VPN işlək qalarkən ikinci şəxsi yolda SSH

Bir maşın digərinə VPN üzərindən çatır və indi kimsə eyni shell-i provayderin şəxsi şəbəkəsi üzərindən istəyir. Marşrut var, ping uğurludur, amma SSH yenə imtina edir. Adi səbəb daemonun yeni ünvanda heç vaxt dinləməməsidir, ona görə də qoşulmağa heç nə yoxdur. Bu, firewall probleminə çevrilməzdən əvvəl ünvan bağlama problemidir.

Niyə yeni marşrut yeni dinləyici yaratmır

Dinləyən soket qəbul edəcəyi ünvanları göstərən proses tərəfindən yaradılır. Marşrut paketlərə yalnız hara getmələrini deyir; o, təyinat yerində dinləyici yaratmır. sshd tək ListenAddress ilə qurulduqda, interfeys işlək olsa da, digər istənilən yerli ünvana qoşulmalar rədd edilir. Eyni şey portun sahibi olan soket unit üçün də keçərlidir, buna görə də ilk yoxlama həmişə əslində nəyin dinlədiyidir.

İki yolu interfeys adına görə deyil, təyinat ünvanına görə müqayisə edin. Müştəri bir ünvana qoşulur və hər hansı firewall qaydası əhəmiyyət kəsb etməzdən əvvəl həmin ünvan bağlanmalıdır.

Ünvanları və dinləyiciləri sadalayın

Hər hansı dəyişiklik etməzdən əvvəl hostdakı ünvanları və hazırda mövcud olan soketləri qeyd edin.

ip -br addr
ss -ltnp | grep ':22'

Ünvan siyahısı hansı şəxsi ünvanın həqiqi olduğunu və hansı interfeysdə yerləşdiyini göstərir, soket siyahısı isə ona nəyinsə bağlanıb-bağlanmadığını göstərir. 0.0.0.0:22 üzərindəki dinləyici artıq hər ünvanı qəbul edir, ona görə də yeni bağlama heç nə əlavə etmir. Bir konkret ünvan üzərindəki dinləyici imtinanı dərhal izah edir. Əgər port daemona deyil, soket unitə aiddirsə, daemon konfiqurasiyası bütün hekayə deyil.

Bağlamanı əlavə edin və köhnəni saxlayın

OpenSSH bir neçə ListenAddress qeydini qəbul edir, ona görə də şəxsi yol əlavə olunarkən VPN yolu qala bilər. Faylı yenidən yükləməzdən əvvəl yoxlayın.

sshd -t
systemctl reload sshd

Uğursuz konfiqurasiya yoxlaması işləyən daemona toxunmur və sizin redaktə etdiyiniz yol üzərindən qoşulmuş halda istədiyiniz məhz budur. Mövcud qeydi saxlayın, yeni yerli ünvanı əlavə edin və xidmətin cari sessiyanı itirmədən yenidən yükləndiyini təsdiqləyin. Soketlə aktivləşdirilən quraşdırmalarda ünvanı əvəzində soket unitə əlavə edin və həmin uniti yenidən yükləyin. Sonra dinləyicilər siyahısını yenidən oxuyun, çünki heç vaxt görünməyən bağlama səhv komponentin redaktə edildiyini bildirir.

Yeni sessiyanı köhnəsini bağlamazdan əvvəl yoxlayın

Orijinal sessiya hələ açıq ikən yeni ünvana qoşulun və hansı ünvanın və açarın istifadə edildiyini görmək üçün ətraflı çıxışdan istifadə edin. Orijinal sessiyanı sınaq iki dəfə uğurlu olana qədər açıq saxlayın.

ssh -v [email protected]

Təyinat ünvanı və təqdim edilən host açarı üçün sazlama sətirlərini oxuyun. Host açarının barmaq izini artıq etibar etdiyiniz dəyərlə müqayisə edərək təsdiqləyin, şəbəkə şəxsi adlandırıldığı üçün naməlum açarı qəbul etməyin. Yeni təyinat öz known_hosts qeydini tələb edir və bu gözləniləndir. Köhnə idarəetmə sessiyası yalnız şəxsi yol işlədikdən sonra bağlanmalıdır.

SSH nəqli qoruyur, lakin iki şəbəkəni təcriddə ekvivalent etmir. Şəxsi keçidin etimadının məlumatlara uyğun olub-olmadığına ona güvənməzdən əvvəl qərar verin.