SSH para o IP público do servidor WireGuard falha no Windows

Os túneis que sobem enquanto o SSH para o endereço público do servidor deixa de funcionar parecem um servidor que rejeita a conexão. No Windows a causa mais provável é local: um AllowedIPs de túnel completo com /0 ativa regras de firewall restritivas que permitem o transporte próprio do túnel e muito pouco além disso. Os pacotes criptografados que chegam a esse endereço não dizem nada sobre se uma conexão TCP separada para o mesmo endereço pode sair.

Separe o endereço público do endpoint do seu endereço interno de túnel antes de tocar na lista de pares. Quase toda tentativa de corrigir isso editando AllowedIPs torna a política mais fraca em vez da rota correta.

Permissão de roteamento e permissão de firewall são diferentes

Uma rota decide para onde um pacote seria enviado, e uma regra de firewall decide se ele pode ser enviado. Por isso adicionar uma rota para o IP público do endpoint produz um caminho que o filtro ainda pode bloquear, e é exatamente essa confusão que este sintoma cria. No Windows o filtro faz parte da implementação e não é um complemento, então nenhuma entrada de rota o altera. As duas decisões também são separadas noutros lugares, embora os valores predefinidos difiram.

Por isso um traceroute ao endpoint pode funcionar enquanto uma tentativa de SSH falha. O primeiro é transportado pelo serviço que detém a exceção, e o segundo não.

O que /0 faz no Windows

Com um único par cujos endereços permitidos cobrem todo o espaço IPv4, o WireGuard for Windows aplica uma postura de firewall restritiva que bloqueia o tráfego que de outra forma sairia fora do túnel. O transporte do próprio serviço do túnel é permitido, porque a VPN não poderia funcionar de outra forma. Outra aplicação para o mesmo endereço público não recebe essa permissão, já que a exceção pertence ao transporte e não ao endereço. Notas de rede do Windows descrevem este comportamento e o controlo correspondente no editor.

Essas regras são o mecanismo por trás da expressão kill switch. São ativadas pela forma da configuração e não por uma caixa com esse nome.

As exceções mudam o modelo de proteção

Substituir /0 por dois prefixos meio predefinidos é a forma documentada de manter roteamento amplo sem a semântica restritiva, e é um modelo de proteção diferente, não uma escrita mais curta. Subtrair o endereço do endpoint dos prefixos permitidos é a outra solução comum, que alonga a lista e também muda quais regras são ativadas. Nenhuma delas é uma edição local com efeito local. Cada uma desloca o limite para todos os fluxos da máquina, não apenas para a conexão que estava a reparar.

Onde o SSH público direto é realmente necessário, o proprietário do perfil tem de desenhar tanto a rota exterior como a respetiva permissão de firewall, e decidir o que acontece ao tráfego não relacionado quando o túnel cai. Rever IPv4 e IPv6 separadamente também faz parte disso, já que as regras são expressas por família. Um desvio amplo acrescentado para salvar uma única sessão de gestão normalmente expõe mais do que a sessão.

Teste o caminho de gestão que escolheu

Decida primeiro se a gestão deve viajar dentro ou fora do túnel, e depois teste essa escolha em vez de ambas ao mesmo tempo. Os comandos abaixo verificam os endereços do cliente, o estado do par e uma ligação a cada alvo. Execute-os a partir do cliente Windows enquanto o túnel está levantado.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Um SSH bem-sucedido ao endereço interno prova que o túnel transporta tráfego de gestão e que a firewall do próprio servidor o aceita a partir do intervalo de pares. Uma falha em ambos os alvos é um problema do lado do servidor ou da chave, não de roteamento do Windows. Se o endereço interno funciona e o externo não, a postura local da firewall está a fazer exatamente aquilo para que foi desenhada. Leia os três resultados nessa ordem antes de editar um perfil.

Registe o caminho de gestão, o endereço utilizado e o comportamento quando o túnel está em baixo. É essa nota que impede a próxima pessoa de alargar o desvio para poupar cinco minutos.