SSH kwa IP ya umma ya seva ya WireGuard inashindikana kwenye Windows

Handaki zinazoinuka wakati SSH kwa anwani ya umma ya seva inaacha kufanya kazi zinaonekana kama seva inayokataa muunganisho. Kwenye Windows sababu inayowezekana zaidi ni ya ndani: AllowedIPs ya handaki kamili ya /0 huwasha kanuni kali za firewall zinazoruhusu usafirishaji wa handaki yenyewe na kidogo sana kingine. Pakiti zilizosimbwa zinazofika kwenye anwani hiyo hazisemi chochote kuhusu kama muunganisho tofauti wa TCP kwa anwani hiyo hiyo unaweza kutoka.

Tenganisha anwani ya umma ya kituo cha mwisho na anwani yake ya ndani ya handaki kabla ya kugusa orodha ya peer. Karibu kila jaribio la kurekebisha hili kwa kuhariri AllowedIPs hufanya sera kuwa dhaifu badala ya njia kuwa sahihi.

Ruhusa ya uelekezaji na ruhusa ya firewall ni tofauti

Njia huamua pakiti itatumwa wapi, na kanuni ya firewall huamua kama inaweza kutumwa kabisa. Kwa hivyo kuongeza njia kwa IP ya umma ya kituo cha mwisho hutengeneza njia ambayo kichujio bado kinaweza kuizuia, na hicho ndicho kuchanganyikiwa kunakotokana na dalili hii. Kwenye Windows kichujio ni sehemu ya utekelezaji na si nyongeza, kwa hivyo hakuna kumbukumbu ya njia inayokibadilisha. Maamuzi hayo mawili ni tofauti pia mahali pengine, ingawa thamani chaguo-msingi zinatofautiana.

Ndiyo sababu traceroute kwa kituo cha mwisho inaweza kufanikiwa wakati jaribio la SSH linashindikana. La kwanza hubebwa na huduma inayomiliki ubaguzi, la pili hapana.

Nini /0 hufanya kwenye Windows

Wakati peer moja ina anwani zinazoruhusiwa zinazofunika nafasi yote ya IPv4, WireGuard for Windows hutumia msimamo mkali wa firewall unaozuia trafiki ambayo ingine ingetoka nje ya handaki. Usafirishaji wa huduma ya handaki yenyewe unaruhusiwa, kwa sababu VPN isingeweza kufanya kazi vinginevyo. Programu nyingine kwa anwani hiyo hiyo ya umma haipati ruhusa kama hiyo, kwa kuwa ubaguzi ni wa usafirishaji na si wa anwani. Maelezo ya mtandao ya Windows yanaeleza tabia hii na kidhibiti kinachohusiana kwenye kihariri.

Kanuni hizo ni utaratibu ulio nyuma ya neno kill switch. Huzinduliwa na umbo la usanidi na si na kisanduku cha kuteua chenye jina hilo.

Ubaguzi hubadilisha modeli ya ulinzi

Kubadilisha /0 na viambishi viwili vya nusu-chaguo-msingi ni njia iliyoandikwa ya kudumisha uelekezaji mpana bila maana kali, na ni modeli tofauti ya ulinzi, si tahajia fupi. Kuondoa anwani ya kituo cha mwisho kutoka viambishi vinavyoruhusiwa ni suluhisho lingine la kawaida, ambalo hurefusha orodha na pia hubadilisha ni kanuni gani huzinduliwa. Hakuna hata moja ambayo ni uhariri wa ndani wenye athari ya ndani. Kila moja huhamisha mpaka kwa kila mtiririko kwenye mashine, si tu kwa muunganisho uliokuwa ukirekebisha.

Pale SSH ya umma ya moja kwa moja inahitajika kweli, mmiliki wa wasifu lazima abuni njia ya nje na ruhusa yake ya firewall, na aamue nini kinatokea kwa trafiki isiyohusiana handaki inapoanguka. Kukagua IPv4 na IPv6 kando pia ni sehemu ya hilo, kwa kuwa kanuni huelezwa kwa familia. Njia ya kuzunguka pana inayoongezwa ili kuokoa kipindi kimoja cha usimamizi kwa kawaida hufichua zaidi ya kipindi hicho.

Jaribu njia ya usimamizi uliyochagua

Kwanza amua kama usimamizi unapaswa kupita ndani ya handaki au nje yake, kisha jaribu chaguo hilo badala ya yote mawili kwa mpigo. Amri zilizo hapa chini hukagua anwani za mteja, hali ya peer na muunganisho kwa kila lengo. Zifanye kutoka kwa mteja wa Windows wakati handaki iko juu.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

SSH iliyofanikiwa kwa anwani ya ndani inathibitisha kwamba handaki hubeba trafiki ya usimamizi na kwamba firewall ya seva yenyewe inaikubali kutoka masafa ya peer. Kushindikana kwa malengo yote mawili ni tatizo la upande wa seva au ufunguo, si la uelekezaji wa Windows. Ikiwa anwani ya ndani inafanya kazi na ya nje haifanyi, msimamo wa firewall wa ndani unafanya kwa usahihi kile ulichoundwa kwa ajili yake. Soma matokeo matatu kwa mpangilio huo kabla ya kuhariri wasifu.

Rekodi njia ya usimamizi, anwani iliyotumika na tabia wakati handaki iko chini. Maelezo hayo ndiyo yanayomzuia mtu anayefuata kupanua njia ya kuzunguka ili kuokoa dakika tano.