Ping werk maar SSH faal oor die VPN: watter fase het gebreek?
Een breedsprakige poging skei TCP-bereikbaarheid, SSH-vervoer, gasheeridentiteit, gebruikeraanmelding en sessietoestemming, sodat jy ophou raai by die tonnel.
Ping-antwoorde en 'n geweierde SSH-aanmelding kan gelyktydig waar wees, en die paar impliseer nie die tonnel nie. Eggo-antwoorde en 'n TCP-verbinding na poort 22 is verskillende toetse met verskillende keurders, verskillende beleide en dikwels verskillende bestemmings. Teken een doelbewuste SSH-poging vas en benoem dan die laaste fase wat dit bereik het. Daardie enkele artefak vervang 'n dosyn spekulatiewe konfigurasiewysigings.
Teken een poging vas, nie 'n sessie van probeerslae nie
Voer die kliënt een keer uit met breedsprakige diagnostiek, deel van verbindings afgeskakel en 'n begrensde verbindingstydperk. Om die deel te deaktiveer maak saak, want 'n vooraf geauthentiseerde meesterverbinding sal andersins vir die nuwe poging antwoord en die fout verberg wat jy jaag.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Hou die bestemming, adresfamilie, tydstempel en die finale nie-geheime fout. Die IPv4-vlag beteken ook dat hierdie poging niks oor 'n IPv6-roete na dieselfde naam sê nie, dus moenie daaruit veralgemeen nie. Teken aan waar die poging gedoen is. 'n Kontrole op die VPN-gateway is nie dieselfde uitkykpunt as 'n skootrekenaar daaragter nie, en die meeste teenstrydighede in hierdie kaartjies kom van die meng van die twee.
Fases een en twee: TCP voor SSH
Die eerste grens is bereikbaarheid van die sok: 'n adres, 'n poort en 'n roete wat die pakkie werklik volg. As die TCP-verbinding nooit voltooi nie, bestaan niks bo dit nog nie, en gasheersleutels en rekeninge is irrelevant.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Korreleer die opname met die kliënt se poging. 'n SYN wat vertrek en niks terugkeer nie, wys op filtering, keurders of 'n ontbrekende roete aan die oorkant; 'n antwoord met 'n reset wys op iets wat aktief weier eerder as om te laat val. Die tweede grens is die SSH-protokoluitruiling self. 'n TCP-verbinding wat voltooi en dan stagneer, het verby bereikbaarheid beweeg na onderhandeling, bedienerrespons of pakkiehantering. Dit is 'n ander ondersoek, en dit is waar groottverwante probleme eerste waarskynlik word.
Fase drie: wie se sleutel het geantwoord
Sodra die vervoer op is, verifieer die kliënt die bediener se gasheersleutel. 'n Weiering hier is 'n stelling oor identiteit, nie oor kriptografie nie: die eweknie het 'n sleutel voorgelê wat jou beleid nie aanvaar nie. Behandel dit as 'n stoptoestand en verifieer buite die band, teen die konsole of die operateur wat die gasheer herbou het. Om die onthou-inskrywing te skrap om die waarskuwing skoon te maak, is die een kortpad om te weier, want dit vernietig die bewys dat iets onverwags geantwoord het.
As die gasheer regtig herbou is, verwyder die verouderde rekord eers nadat die nuwe vingerafdruk bevestig is, en noteer die datum en rede. Die volgende ingenieur sal dieselfde waarskuwing teëkom en het daardie konteks nodig.
Fases vier en vyf: rekening teenoor toestemming
Verifikasie is die vierde grens. 'n Geweierde bevoegdheid beteken die bediener het die poging geëvalueer en geweier; kyk na die rekening, die tipe bevoegdheid wat die bediener aanvaar, en die bediener se eie beleid eerder as die VPN-wagwoord. Die vyfde grens is magtiging na suksesvolle aanmelding. 'n Geauthentiseerde gebruiker kan steeds 'n dop, 'n opdrag, 'n substelsel of deurstuur geweier word, en daardie weierings lyk soos foute vir iemand wat net die kliënt se laaste reël lees.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Stop na 'n paar mislukte wagwoordpogings. Herhaalde raaiskote veroorsaak uitsluitings wat dan soos 'n tweede, onverwante fout lyk en meer tyd kos as die oorspronklike kaartjie.
Terugrol en die rekord wat jy hou
Verander een ding op 'n slag, en skryf neer wat jy verander het voordat jy weer toets. As 'n verandering die poging slegter maak, draai dit dadelik terug in plaas daarvan om nog 'n regstelling bo-op te stapel. Herhaal die oorspronklike operasie vanaf die oorspronklike kliënt en konteks. 'n Suksesvolle aanmelding vanaf 'n ander masjien, op 'n ander adresfamilie, is nie 'n weergawe nie en bewys nie die regstelling nie.
Saniteer wat jy deel. Breedsprakige kliëntuitset kan interne name, rekeningetikette, sleutelpaaie en publieke sleutelidentifiseerders dra, dus publiseer die gefaseerde gevolgtrekking eerder as 'n rou spoor.