից նախքան peer-ների ցանկին դիպչելը։ Այս խնդիրը AllowedIPs-ը խմբագրելով շտկելու գրեթե բոլոր փորձերը քաղաքականությունը թուլացնում են, այլ ոչ թե երթուղին ճիշտ դարձնում։

Երթևեկության թույլտվությունը և firewall-ի թույլտվությունը տարբեր են

Երթուղին որոշում է, թե փաթեթը ուր կուղարկվի, իսկ firewall-ի կանոնը՝ թե արդյոք այն ընդհանրապես կարելի է ուղարկել։ Ուստի վերջնակետի հանրային IP-ի համար երթուղի ավելացնելը ստեղծում է ուղի, որը զտիչը դեռ կարող է արգելափակել, և հենց այդ շփոթությունն է ստեղծում այս ախտանիշը։ Windows-ում զտիչը իրականացման մաս է, ոչ թե հավելում, ուստի ոչ մի երթուղու գրառում այն չի փոխում։ Այդ երկու որոշումները այլ տեղերում նույնպես առանձին են, թեև լռելյայն արժեքները տարբերվում են։

Այդ պատճառով վերջնակետին traceroute-ը կարող է հաջողվել, մինչդեռ SSH փորձը ձախողվում է։ Առաջինը կրում է այն ծառայությունը, որին պատկանում է բացառությունը, երկրորդը՝ ոչ։

Ինչ է անում /0-ը Windows-ում

Երբ մեկ peer-ի թույլատրված հասցեները ծածկում են ամբողջ IPv4 տարածությունը, WireGuard for Windows-ը կիրառում է firewall-ի սահմանափակող դիրքորոշում, որը արգելափակում է թունելից դուրս եկող երթևեկությունը։ Թունելի ծառայության սեփական տրանսպորտը թույլատրվում է, քանի որ հակառակ դեպքում VPN-ը չէր կարող աշխատել։ Նույն հանրային հասցեին դիմող մեկ այլ հավելված նման թույլտվություն չի ստանում, քանի որ բացառությունը պատկանում է տրանսպորտին, ոչ թե հասցեին։ Windows-ի ցանցային նշումներ նկարագրում են այս վարքագիծը և խմբագրիչի համապատասխան կառավարումը։

Այդ կանոնները kill switch արտահայտության հետևում գտնվող մեխանիզմն են։ Դրանք ակտիվանում են կազմաձևի ձևով, այլ ոչ թե այդ անվանումով վանդակով։

Բացառությունները փոխում են պաշտպանության մոդելը

/0-ը երկու կիսալռելյայն նախածանցերով փոխարինելը սահմանափակող իմաստաբանությունից առանց լայն երթուղավորումը պահելու փաստաթղթավորված եղանակն է, և դա այլ պաշտպանության մոդել է, ոչ թե կարճ գրառում։ Վերջնակետի հասցեն թույլատրված նախածանցերից հանելը մյուս տարածված լուծումն է, որը երկարացնում է ցանկը և նաև փոխում է, թե որ կանոններն են ակտիվանում։ Ոչ մեկը տեղական ազդեցությամբ տեղական խմբագրում չէ։ Յուրաքանչյուրը տեղափոխում է սահմանը մեքենայի յուրաքանչյուր հոսքի համար, ոչ միայն այն կապի համար, որը վերանորոգում էիք։

Այնտեղ, որտեղ ուղիղ հանրային SSH իսկապես անհրաժեշտ է, պրոֆիլի սեփականատերը պետք է նախագծի և՛ արտաքին երթուղին, և՛ դրա firewall-ի թույլտվությունը, և որոշի, թե ինչ է լինում անկապ երթևեկության հետ, երբ թունելն ընկնում է։ IPv4-ի և IPv6-ի առանձին վերանայումը նույնպես դրա մասն է, քանի որ կանոնները արտահայտվում են ընտանիքներով։ Մեկ կառավարման սեսիա փրկելու համար ավելացված լայն շրջանցումը սովորաբար ավելի շատ բան է բացահայտում, քան այդ սեսիան։

Փորձարկեք ձեր ընտրած կառավարման ուղին

Նախ որոշեք՝ կառավարումը պետք է անցնի թունելի ներսում, թե դրսում, ապա փորձարկեք հենց այդ ընտրությունը, ոչ թե երկուսը միասին։ Ստորև նշված հրամանները ստուգում են հաճախորդի հասցեները, peer-ի վիճակը և կապը յուրաքանչյուր նպատակակետի հետ։ Գործարկեք դրանք Windows հաճախորդից, մինչ թունելը բարձրացված է։

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Ներքին հասցեին հաջող SSH-ն ապացուցում է, որ թունելը կրում է կառավարման երթևեկությունը, և որ սերվերի սեփական firewall-ը ընդունում է այն peer-ների միջակայքից։ Երկու նպատակակետերում էլ ձախողումը սերվերի կողմի կամ բանալու խնդիր է, ոչ թե Windows-ի երթուղավորման։ Եթե ներքին հասցեն աշխատում է, իսկ արտաքինը՝ ոչ, տեղական firewall-ի դիրքորոշումը անում է հենց այն, ինչի համար նախագծվել է։ Կարդացեք երեք արդյունքները այդ հերթականությամբ նախքան պրոֆիլը խմբագրելը։

Գրանցեք կառավարման ուղին, օգտագործված հասցեն և վարքագիծը, երբ թունելն անջատված է։ Հենց այդ նշումն է խանգարում հաջորդ մարդուն ընդլայնել շրջանցումը հինգ րոպե խնայելու համար։