Ping işləyir, amma SSH VPN üzərindən uğursuz olur: hansı mərhələ pozuldu?
Bir ətraflı cəhd TCP əlçatanlığını, SSH nəqlini, host kimliyini, istifadəçi girişini və sessiya icazəsini ayırır, beləliklə tunel barədə təxmin etməyi dayandırırsınız.
Ping cavabları və rədd edilmiş SSH girişi eyni vaxtda doğru ola bilər və bu cüt tuneli günahlandırmır. Exo cavabları və 22-ci porta TCP bağlantısı fərqli seçiciləri, fərqli siyasətləri və çox vaxt fərqli təyinatları olan fərqli testlərdir. Bir qəsdən edilmiş SSH cəhdini qeydə alın, sonra onun çatdığı son mərhələni adlandırın. Bu tək artefakt onlarla spekulyativ konfiqurasiya dəyişikliyini əvəz edir.
Bir cəhdi qeydə alın, bir sıra sınaqlar sessiyasını deyil
Müştərini bir dəfə ətraflı diaqnostika ilə, bağlantı paylaşımı söndürülmüş və məhdud bağlantı vaxtı ilə işə salın. Paylaşımın söndürülməsi vacibdir, çünki əvvəlcədən autentifikasiya olunmuş əsas bağlantı əks halda yeni cəhdə cavab verəcək və təqib etdiyiniz nasazlığı gizlədəcək.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Təyinatı, ünvan ailəsini, vaxt damğasını və son gizli olmayan xətanı saxlayın. IPv4 bayrağı həm də o deməkdir ki, bu cəhd eyni ada gedən IPv6 yolu barədə heç nə demir, ona görə də ondan ümumiləşdirmə aparmayın. Cəhdin haradan edildiyini qeyd edin. VPN şlüzündə aparılan yoxlama onun arxasındakı noutbukla eyni baxış nöqtəsi deyil və bu biletlərdəki ziddiyyətlərin çoxu ikisinin qarışdırılmasından qaynaqlanır.
Birinci və ikinci mərhələlər: SSH-dən əvvəl TCP
Birinci sərhəd soketin əlçatanlığıdır: ünvan, port və paketin həqiqətən getdiyi marşrut. Əgər TCP bağlantısı heç vaxt tamamlanmırsa, onun üstündə heç nə hələ mövcud deyil və host açarları ilə hesablar əlaqəsizdir.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Qeydi müştəri cəhdi ilə əlaqələndirin. Çıxan SYN və heç bir cavabın qayıtmaması filtrləməyə, seçicilərə və ya uzaq tərəfdə çatışmayan marşruta işarə edir; sıfırlama ilə cavab atmaq əvəzinə aktiv şəkildə rədd edən bir şeyə işarə edir. İkinci sərhəd SSH protokol mübadiləsinin özüdür. Tamamlanan və sonra dayanan TCP bağlantısı əlçatanlığı keçərək danışıqlara, server cavabına və ya paket emalına daxil olub. Bu fərqli bir araşdırmadır və ölçü ilə bağlı problemlərin ilk dəfə ağlabatan olduğu yerdir.
Üçüncü mərhələ: hansı açar cavab verdi
Nəql qalxdıqdan sonra müştəri serverin host açarını yoxlayır. Buradakı rədd kimlik haqqında bəyanatdır, kriptoqrafiya haqqında deyil: qarşı tərəf siyasətinizin qəbul etmədiyi açar təqdim edib. Bunu dayanma şərti kimi qəbul edin və zolaqdan kənar, konsol vasitəsilə və ya hostu yenidən quran operatorla yoxlayın. Xəbərdarlığı aradan qaldırmaq üçün yadda saxlanan qeydi silmək rədd edilməli yeganə qısa yoldur, çünki o, gözlənilmədən nəyinsə cavab verdiyinə dair sübutu məhv edir.
Əgər host həqiqətən yenidən qurulubsa, köhnə qeydi yalnız yeni barmaq izi təsdiqləndikdən sonra silin və tarixi və səbəbi qeyd edin. Növbəti mühəndis eyni xəbərdarlıqla qarşılaşacaq və bu kontekstə ehtiyacı var.
Dördüncü və beşinci mərhələlər: hesab və icazə
Autentifikasiya dördüncü sərhəddir. Rədd edilmiş etimadnamə serverin cəhdi qiymətləndirdiyini və rədd etdiyini bildirir; hesabı, serverin qəbul etdiyi etimadnamə növünü və serverin öz siyasətini, VPN parolunu deyil, yoxlayın. Beşinci sərhəd uğurlu girişdən sonrakı avtorizasiyadır. Autentifikasiya olunmuş istifadəçiyə hələ də qabıq, əmr, alt sistem və ya yönləndirmə rədd edilə bilər və bu rəddlər yalnız müştərinin son sətrini oxuyan biri üçün nasazlıq kimi görünür.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Bir neçə uğursuz parol cəhdindən sonra dayanın. Təkrar təxminlər bloklanmalar yaradır ki, onlar sonra ikinci, əlaqəsiz nasazlıq kimi görünür və ilkin biletdən daha çox vaxt aparır.
Geri qaytarma və saxladığınız qeyd
Bir dəfə bir şey dəyişin və yenidən sınamazdan əvvəl nəyi dəyişdiyinizi yazın. Əgər dəyişiklik cəhdi pisləşdirirsə, üstünə başqa düzəliş yığmaq əvəzinə dərhal geri qaytarın. İlkin əməliyyatı ilkin müştəri və kontekstdən təkrarlayın. Başqa maşindan, başqa ünvan ailəsində uğurlu giriş reproduksiya deyil və düzəlişi sübut etmir.
Paylaşdığınızı təmizləyin. Ətraflı müştəri çıxışı daxili adlar, hesab etiketləri, açar yolları və açıq açar identifikatorları daşıya bilər, ona görə xam iz yerinə mərhələli nəticəni dərc edin.