SSH عبر مسار خاص ثانٍ بينما يبقى VPN قائمًا

تصل إحدى الآلات إلى أخرى عبر VPN، والآن يريد أحدهم الصدفة نفسها عبر شبكة خاصة لمزوّد. المسار موجود، والـ ping ينجح، ومع ذلك يرفض SSH. السبب المعتاد أن الخادم الخفي لم يستمع قط على العنوان الجديد، لذا لا يوجد ما يُتصل به. هذه مشكلة ربط عنوان قبل أن تكون مشكلة جدار ناري.

لماذا لا ينشئ المسار الجديد مستمعًا جديدًا

تُنشئ عمليةٌ ما مأخذ استماع، وهي التي تحدد العناوين التي سيقبلها. المسار يخبر الحزم فقط إلى أين تسير؛ فهو لا ينشئ مستمعًا عند الوجهة. وعندما يُضبط sshd بعنوان ListenAddress واحد، تُرفض الاتصالات إلى أي عنوان محلي آخر رغم أن الواجهة تعمل. وينطبق الأمر نفسه على وحدة مأخذ تملك المنفذ، ولهذا يكون الفحص الأول دائمًا هو ما يستمع فعليًا.

قارن المسارين بعنوان الوجهة لا باسم الواجهة. يتصل العميل بعنوان، ولا بد أن يكون ذلك العنوان مربوطًا قبل أن تهم أي قاعدة جدار ناري.

اسرد العناوين والمستمعين

قبل تعديل أي شيء، سجّل العناوين الموجودة على المضيف ومآخذ الاتصال القائمة الآن.

ip -br addr
ss -ltnp | grep ':22'

تُظهر قائمة العناوين أي عنوان خاص حقيقي وعلى أي واجهة، بينما تُظهر قائمة المآخذ ما إذا كان شيء مربوطًا به. المستمع على 0.0.0.0:22 يقبل كل عنوان أصلًا، لذا لا يضيف الربط الجديد شيئًا. أما المستمع على عنوان واحد محدد فيفسّر الرفض فورًا. وإذا كان المنفذ يخص وحدة مأخذ بدلًا من الخادم الخفي، فإعداد الخادم ليس القصة كاملة.

أضف الربط وأبقِ القديم

يقبل OpenSSH عدة مدخلات ListenAddress، لذا يمكن أن يبقى مسار VPN بينما يُضاف الخاص. اختبر الملف قبل إعادة تحميله.

sshd -t
systemctl reload sshd

اختبار إعداد فاشل يترك الخادم الخفي العامل دون مساس، وهذا بالضبط ما تريده وأنت متصل عبر المسار الذي تعدّله. أبقِ المدخل الحالي، وأضف العنوان المحلي الجديد، وتأكد من أن الخدمة تُعاد دون إسقاط الجلسة الحالية. في عمليات التثبيت المُفعَّلة بالمآخذ، أضف العنوان إلى وحدة المأخذ بدلًا من ذلك وأعد تحميل تلك الوحدة. ثم اقرأ قائمة المستمعين مرة أخرى، لأن ربطًا لم يظهر قط يعني أنه تم تعديل المكوّن الخاطئ.

تحقق من الجلسة الجديدة قبل إغلاق القديمة

اتصل بالعنوان الجديد بينما لا تزال الجلسة الأصلية مفتوحة، مستخدمًا مخرجات مطوّلة لترى أي عنوان وأي مفتاح استُخدم. أبقِ الجلسة الأصلية مفتوحة حتى ينجح الفحص مرتين.

ssh -v [email protected]

اقرأ أسطر التصحيح بحثًا عن عنوان الوجهة ومفتاح المضيف الذي قُدِّم. تحقق من بصمة مفتاح المضيف مقابل قيمة تثق بها مسبقًا، بدلًا من قبول مفتاح مجهول لأن الشبكة يوصف بأنها خاصة. الوجهة الجديدة تحتاج إلى مدخل known_hosts خاص بها، وهذا متوقع. ولا تُغلق جلسة الإدارة القديمة إلا بعد أن يعمل المسار الخاص.

يحمي SSH النقل، لكنه لا يجعل شبكتين متكافئتين بمعزل عن السياق. قرر ما إذا كانت ثقة العبور الخاص تناسب البيانات قبل الاعتماد عليه.