Nabibigo ang SSH sa pampublikong IP ng WireGuard server sa Windows

Ang mga tunnel na bumabangon habang humihinto ang SSH sa pampublikong address ng server ay mukhang server na tumatanggi sa koneksyon. Sa Windows ang mas malamang na dahilan ay lokal: ang AllowedIPs ng buong tunnel na /0 ay nagbubukas ng mahihigpit na tuntunin ng firewall na nagpapahintulot sa sariling transport ng tunnel at napakakaunti pa. Ang mga naka-encrypt na packet na umaabot sa address na iyon ay walang sinasabi kung ang isang hiwalay na TCP na koneksyon sa parehong address ay maaaring lumabas.

Ihiwalay ang pampublikong address ng endpoint mula sa panloob na address ng tunnel bago hawakan ang listahan ng peer. Halos lahat ng pagtatangka na ayusin ito sa pamamagitan ng pag-edit ng AllowedIPs ay nagpapahina sa patakaran sa halip na gawing tama ang ruta.

Magkaiba ang pahintulot sa routing at pahintulot ng firewall

Ang ruta ay nagpapasya kung saan ipapadala ang packet, at ang tuntunin ng firewall ay nagpapasya kung maaari itong ipadala. Kaya ang pagdaragdag ng ruta para sa pampublikong IP ng endpoint ay gumagawa ng daang maaari pa ring harangin ng filter, at iyon mismo ang kalituhang nililikha ng sintomas na ito. Sa Windows ang filter ay bahagi ng implementasyon at hindi karagdagan, kaya walang entry ng ruta ang nagbabago nito. Hiwalay din ang dalawang desisyong iyon sa ibang lugar, kahit magkaiba ang mga default.

Kaya maaaring magtagumpay ang traceroute sa endpoint habang nabibigo ang pagtatangka ng SSH. Ang una ay dinadala ng serbisyong nagmamay-ari ng eksepsiyon, ang pangalawa ay hindi.

Ano ang ginagawa ng /0 sa Windows

Kapag ang pinapayagang address ng iisang peer ay sumasakop sa buong espasyo ng IPv4, naglalapat ang WireGuard for Windows ng mahigpit na tindig ng firewall na humaharang sa trapikong kung hindi ay lalabas sa labas ng tunnel. Pinapayagan ang transport ng serbisyo ng tunnel mismo, dahil hindi gagana ang VPN kung hindi. Ang ibang aplikasyon sa parehong pampublikong address ay hindi tumatanggap ng gayong pahintulot, dahil ang eksepsiyon ay kabilang sa transport at hindi sa address. Mga tala sa networking ng Windows inilalarawan ang gawi na ito at ang kaugnay na kontrol sa editor.

Ang mga tuntuning iyon ang mekanismo sa likod ng pariralang kill switch. Na-activate sila ng hugis ng configuration at hindi ng checkbox na may ganoong pangalan.

Binabago ng mga eksepsiyon ang modelo ng proteksiyon

Ang pagpalit ng /0 ng dalawang kalahating-default na prefix ay ang dokumentadong paraan upang mapanatili ang malawak na routing nang walang mahigpit na semantika, at iba itong modelo ng proteksiyon, hindi mas maikling baybay. Ang pagbawas ng address ng endpoint mula sa mga pinapayagang prefix ay ang isa pang karaniwang solusyon, na nagpapahaba ng listahan at nagbabago rin kung aling mga tuntunin ang na-activate. Wala sa dalawa ang lokal na pag-edit na may lokal na epekto. Ang bawat isa ay naglilipat ng hangganan para sa bawat daloy sa makina, hindi lamang para sa koneksyong inaayos mo.

Kung saan tunay na kinakailangan ang direktang pampublikong SSH, kailangang idisenyo ng may-ari ng profile ang panlabas na ruta at ang pahintulot nito sa firewall, at magpasya kung ano ang mangyayari sa walang kaugnayang trapiko kapag bumagsak ang tunnel. Bahagi rin nito ang hiwalay na pagsusuri ng IPv4 at IPv6, dahil ipinapahayag ang mga tuntunin ayon sa pamilya. Ang malawak na bypass na idinagdag upang iligtas ang isang sesyon ng pamamahala ay karaniwang naglalantad ng higit pa sa sesyon.

Subukan ang piniling landas ng pamamahala

Magpasya muna kung ang pamamahala ay dapat dumaan sa loob ng tunnel o labas nito, pagkatapos ay subukan ang pagpipiliang iyon sa halip na pareho nang sabay. Sinusuri ng mga utos sa ibaba ang mga address ng client, ang estado ng peer at ang koneksyon sa bawat target. Patakbuhin ang mga ito mula sa Windows client habang nakataas ang tunnel.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Ang matagumpay na SSH sa panloob na address ay nagpapatunay na dinadala ng tunnel ang trapikong pangpamamahala at tinatanggap ito ng sariling firewall ng server mula sa saklaw ng peer. Ang pagkabigo sa dalawang target ay problema sa panig ng server o sa susi, hindi sa routing ng Windows. Kung gumagana ang panloob na address at hindi ang panlabas, ang lokal na tindig ng firewall ay ginagawa nang eksakto ang inilaan para dito. Basahin ang tatlong resulta sa ganoong pagkakasunod-sunod bago i-edit ang isang profile.

Itala ang landas ng pamamahala, ang address na ginamit at ang gawi kapag nakababa ang tunnel. Ang talang iyon ang pumipigil sa susunod na tao na palawakin ang bypass upang makatipid ng limang minuto.