SSH op déi ëffentlech IP vum WireGuard-Server schléit op Windows fehl

Tunnelen, déi eropkommen, wärend SSH op déi ëffentlech Adress vum Server ophält ze funktionéieren, gesi wéi e Server aus, deen d’Verbindung refuséiert. Op Windows ass déi méiglech Ursaach lokal: en AllowedIPs vun engem Volltunnel vun /0 schalt restriktiv Firewall-Reegelen un, déi den Transport vum Tunnel selwer an ganz wéineg anescht erlaben. Verschësselt Pakete bis op déi Adress soen näischt doriwwer, ob eng separat TCP-Verbindung op déiselwecht Adress erausdierf.

Trennt d’ëffentlech Adress vum Endpunkt vun hirer interner Tunneladress, ier Dir d’Peer-Lëscht beréiert. Bal all Versuch, dat duerch d’Änneren vun AllowedIPs ze fixéieren, mécht d’Politik méi schwaach amplaz d’Route richteg.

Routing-Erlaabnis an Firewall-Erlaabnis sinn ënnerschiddlech

Eng Route entscheet, wou e Paket higeschéckt géif, an eng Firewall-Reeg entscheet, ob et iwwerhaapt dierf geschéckt ginn. Dofir entsteet duerch eng Route fir déi ëffentlech IP vum Endpunkt e Wee, deen de Filter nach ëmmer ka blockéieren, an dat ass genee d’Duercherneen, dat dëst Symptom mécht. Op Windows ass de Filter Deel vun der Ëmsetzung an net e Zousaz, dofir ännert keng Route-Entrée en. Déi zwou Entscheedungen sinn och soss getrennt, obwuel d’Standardwäerter ënnerschiddlech sinn.

Dofir kann en traceroute op den Endpunkt geléngen, wärend en SSH-Versuch fehlschléit. Déi éischt gëtt vum Service gedroen, deen d’Ausnam huet, déi zweet net.

Wat /0 op Windows mécht

Mat engem eenzegen Peer, deem seng erlaabten Adressen de ganzen IPv4-Raum decken, setzt WireGuard for Windows eng restriktiv Firewall-Haltung an, déi Traffic blockéiert, deen soss baussent dem Tunnel erausgéif. Den Transport vum Tunnel-Service selwer ass erlaabt, well de VPN soss net kéint funktionéieren. Eng aner Applikatioun op déiselwecht ëffentlech Adress kritt keng sou Erlaabnis, well d’Ausnam zum Transport gehéiert an net zu der Adress. Windows-Netzwierk-Notizen beschreiwen dëst Verhalen an déi entspriechend Steierung am Editor.

Déi Reegelen sinn de Mechanismus hannert dem Ausdrock kill switch. Si ginn duerch d’Form vun der Konfiguratioun aktivéiert an net duerch eng Këscht mat deem Numm.

Ausnamen änneren de Schutzmodell

/0 duerch zwee Hallef-Standard-Präfixer ze ersetzen ass de dokumentéierte Wee, breet Routing ouni déi restriktiv Semantik ze behalen, an et ass en anere Schutzmodell, net eng méi kuerz Schreiwech. D’Endpunktadress vun den erlaabten Präfixer ofzezéien ass déi aner üblech Ëmgéigend, déi d’Lëscht verlängert an och ännert, wéi eng Reegelen aktivéiert ginn. Keng vun deenen zwee ass eng lokal Ännerung mat lokalem Effekt. All eenzel verréckelt d’Grenz fir all Floss op der Maschinn, net nëmme fir d’Verbindung, déi Dir reparéiert hutt.

Wou direkt ëffentlech SSH wierklech néideg ass, muss de Profilbesëtzer souwuel d’baussenzeg Route wéi och hir Firewall-Erlaabnis designen an entscheeden, wat mat onverbonnenem Traffic geschitt, wann den Tunnel fält. IPv4 an IPv6 getrennt ze préiwen gehéiert dozou, well d’Reegelen pro Famill ausgedréckt ginn. En breeden Ëmwee, deen dobäi kënnt, fir eng eenzeg Verwaltungssitzung ze retten, leet meeschtens méi op wéi d’Sitzung.

Test de Verwaltungswee, deen Dir gewielt hutt

Entscheet als éischt, ob d’Verwaltung bannent dem Tunnel oder baussen dru soll lafen, an test dann déi Wiel amplaz béides gläichzäiteg. Déi folgend Kommandoen iwwerpréiwen d’Adresse vum Client, den Zoustand vum Peer an eng Verbindung op all Zil. Féiert se vum Windows-Client aus, wärend den Tunnel erop ass.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

En erfollegräichen SSH op déi intern Adress beweist, datt den Tunnel Verwaltungstraffic droen an datt de Firewall vum Server selwer en aus dem Peer-Beräich akzeptéiert. E Fehler op béiden Ziler ass e Problem op der Serversäit oder mam Schlëssel, net e Windows-Routing-Problem. Wann déi intern Adress funktionéiert an déi baussenzeg net, déi lokal Firewall-Haltung mécht genee dat, wofir se erstallt gouf. Liest déi dräi Resultater an där Reiefolleg, ier Dir e Profil ännert.

Notéiert de Verwaltungswee, déi benotzt Adress an d’Verhalen, wann den Tunnel ënnen ass. Déi Notiz ass et, déi déi nächst Persoun dovunner ofhält, den Ëmwee ze verbreeden, fir fënnef Minutten ze spueren.