标签：SSH

三层门闩与一场清白：Tailscale 下 SSH 不通的层层排查、Shield 与 Stealth 的双重门神，与火绒的洗冤录

云端 agent 连不上 PC 的 22/3389/9119 三个端口，排查走了三层：第一层是 Tailscale Shield mode（ShieldsUp: true 会丢弃所有 tailnet 入站连接）——关掉后仍未通；第二层是网卡类别反转——重启 Tailscale 后 Tailscale 网卡卡在「正在识别」沦为 Public，而 Tailscale-In 规则只作用 Domain/Private，于是全部失效，补一条 Profile Any 的 CGNAT 放行规则（只放 22/9119、只匹配 100.64.0.0/10）；第三层是 Windows 防火墙的 Stealth 隐身模式——对没有监听者的端口静默丢 SYN 而非回 RST，22 上根本没有 sshd。途中火绒被冤枉又洗清（WFP 事件 5152 的 Stealth 过滤器是 Windows 默认、火绒黑名单为空日志无拦截），最终 winget 装 OpenSSH Server 10.0、公钥写入 administrators_authorized_keys（ACL 仅 SYSTEM+Administrators）、Mac 实连拿到 banner、端到端密钥认证通过。