Windows дээр WireGuard серверийн нийтийн IP рүү SSH холболт бүтэлгүйтдэг

Серверийн нийтийн хаяг руу SSH ажиллахаа болих үед босдог туннелүүд сервер холболтыг татгалзаж байгаа мэт харагддаг. Windows дээр илүү магадлалтай шалтгаан нь локал: бүрэн туннелийн /0 AllowedIPs нь туннелийн өөрийн тээвэр болон маш цөөн зүйлд зөвшөөрөл олгодог хязгаарлалтын галт ханын дүрмийг асаадаг. Тэр хаяг руу хүрэх шифрлэгдсэн пакетууд ижил хаяг руу тусдаа TCP холболт гарч болох эсэх талаар юу ч хэлэхгүй.

Peer-ийн жагсаалтад хүрэхээс өмнө endpoint-ийн нийтийн хаягийг түүний дотоод туннелийн хаягаас тусгаарла. Үүнийг AllowedIPs засварлаж засах бараг бүх оролдлого маршрутыг зөв болгохын оронд бодлогыг сулруулдаг.

Маршрутжуулалтын зөвшөөрөл ба галт ханын зөвшөөрөл нь өөр

Маршрут нь пакет хаашаа явахыг, галт ханын дүрэм нь түүнийг огт илгээж болох эсэхийг шийддэг. Тиймээс endpoint-ийн нийтийн IP-д маршрут нэмэх нь шүүлтүүр одоо ч хааж чадах зам үүсгэдэг бөгөөд энэ шинж тэмдгийн учруулж буй будлиан яг тэр юм. Windows дээр шүүлтүүр нь нэмэлт биш, хэрэгжүүлэлтийн хэсэг тул ямар ч маршрутын бичлэг түүнийг өөрчлөхгүй. Эдгээр хоёр шийдвэр бусад газарт ч тусдаа боловч өгөгдмөл утгууд өөр байдаг.

Тиймээс endpoint рүү traceroute амжилттай болохын зэрэгцээ SSH оролдлого бүтэлгүйтдэг. Эхнийхийг үл хамаарах зүйл эзэмшдэг үйлчилгээ зөөдөг, хоёр дахьыг үгүй.

Windows дээр /0 юу хийдэг вэ

Нэг peer-ийн зөвшөөрөгдсөн хаягууд бүх IPv4 огторгуйг хамарч байвал WireGuard for Windows нь туннелиас гадагш гарах байсан трафикийг хаадаг хязгаарлалтын галт ханын байр суурийг хэрэглэдэг. Туннелийн үйлчилгээний өөрийн тээврийг зөвшөөрдөг, учир нь VPN өөрөөр ажиллах боломжгүй. Ижил нийтийн хаяг руу ханддаг өөр програм ийм зөвшөөрөл авдаггүй, учир нь үл хамаарах зүйл тээвэрт хамаарах бөгөөд хаягт биш. Windows сүлжээний тэмдэглэл энэ зан төлөв болон засварлагч дахь холбогдох удирдлагыг тайлбарладаг.

Тэр дүрмүүд нь kill switch гэдэг хэллэгийн ард байгаа механизм. Тэдгээр нь тэр нэртэй чагтлахаас биш, тохиргооны хэлбэрээс идэвхждэг.

Үл хамаарах зүйлс хамгаалалтын загварыг өөрчилдөг

/0-ийг хоёр хагас өгөгдмөл префиксээр солих нь хязгаарлалтын утгагүйгээр өргөн маршрутжуулалтыг хадгалах баримтжуулсан арга бөгөөд энэ нь богино бичиглэл биш, өөр хамгаалалтын загвар юм. Зөвшөөрөгдсөн префиксээс endpoint-ийн хаягийг хасах нь өөр нэг нийтлэг шийдэл бөгөөд жагсаалтыг уртасгаж, аль дүрэм идэвхжихийг ч өөрчилдөг. Аль нь ч локал нөлөө бүхий локал засвар биш. Тус бүр нь машины бүх урсгалын хил хязгаарыг зөөдөг, зөвхөн таны засварлаж байсан холболтынх бус.

Шууд нийтийн SSH үнэхээр шаардлагатай үед профайлын эзэмшигч гадаад маршрут болон түүний галт ханын зөвшөөрлийг хоёуланг нь төлөвлөж, туннель унах үед холбоогүй трафикт юу тохиолдохыг шийдэх ёстой. IPv4 болон IPv6-г тусад нь хянах нь ч үүнд хамаарна, учир нь дүрмүүд гэр бүлээр илэрхийлэгддэг. Нэг удирдлагын сессийг аврахын тулд нэмсэн өргөн тойролт ихэвчлэн тухайн сессийгээс илүүг илрүүлдэг.

Сонгосон удирдлагын замаа туршиж үзээрэй

Эхлээд удирдлага туннелийн дотор эсвэл гадна явах ёстойг шийдэж, дараа нь хоёуланг нь зэрэг биш, яг тэр сонголтыг туршина. Доорх командууд клиентийн хаяг, peer-ийн төлөв, зорилт бүртэй холболтыг шалгана. Туннель боссон үед тэдгээрийг Windows клиентээс ажиллуулна уу.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Дотоод хаяг руу амжилттай SSH нь туннель удирдлагын трафик зөөж байгаа болон серверийн өөрийн галт хана peer-ийн мужаас хүлээн авч байгааг нотолно. Хоёр зорилтод бүтэлгүйтэх нь Windows маршрутжуулалтын биш, серверийн тал эсвэл түлхүүрийн асуудал. Дотоод хаяг ажиллаж, гадаад нь ажиллахгүй бол, локал галт ханын байр суурь яг зоригдсоноо хийдэг. Профайл засвараас өмнө гурван үр дүнг энэ дарааллаар уншина уу.

Удирдлагын зам, ашигласан хаяг, туннель унасан үеийн зан төлөвийг тэмдэглэ. Таван минутыг хэмнэхийн тулд тойролтыг өргөтгөхөөс дараагийн хүнийг сэргийлдэг нь яг тэр тэмдэглэл юм.