SSH á opinbera IP-tölu WireGuard-þjónsins mistekst í Windows

Göngur sem koma upp á meðan SSH á opinbert vistfang þjónsins hættir að virka líta út eins og þjónn sem hafnar tengingunni. Í Windows er líklegri orsökin staðbundin: AllowedIPs fullrar göngu með /0 kveikir á takmarkandi eldveggjarreglum sem leyfa flutning göngunnar sjálfrar og mjög lítið annað. Dulkóðuð pakkningar sem ná þessu vistfangi segja ekkert um hvort sérstök TCP-tenging á sama vistfang megi fara út.

Aðskildu opinbert vistfang endapunktsins frá innra gönguvistfangi hans áður en þú snertir jafningjalistann. Nánast hver tilraun til að laga þetta með því að breyta AllowedIPs gerir stefnuna veikari í stað þess að gera leiðina rétta.

Leiðarheimild og eldveggjarheimild eru ólík

Leið ákveður hvert pakkningunni yrði sent, og eldveggjarregla ákveður hvort senda megi hana yfirhöfuð. Því skapar leið fyrir opinbert IP endapunktsins slóð sem síinn getur enn lokað á, og það er einmitt sú ringulreið sem þessi einkenni valda. Í Windows er síinn hluti útfærslunnar en ekki viðbót, svo engin leiðarfærsla breytir honum. Ákvarðanirnar tvær eru einnig aðskildar annars staðar, þótt sjálfgefin gildi séu ólík.

Þess vegna getur traceroute að endapunktinum tekist á meðan SSH-tilraun mistekst. Fyrri er borin af þjónustunni sem á undantekninguna, sú seinni ekki.

Hvað /0 gerir í Windows

Þegar einn jafningi hefur leyfð vistföng sem ná yfir allt IPv4-rýmið beitir WireGuard for Windows takmarkandi eldveggjarstöðu sem lokar á umferð sem myndi annars fara út fyrir gönguna. Flutningur gönguþjónustunnar sjálfrar er leyfður, því VPN-ið gæti ekki virkað annars. Önnur forrit á sama opinbert vistfang fá ekki slíka heimild, þar sem undantekningin tilheyrir flutningnum en ekki vistfanginu. Netnótur Windows lýsa þessari hegðun og tengdu stýringunni í ritlinum.

Þessar reglur eru fyrirbærið að baki orðinu kill switch. Þær virkjast af lögun stillinganna en ekki af gátreit með því nafni.

Undantekningar breyta verndarlíkaninu

Að skipta /0 út fyrir tvö hálfsjálfgefin forskeyti er skjalfesta leiðin til að halda víðtækri leiðsögn án takmarkandi merkingar, og það er annað verndarlíkan en ekki styttri stafsetning. Að draga vistfang endapunktsins frá leyfðum forskeytum er hin algenga lausn, sem lengir listann og breytir einnig hvaða reglur virkjast. Hvort tveggja er staðbundin breyting með staðbundnum áhrifum. Hvor um sig færir mörkin fyrir hvert flæði á vélinni, ekki aðeins fyrir tenginguna sem verið var að laga.

Þar sem beint opinbert SSH er raunverulega nauðsynlegt verður eigandi sniðsins að hanna bæði ytri leiðina og eldveggjarheimild hennar, og ákveða hvað verður um ótengda umferð þegar gangan dettur. Að fara yfir IPv4 og IPv6 hvor í sínu lagi er hluti af því, þar sem reglurnar eru settar fram eftir fjölskyldum. Víðtæk undansnilling sem bætt er við til að bjarga einni stjórnunarlotu kemur venjulega í ljós meira en lotan.

Prófaðu stjórnunarleiðina sem þú valdir

Ákveddu fyrst hvort stjórnun eigi að fara innan göngunnar eða utan hennar, og prófaðu svo það val en ekki bæði í einu. Skipanirnar hér að neðan athuga vistföng biðlarans, stöðu jafningsins og tengingu við hvert mark. Keyrðu þær frá Windows-biðlaranum á meðan gangan er uppi.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Árangursríkt SSH á innra vistfangið sannar að gangan flytur stjórnunarumferð og að eldveggur þjónsins sjálfs samþykkir hana úr sviði jafningja. Mistök á báðum mörkum eru vandamál á þjónshlið eða með lykil, ekki leiðsagnarvandamál í Windows. Ef innra vistfangið virkar og hið ytra ekki, staðbundin eldveggjarstaða gerir einmitt það sem hún var hönnuð til að gera. Lestu niðurstöðurnar þrjár í þeirri röð áður en þú breytir sniði.

Skráðu stjórnunarleiðina, vistfangið sem notað var og hegðunina þegar gangan er niðri. Þessi nóta er það sem kemur í veg fyrir að næsti maður víkki undansnillinguna til að spara fimm mínútur.