Windows-та WireGuard серверінің жария IP-іне SSH қосылуы сәтсіз аяқталады

Сервердің жария мекенжайына SSH жұмысын тоқтатқанда көтерілетін туннельдер сервер қосылымды қабылдамайтын сияқты көрінеді. Windows-та неғұрлым ықтимал себеп жергілікті: толық туннельдің /0 AllowedIPs мәні шектеуші брандмауэр ережелерін қосады, олар туннельдің өз тасымалына және өте азына рұқсат береді. Осы мекенжайға жететін шифрланған пакеттер сол мекенжайға бөлек TCP қосылымының шыға алатыны туралы ештеңе айтпайды.

Тең дәрежелі тораптар тізіміне тиіспес бұрын endpoint-тің жария мекенжайын оның ішкі туннель мекенжайынан бөліңіз. Мұны AllowedIPs өңдеу арқылы түзетудің барлық дерлік әрекеті маршрутты дұрыс етпей, саясатты әлсіретеді.

Маршруттау рұқсаты мен брандмауэр рұқсаты бөлек

Маршрут пакеттің қайда жіберілетінін, ал брандмауэр ережесі оны жіберуге болатынын шешеді. Сондықтан endpoint-тің жария IP-іне маршрут қосу сүзгі әлі де бөгей алатын жол жасайды, және бұл симптом тудыратын шатасушылық дәл осы. Windows-та сүзгі қосымша емес, іске асырудың бөлігі, сондықтан ешбір маршрут жазбасы оны өзгертпейді. Бұл екі шешім басқа жерлерде де бөлек, бірақ әдепкі мәндер өзгеше.

Сондықтан endpoint-ке traceroute сәтті болуы мүмкін, ал SSH әрекеті сәтсіз аяқталады. Біріншісін ерекшелікке ие қызмет тасымалдайды, екіншісін — жоқ.

Windows-та /0 не істейді

Бір тең дәрежелі тораптың рұқсат етілген мекенжайлары бүкіл IPv4 кеңістігін қамтыса, WireGuard for Windows шектеуші брандмауэр ұстанымын қолданады, ол туннельден тыс шығар трафикті бөгейді. Туннель қызметінің өз тасымалына рұқсат етіледі, өйткені VPN әйтпесе жұмыс істей алмас еді. Сол жария мекенжайға баратын басқа қолданба мұндай рұқсат алмайды, өйткені ерекшелік тасымалға, мекенжайға емес. Windows желілік жазбалары осы мінез-құлықты және редактордағы тиісті басқаруды сипаттайды.

Бұл ережелер kill switch терминінің артындағы механизм. Олар сол атаулы құсбелгімен емес, конфигурация пішінімен қосылады.

Ерекшеліктер қорғаныс моделін өзгертеді

/0-ді екі жартылай әдепкі префикспен ауыстыру — шектеуші семантикасыз кең маршруттауды сақтаудың құжатталған жолы, және бұл қысқа жазу емес, басқа қорғаныс моделі. Рұқсат етілген префикстерден endpoint мекенжайын алу — екінші кең таралған тәсіл, ол тізімді ұзартады және қай ережелердің қосылатынын да өзгертеді. Екеуі де жергілікті әсері бар жергілікті өңдеу емес. Әрқайсысы машинадағы әр ағынның шекарасын жылжытады, тек сіз жөндеп жатқан қосылымдыкін ғана емес.

Тікелей жария SSH шынымен қажет болса, профиль иесі сыртқы маршрутты да, оның брандмауэр рұқсатын да жобалап, туннель құлаған кезде байланыссыз трафикке не болатынын шешуі керек. IPv4 мен IPv6-ны бөлек қарау да соған жатады, өйткені ережелер отбасы бойынша өрнектеледі. Бір басқару сессиясын құтқару үшін қосылған кең айналып өту әдетте сессиядан көбірек ашады.

Өзіңіз таңдаған басқару жолын тексеріңіз

Алдымен басқару туннельдің ішінде ме, әлде сыртында өтуі керек пе, соны шешіңіз, содан кейін екеуін бірден емес, сол таңдауды тексеріңіз. Төмендегі командалар клиенттің мекенжайларын, тең дәрежелі торап күйін және әр нысанға қосылымды тексереді. Оларды туннель көтерілген кезде Windows клиентінен іске қосыңыз.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Ішкі мекенжайға сәтті SSH туннельдің басқару трафигін тасымалдайтынын және сервердің өз брандмауэры оны тең дәрежелі тораптар ауқымынан қабылдайтынын дәлелдейді. Екі нысанда да сәтсіздік — Windows маршруттауының емес, сервер жағының немесе кілттің мәселесі. Ішкі мекенжай жұмыс істеп, сыртқысы істемесе, жергілікті брандмауэр ұстанымы дәл өзі жасалған істі атқарып жатыр. Профильді өңдеу алдында үш нәтижені осы ретпен оқыңыз.

Басқару жолын, пайдаланылған мекенжайды және туннель өшірулі кездегі мінез-құлықты жазып алыңыз. Бес минут үнемдеу үшін айналып өтуді кеңейтуге дәл осы жазба кедергі болады.