Windowsda WireGuard serverining ommaviy IP manziliga SSH muvaffaqiyatsiz tugaydi

Serverning ommaviy manziliga SSH ishlashdan to'xtaganda ko'tarilgan tunnellar serverni ulanishni rad etayotgandek ko'rsatadi. Windowsda ehtimoli yuqori sabab mahalliy: to'liq tunnelning /0 AllowedIPs qiymati tunnelning o'z transportiga va juda kam boshqa narsaga ruxsat beruvchi cheklovchi xavfsizlik devori qoidalarini yoqadi. O'sha manzilga yetib boradigan shifrlangan paketlar xuddi shu manzilga alohida TCP ulanish chiqishi mumkinmi-yo'qmi haqida hech narsa demaydi.

Peer ro'yxatiga tegishdan oldin endpointning ommaviy manzilini uning ichki tunnel manzilidan ajrating. Buni AllowedIPsni tahrirlash bilan tuzatishga qaratilgan deyarli har bir urinish marshrutni to'g'ri qilish o'rniga siyosatni zaiflashtiradi.

Marshrutlash ruxsati va xavfsizlik devori ruxsati boshqacha

Marshrut paket qayerga yuborilishini, xavfsizlik devori qoidasi esa uni umuman yuborish mumkinligini hal qiladi. Shuning uchun endpointning ommaviy IPsi uchun marshrut qo'shish filtr hali ham to'sib qo'yishi mumkin bo'lgan yo'l yaratadi va bu alomat keltirib chiqaradigan chalkashlik aynan shudir. Windowsda filtr qo'shimcha emas, amalga oshirishning qismi, shuning uchun hech bir marshrut yozuvi uni o'zgartirmaydi. Bu ikki qaror boshqa joylarda ham alohida, garchi standart qiymatlar farq qilsa ham.

Shuning uchun endpointga traceroute muvaffaqiyatli bo'lishi mumkin, SSH urinishi esa muvaffaqiyatsiz tugaydi. Birinchisini istisnoga ega xizmat ko'taradi, ikkinchisini emas.

Windowsda /0 nima qiladi

Bitta peerning ruxsat etilgan manzillari butun IPv4 fazosini qamrab olganda, WireGuard for Windows aks holda tunneldan tashqariga chiqadigan trafikni to'suvchi cheklovchi xavfsizlik devori pozitsiyasini qo'llaydi. Tunnel xizmatining o'z transportiga ruxsat beriladi, chunki VPN boshqacha ishlay olmasdi. Xuddi shu ommaviy manzilga boruvchi boshqa dastur bunday ruxsat olmaydi, chunki istisno transportga tegishli, manzilga emas. Windows tarmoq eslatmalari bu xatti-harakatni va muharrirdagi tegishli boshqaruvni tavsiflaydi.

O'sha qoidalar kill switch iborasining orqasidagi mexanizm. Ular shu nomdagi katakcha bilan emas, konfiguratsiya shakli bilan faollashadi.

Istisnolar himoya modelini o'zgartiradi

/0ni ikkita yarim standart prefiks bilan almashtirish cheklovchi semantikasiz keng marshrutlashni saqlashning hujjatlashtirilgan usuli bo'lib, bu qisqaroq yozuv emas, boshqa himoya modelidir. Endpoint manzilini ruxsat etilgan prefikslardan ayirish boshqa keng tarqalgan chora bo'lib, ro'yxatni uzaytiradi va qaysi qoidalar faollashishini ham o'zgartiradi. Hech biri mahalliy ta'sirga ega mahalliy tahrir emas. Har biri mashinadagi har bir oqim uchun chegarani suradi, faqat siz tuzatayotgan ulanish uchun emas.

To'g'ridan-to'g'ri ommaviy SSH haqiqatan zarur bo'lganda, profil egasi tashqi marshrutni ham, uning xavfsizlik devori ruxsatini ham loyihalashi va tunnel yiqilganda aloqasiz trafikka nima bo'lishini hal qilishi kerak. IPv4 va IPv6ni alohida ko'rib chiqish ham shunga kiradi, chunki qoidalar oila bo'yicha ifodalanadi. Bitta boshqaruv sessiyasini saqlab qolish uchun qo'shilgan keng chetlab o'tish odatda sessiyadan ko'proq narsani ochib beradi.

Tanlagan boshqaruv yo'lingizni sinab ko'ring

Avval boshqaruv tunnel ichidan yoki tashqarisidan o'tishini hal qiling, so'ng ikkalasini birga emas, aynan shu tanlovni sinang. Quyidagi buyruqlar mijoz manzillarini, peer holatini va har bir nishonga ulanishni tekshiradi. Tunnel ko'tarilgan holda ularni Windows mijozidan ishga tushiring.

ipconfig | findstr /i "WireGuard IPv4"
wg show
ssh -v [email protected]
Test-NetConnection 203.0.113.9 -Port 22

Ichki manzilga muvaffaqiyatli SSH tunnel boshqaruv trafigini ko'tarayotganini va serverning o'z xavfsizlik devori uni peerlar oralig'idan qabul qilishini isbotlaydi. Ikkala nishonda muvaffaqiyatsizlik Windows marshrutlash emas, server tomoni yoki kalit muammosidir. Ichki manzil ishlab, tashqi manzil ishlamasa, mahalliy xavfsizlik devori pozitsiyasi aynan nima uchun yaratilgan bo'lsa, shuni qilyapti. Profilni tahrirlashdan oldin uchta natijani shu tartibda o'qing.

Boshqaruv yo'lini, ishlatilgan manzilni va tunnel tushgandagi xatti-harakatni yozib qo'ying. Besh daqiqa tejash uchun chetlab o'tishni kengaytirishdan keyingi odamni to'sadigan aynan o'sha eslatma.