タグ：SSH

三つの錠前と一回の放免：Tailscale 下で SSH が届かない事件の階層調査、Shield と Stealth の二柱の門神、そして Huorong の白状書

クラウドのエージェントは PC の 22/3389/9119 の三ポートにどこにも届かなかった。調査は三層を下った。第一層は Tailscale の Shield モード（ShieldsUp: true は tailnet からの入站接続をすべて棄てる）——切ってもまだ届かない。第二層は NIC クラスの静かな反転——Tailscale を再起動するとアダプタは「識別中」に据わり、Public へ落ち、Tailscale-In 規則（Domain,Private のみ）は全体が失効した。 cure——ではなく治療は、Profile Any の CGNAT 許可規則（22/9119 のみ、100.64.0.0/10 のみに限定）を一枚追加することだった。第三層は Windows ファイアウォールの Stealth モード——待受のいないポートへの SYN を静かに棄て（RST を返さず）、22 にはそもそも sshd が一つもいなかった。途上、火絨——ではなく Huorong は容疑者とされ、のちに放免された（WFP イベント 5152 の Stealth フィルタは Windows 既定であり、ブラックリストは空、ログに遮断記録なし）。終幕は winget による OpenSSH Server 10.0 の導入、公開鍵の administrators_authorized_keys への書き込み（ACL は SYSTEM＋Administrators のみ）、Mac からの実接続がバナーを読み、端から端までの鍵認証が通過したことである。