SSH drejt IP-së publike të serverit WireGuard dështon në Windows

Tunelet që ngrihen ndërsa SSH drejt adresës publike të serverit ndalon së funksionuari duken si një server që e refuzon lidhjen. Në Windows shkaku më i mundshëm është lokal: një AllowedIPs tuneli të plotë me /0 aktivizon rregulla kufizuese firewalls që lejojnë transportin e vetë tunelit dhe shumë pak tjetër. Paketat e kriptuara që arrijnë në atë adresë nuk thonë asgjë nëse një lidhje TCP e veçantë drejt të njëjtës adresë mund të dalë.

Ndani adresën publike të pikës fundore nga adresa e saj e brendshme e tunelit përpara se të prekni listën e peer-ëve. Pothuajse çdo përpjekje për ta rregulluar këtë duke redaktuar AllowedIPs e bën politikën më të dobët në vend që rrugën ta bëjë të saktë.

Leja e rrugëzimit dhe leja e firewall-it janë të ndryshme

Rruga vendos ku do të dërgohej një paketë, dhe rregulli i firewall-it vendos nëse mund të dërgohet fare. Prandaj shtimi i një rruge për IP-në publike të pikës fundore krijon një shteg që filtri ende mund ta bllokojë, dhe pikërisht kjo konfuzion është ajo që krijon ky simptom. Në Windows filtri është pjesë e implementimit dhe jo një shtesë, kështu që asnjë zë rruge nuk e ndryshon atë. Të dyja vendimet janë të ndara edhe diku tjetër, ndonëse vlerat e parazgjedhura ndryshojnë.

Prandaj një traceroute drejt pikës fundore mund të ketë sukses ndërsa përpjekja SSH dështon. Të parën e mbart shërbimi që e zotëron përjashtimin, të dytën jo.

Çfarë bën /0 në Windows

Kur një peer i vetëm ka adresa të lejuara që mbulojnë të gjithë hapësirën IPv4, WireGuard for Windows zbaton një qëndrim kufizues firewalls që bllokon trafikun që përndryshe do të dilte jashtë tunelit. Transporti i vetë shërbimit të tunelit lejohet, sepse VPN-i nuk do të mund të funksiononte ndryshe. Një aplikacion tjetër drejt të njëjtës adresë publike nuk merr një leje të tillë, pasi përjashtimi i përket transportit dhe jo adresës. Shënimet e rrjetit të Windows përshkruajnë këtë sjellje dhe kontrollin përkatës në redaktor.

Ato rregulla janë mekanizmi pas shprehjes kill switch. Aktivizohen nga forma e konfigurimit dhe jo nga një kuti me atë emër.

Përjashtimet ndryshojnë modelin e mbrojtjes

Zëvendësimi i /0 me dy prefikse gjysmë-parazgjedhje është mënyra e dokumentuar për të mbajtur rrugëzim të gjerë pa semantikën kufizuese, dhe është një model tjetër mbrojtjeje, jo një drejtshkrim më i shkurtër. Zbritja e adresës së pikës fundore nga prefikset e lejuara është zgjidhja tjetër e zakonshme, që e zgjat listën dhe gjithashtu ndryshon cilat rregulla aktivizohen. Asnjëra nuk është redaktim lokal me efekt lokal. Secili lëviz kufirin për çdo rrjedhë në makinë, jo vetëm për lidhjen që po rregullonit.

Aty ku SSH publik i drejtpërdrejtë është vërtet i nevojshëm, pronari i profilit duhet të projektojë si rrugën e jashtme ashtu edhe lejen e saj të firewall-it, dhe të vendosë çfarë ndodh me trafikun e palidhur kur tuneli bie. Rishikimi i veçantë i IPv4 dhe IPv6 është gjithashtu pjesë e kësaj, pasi rregullat shprehen sipas familjes. Një anashkalim i gjerë i shtuar për të shpëtuar një sesion të vetëm administrimi zakonisht ekspozon më shumë se sesioni.

Testoni rrugën e administrimit që zgjodhët

Vendosni së pari nëse administrimi duhet të udhëtojë brenda tunelit apo jashtë tij, pastaj testoni pikërisht atë zgjedhje dhe jo të dyja njëkohësisht. Komandat më poshtë kontrollojnë adresat e klientit, gjendjen e peer-it dhe një lidhje drejt çdo objektivi. Ekzekutoni ato nga klienti Windows ndërsa tuneli është i ngritur.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Një SSH i suksesshëm drejt adresës së brendshme provon që tuneli mbart trafikun e administrimit dhe që firewalls i vetë serverit e pranon atë nga diapazoni i peer-ëve. Dështimi në të dy objektivat është problem në anën e serverit ose me çelësin, jo problem rrugëzimi i Windows. Nëse adresa e brendshme funksionon dhe ajo e jashtme jo, qëndrimi lokal i firewall-it po bën pikërisht atë për të cilën është projektuar. Lexoni tre rezultatet në atë rend përpara se të redaktoni një profil.

Regjistroni rrugën e administrimit, adresën e përdorur dhe sjelljen kur tuneli është i ulët. Është pikërisht ai shënim që e pengon personin tjetër të zgjerojë anashkalimin për të kursyer pesë minuta.