세 개 걸쇠와 한 번의 무죄 판결: Tailscale 아래 SSH가 닿지 않던 사건의 층별 조사, Shield와 Stealth라는 쌍둥이 문신(門神), 그리고 후롱(火绒)의 백의

한 기계의 세 포트, 22와 3389와 9119가 tailnet 위에서 완전히 같은 몸짓을 보였다. 초과(超時). 그리고 대조군인 맥의 22는 한순간에 연결되었다. 교과서적인 삼층 조사가 19:40부터 20:34까지 달렸다.

하나, 첫 걸쇠: Shield 모드

tailscale debug prefs는 "ShieldsUp": true를 읽어 들였다. 이 스위치는 tailnet에서 들어오는 모든 접속을 버린다. 세 포트의 행동이 완전히 같았다는 것(거부가 아니라 초과)이 바로 그 서명이다. 꺼서 검증한다. tailscale set --shields-up=false. 그러나 클라우드 측의 재측정에서 22는 여전히 0.4초의 거부가 아니라 8.2초의 빈 응답이었다. 걸쇠 뒤에 또 걸쇠가 있었다.

둘, 둘째 걸쇠: 어댑터 등급의 소리 없는 반전

Tailscale 서비스를 재시작하자 Tailscale 어댑터의 네트워크 등급이 Private에서 Public로 떨어졌다(식별 중에 갇혀 Set-NetConnectionProfile로도 움직이지 않는다). 그리고 내장 Tailscale-In 허용 규칙은 Domain,Private에만 작용한다. 어댑터가 Public로 변한 순간 규칙은 통째로 만기되었고, Windows 방화벽은 Public 기본 방침으로 말없이 패킷을 버렸다. 치료는 등급 판정에 의존하지 않는 항구 규칙 한 장이었다. Tailscale-Inbound-CGNAT. Profile Any, 100.64.0.0/10과 fd7a IPv6 대역만 일치, TCP 22와 9119만 허용.

셋, 셋째 걸쇠: Stealth의 침묵과 후롱의 백의

가장 극적인 단락은 억울한 누명과 그 벗김이었다. WFP 폐기 감사의 이벤트 5152는 22번으로 들어오는 TCP가 Stealth라는 이름의 필터에 버려졌다고 보여주었다. 후롱의 hrwfpdrv 커널 드라이버가 돌고 있고, config의 forceattack.BlockFAProt=1(무차별 대입 방어)도 이론에 부합해, 용의는 못 박힌 듯 보였다. 그러나 후롱 자신의 화면에서 설정과 보안 로그를 뒤지자 다른 이야기가 나왔다. 임시 블랙리스트는 비어 있었고, 차단 기록은 하나도 없었다. 진짜 설명은 소박했다. Windows는 Public 어댑터 위에서, 듣는 이 없는 포트로 오는 SYN을 말없이 버린다(stealth 모드, RST 없음). 그리고 22에는 애초에 sshd가 한 명도 없었다. OpenSSH.Server는 NotPresent였다. 대조 실험이 결정타였다. PowerShell로 18082에 청취자를 세우자 맥이 즉시 통했고, 22에 청취자가 없으니 초과였다. 후롱은 무죄다.

넷, 종국: 서비스를 설치하면 문은 열린다

결론은 원점으로 돌아왔다. sshd를 설치하면 통한다. Windows Update의 선택 기능은 십여 분을 버티다 굳었고, winget이 OpenSSH 10.0.0.0을 설치했다. sshd는 자동 기동으로 정해지고 0.0.0.0:22에서 듣는다. 공개 키는 C:\ProgramData\ssh\administrators_authorized_keys에 적혔다(관리자 계정은 ~/.ssh가 아니라 이 파일을 써야 한다. ACL은 SYSTEM과 Administrators만 남긴다). 맥이 연결되어 SSH-2.0 배너를 읽었고, 끝에서 끝까지의 키 인증이 자기 시험을 통과했다(임시 키는 더한 지 일 분 안에 지웠다). 경로 B(tailscale serve가 9119를 역프록시하고, Desktop 백엔드를 건드리지 않으며 exit 78도 밟지 않는)는 tailnet의 Serve 승인을 기다린다. 최종 노출은 22/9119를 tailnet에만 좁혔다. 이더넷은 Public에 기본 거부로 남아, LAN도 공공망도 들어오지 못한다. 이 사건의 보편 교훈은 셋이다. 초과는 방화벽이 당신을 겨냥했다는 증거가 아니라, 문 안에 아무도 없을 수도 있다는 뜻이다. 허용 규칙은 반드시 자기 어댑터 등급의 가정과 대조하라. 무죄 판결과 유죄 판결은 같은 종류의 증거를 요구한다. 대조 실험이다.