SSH ke IP awam pelayan WireGuard gagal pada Windows

Terowong yang naik semasa SSH ke alamat awam pelayan berhenti berfungsi kelihatan seperti pelayan yang menolak sambungan. Pada Windows punca yang lebih mungkin adalah setempat: AllowedIPs terowong penuh bernilai /0 menghidupkan peraturan firewall ketat yang membenarkan pengangkutan terowong itu sendiri dan sangat sedikit yang lain. Paket disulitkan yang sampai ke alamat itu tidak mengatakan apa-apa tentang sama ada sambungan TCP berasingan ke alamat yang sama boleh keluar.

Asingkan alamat awam titik hujung daripada alamat terowong dalamannya sebelum menyentuh senarai peer. Hampir setiap percubaan membaiki ini dengan menyunting AllowedIPs menjadikan dasar lebih lemah, bukan laluannya betul.

Kebenaran penghalaan dan kebenaran firewall adalah berbeza

Laluan menentukan ke mana paket akan dihantar, dan peraturan firewall menentukan sama ada ia boleh dihantar sama sekali. Oleh itu menambah laluan untuk IP awam titik hujung menghasilkan laluan yang masih boleh disekat oleh penapis, dan itulah kekeliruan yang dicipta oleh gejala ini. Pada Windows penapis ialah sebahagian daripada pelaksanaan, bukan tambahan, jadi tiada entri laluan mengubahnya. Kedua-dua keputusan juga berasingan di tempat lain, walaupun nilai lalai berbeza.

Sebab itulah traceroute ke titik hujung boleh berjaya sementara cubaan SSH gagal. Yang pertama dibawa oleh perkhidmatan yang memiliki pengecualian, yang kedua tidak.

Apa yang /0 lakukan pada Windows

Dengan satu peer yang alamat dibenarkannya meliputi seluruh ruang IPv4, WireGuard for Windows menggunakan pendirian firewall ketat yang menyekat trafik yang sepatutnya keluar di luar terowong. Pengangkutan perkhidmatan terowong itu sendiri dibenarkan, kerana VPN tidak akan dapat berfungsi sebaliknya. Aplikasi lain ke alamat awam yang sama tidak menerima kebenaran sedemikian, kerana pengecualian itu milik pengangkutan, bukan alamat. Nota rangkaian Windows menerangkan tingkah laku ini dan kawalan berkaitan dalam editor.

Peraturan itu ialah mekanisme di sebalik istilah kill switch. Ia diaktifkan oleh bentuk konfigurasi, bukan oleh kotak semak yang dinamakan sedemikian.

Pengecualian mengubah model perlindungan

Menggantikan /0 dengan dua awalan separuh lalai ialah cara berdokumen untuk mengekalkan penghalaan luas tanpa semantik ketat, dan ia model perlindungan yang berbeza, bukan ejaan yang lebih pendek. Menolak alamat titik hujung daripada awalan yang dibenarkan ialah penyelesaian biasa yang lain, yang memanjangkan senarai dan juga mengubah peraturan mana yang diaktifkan. Kedua-duanya bukan suntingan setempat dengan kesan setempat. Setiap satu menggerakkan sempadan bagi setiap aliran pada mesin, bukan hanya untuk sambungan yang anda baiki.

Di tempat SSH awam langsung benar-benar diperlukan, pemilik profil mesti merancang kedua-dua laluan luar dan kebenaran firewallnya, dan memutuskan apa yang berlaku kepada trafik tidak berkaitan apabila terowong jatuh. Menyemak IPv4 dan IPv6 secara berasingan juga termasuk dalam hal itu, kerana peraturan dinyatakan mengikut keluarga. Pintasan luas yang ditambah untuk menyelamatkan satu sesi pengurusan biasanya mendedahkan lebih daripada sesi itu.

Uji laluan pengurusan yang anda pilih

Putuskan dahulu sama ada pengurusan perlu melalui dalam terowong atau luarnya, kemudian uji pilihan itu, bukan kedua-duanya sekali gus. Perintah di bawah menyemak alamat klien, keadaan peer dan sambungan ke setiap sasaran. Jalankannya daripada klien Windows semasa terowong naik.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

SSH yang berjaya ke alamat dalaman membuktikan terowong membawa trafik pengurusan dan firewall pelayan sendiri menerimanya daripada julat peer. Kegagalan pada kedua-dua sasaran ialah masalah pihak pelayan atau kunci, bukan penghalaan Windows. Jika alamat dalaman berfungsi dan yang luaran tidak, pendirian firewall setempat melakukan tepat apa yang direka untuknya. Baca ketiga-tiga hasil dalam susunan itu sebelum menyunting profil.

Catat laluan pengurusan, alamat yang digunakan dan tingkah laku apabila terowong turun. Nota itulah yang menghalang orang seterusnya daripada melebarkan pintasan untuk menjimatkan lima minit.