Windows'до WireGuard серверинин коомдук IP дарегине SSH ишке ашпайт

Сервердин коомдук дарегине SSH иштебей калганда көтөрүлгөн туннелдер сервер байланышты четке каккандай көрүнөт. Windows'до ыктымалдуураак себеп жергиликтүү: толук туннелдин /0 AllowedIPs мааниси чектөөчү брандмауэр эрежелерин күйгүзөт, алар туннелдин өз транспортуна жана өтө аз нерсеге уруксат берет. Ошол дарекке жеткен шифрленген пакеттер ошол эле дарекке өзүнчө TCP байланышы чыга алары тууралуу эч нерсе айтпайт.

Теңдештер тизмесине тийүүдөн мурун endpoint'тин коомдук дарегин анын ички туннель дарегинен бөлүңүз. Муну AllowedIPs'ти оңдоо менен түзөтүүнүн дээрлик бардык аракети маршрутту туура кылбастан саясатты начарлатат.

Маршруттоо уруксаты менен брандмауэр уруксаты башка

Маршрут пакеттин кайда жөнөтүлөрүн, брандмауэр эрежеси болсо аны жөнөтүүгө болорун чечет. Ошондуктан endpoint'тин коомдук IP'сине маршрут кошуу фильтр дагы эле тосо ала турган жолду жаратат, жана бул симптом жараткан баш аламандык так ушул. Windows'до фильтр кошумча эмес, ишке ашыруунун бөлүгү, ошондуктан бир да маршрут жазуусу аны өзгөртпөйт. Бул эки чечим башка жерлерде да өзүнчө, бирок демейки маанилер башкача.

Ошондуктан endpoint'ке traceroute ийгиликтүү болушу мүмкүн, ал эми SSH аракети ишке ашпайт. Биринчисин өзгөчөлүккө ээ кызмат ташыйт, экинчисин — жок.

Windows'до /0 эмне кылат

Бир теңдештин уруксат берилген даректери бүт IPv4 мейкиндигин камтыса, WireGuard for Windows чектөөчү брандмауэр позициясын колдонот, ал туннелден сыртка чыга турган трафикти тосот. Туннел кызматынын өз транспортуна уруксат берилет, анткени VPN башкача иштей алмак эмес. Ошол эле коомдук дарекке барган башка колдонмо мындай уруксат албайт, анткени өзгөчөлүк транспортко таандык, дарекке эмес. Windows тармак жазуулары бул жүрүм-турумду жана редактордогу тиешелүү башкарууну сүрөттөйт.

Ошол эрежелер kill switch деген сөз айкашынын артындагы механизм. Алар ошол аттагы кутуча менен эмес, конфигурациянын формасы менен иштетилет.

Өзгөчөлүктөр коргоо модели өзгөртөт

/0'ди эки жарым демейки префикс менен алмаштыруу — чектөөчү семантикасыз кең маршруттоону сактоонун документтелген жолу, жана бул кыска жазуу эмес, башка коргоо модели. Уруксат берилген префикстерден endpoint дарегин кемитүү — экинчи кеңири таралган ыкма, ал тизмени узартат жана кайсы эрежелер күйөрүн да өзгөртөт. Экөө тең жергиликтүү натыйжасы бар жергиликтүү оңдоо эмес. Ар бири машинадагы ар бир агым үчүн чекти жылдырат, сиз оңдоп жаткан байланыш үчүн гана эмес.

Түз коомдук SSH чын эле керек болгон жерде, профилдин ээси сырткы маршрутту да, анын брандмауэр уруксатын да долбоорлоп, туннел кулаганда байланышсыз трафикке эмне болорун чечиши керек. IPv4 жана IPv6'ны өзүнчө карап чыгуу да ошого кирет, анткени эрежелер үй-бүлө боюнча туюнтулат. Бир башкаруу сессиясын куткаруу үчүн кошулган кең айланып өтүү адатта сессиядан көбүрөөк нерсени ачат.

Тандаган башкаруу жолуңузду сынап көрүңүз

Алгач башкаруу туннелдин ичиндеби же сыртындабы өтүшү керек экенин чечиңиз, андан соң экөөнү бир убакта эмес, ошол тандоону сынаңыз. Төмөнкү буйруктар клиенттин даректерин, теңдеш тараптын абалын жана ар бир максатка байланышты текшерет. Аларды туннел көтөрүлгөн кезде Windows клиентинен иштетиңиз.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Ички дарекке ийгиликтүү SSH туннел башкаруу трафигин ташый турганын жана сервердин өз брандмауэру аны теңдештер диапазонунан кабыл аларын далилдейт. Эки максатта тең ишке ашпоо — Windows маршруттоосунун эмес, сервер тараптын же ачкычтын маселеси. Ички дарек иштеп, сырткысы иштебесе, жергиликтүү брандмауэр позициясы так ошол үчүн жасалган ишти аткарып жатат. Профилди оңдоодон мурун үч натыйжаны ушул тартипте окуңуз.

Башкаруу жолун, колдонулган даректи жана туннел өчүк кездеги жүрүм-турумду жазып алыңыз. Беш мүнөт үнөмдөө үчүн айланып өтүүнү кеңейтүүгө ушул эле жазуу тоскоол болот.