Mae ping yn gweithio ond mae SSH yn methu dros y VPN: pa gam a dorrodd?
Mae un ymgais fanwl yn gwahanu cyrhaeddiad TCP, cludiant SSH, hunaniaeth y gwesteiwr, mewngofnod y defnyddiwr a chaniatâd y sesiwn, fel y gallwch roi'r gorau i ddyfalu am y twnnel.
Gall atebion ping a mewngofnod SSH a wrthodwyd fod yn wir ar yr un pryd, ac nid yw'r pâr yn beio'r twnnel. Mae atebion eco a chysylltiad TCP i borth 22 yn brofion gwahanol â detholwyr gwahanol, polisïau gwahanol ac yn aml gyrochfannau gwahanol. Cofnodwch un ymgais SSH fwriadol, yna enwch y cam olaf y cyrhaeddodd. Mae'r un arteffact hwnnw'n disodli dwsin o newidiadau ffurfweddu dyfaliadol.
Cofnodwch un ymgais, nid sesiwn o brocio
Rhedwch y cleient unwaith gyda diagnosteg fanwl, rhannu cysylltiad wedi'i analluogi, a therfyn amser cysylltu cyfyngedig. Mae analluogi rhannu yn bwysig oherwydd bydd cysylltiad meistr a ddilyswyd yn flaenorol yn ateb ar ran yr ymgais newydd fel arall ac yn cuddio'r methiant rydych yn ei hel.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Cadwch y cyrchfan, y teulu cyfeiriad, y stamp amser a'r gwall olaf nad yw'n gyfrinach. Mae'r faner IPv4 hefyd yn golygu nad yw'r ymgais hon yn dweud dim am lwybr IPv6 i'r un enw, felly peidiwch â chyffredinoli ohoni. Cofnodwch o ble y gwnaed yr ymgais. Nid yw gwiriad ar giatwy'r VPN yr un safbwynt â gliniadur y tu ôl iddo, a daw'r rhan fwyaf o'r gwrthddywediadau yn y ticedi hyn o gymysgu'r ddau.
Camau un a dau: TCP cyn SSH
Y ffin gyntaf yw cyrhaeddiad y soced: cyfeiriad, porth a llwybr y mae'r pecyn yn ei ddilyn mewn gwirionedd. Os na fydd y cysylltiad TCP byth yn cwblhau, nid oes unrhyw beth uwch ei ben yn bodoli eto, ac mae allweddi gwesteiwr a chyfrifon yn amherthnasol.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Cydberthnwch y cofnod â'r ymgais cleient. Mae SYN yn gadael a dim yn dychwelyd yn awgrymu hidlo, detholwyr neu lwybr coll ar yr ochr bell; mae ateb gyda ailosodiad yn awgrymu rhywbeth sy'n gwrthod yn weithredol yn hytrach nag yn gollwng. Yr ail ffin yw cyfnewid protocol SSH ei hun. Mae cysylltiad TCP sy'n cwblhau ac yna'n stelcio wedi mynd heibio cyrhaeddiad i mewn i drafodaeth, ymateb gweinydd neu drin pecynnau. Ymchwiliad gwahanol yw hwnnw, a dyna lle mae problemau'n ymwneud â maint yn dod yn gredadwy gyntaf.
Trydydd cam: pa allwedd a atebodd
Unwaith y bydd y cludiant i fyny, mae'r cleient yn gwirio allwedd gwesteiwr y gweinydd. Mae gwrthodiad yma yn ddatganiad am hunaniaeth, nid am grifftograffeg: cyflwynodd y cymar allwedd nad yw eich polisi yn ei derbyn. Triniwch hynny fel amod stopio a gwiriwch y tu allan i'r band, yn erbyn y consol neu'r gweithredwr a ailadeiladodd y gwesteiwr. Mae dileu'r cofnod a gofir i glirio'r rhybudd yn unig ffordd fyr i'w gwrthod, oherwydd mae'n dinistrio'r dystiolaeth bod rhywbeth wedi ateb yn annisgwyl.
Os cafodd y gwesteiwr ei ailadeiladu mewn gwirionedd, tynnwch y cofnod hen ffasiwn dim ond ar ôl i'r olion bysedd newydd gael ei gadarnhau, a nodwch y dyddiad a'r rheswm. Bydd y peiriannydd nesaf yn cwrdd â'r un rhybudd ac mae angen y cyd-destun hwnnw.
Pedwerydd a phumed cam: cyfrif yn erbyn caniatâd
Dilysu yw'r bedwaredd ffin. Mae manylion ymchwil a wrthodwyd yn golygu bod y gweinydd wedi gwerthuso'r ymgais ac wedi'i gwrthod; gwiriwch y cyfrif, y math o fanylion y mae'r gweinydd yn eu derbyn, a pholisi'r gweinydd ei hun yn hytrach na chyfrinair y VPN. Y bumed ffin yw awdurdodi ar ôl mewngofnod llwyddiannus. Gall defnyddiwr dilys o hyd gael ei wrthod rhag cragen, gorchymyn, is-system neu anfon ymlaen, ac mae'r gwrthodiadau hynny'n edrych fel methiannau i rywun sy'n darllen dim ond llinell olaf y cleient.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Stopiwch ar ôl cwpl o ymdrechion cyfrinair aflwyddiannus. Mae dyfalu dro ar ôl tro yn cynhyrchu cloeon sydd wedyn yn edrych fel ail fethiant annibynnol, ac yn costio mwy o amser na'r ticed gwreiddiol.
Troi'n ôl a'r cofnod rydych yn ei gadw
Newidiwch un peth ar y tro, ac ysgrifennwch beth a newidiasoch cyn ailbrofi. Os yw newid yn gwneud yr ymgais yn waeth, dychwelwch ef ar unwaith yn hytrach na pheli arall o atgyweiriad ar ei ben. Ailadroddwch y llawdriniaeth wreiddiol o'r cleient a'r cyd-destun gwreiddiol. Nid yw mewngofnod llwyddiannus o beiriant gwahanol, ar deulu cyfeiriad gwahanol, yn atgynhyrchiad ac nid yw'n profi'r atgyweiriad.
Glanhewch yr hyn a rannwch. Gall allbwn cleient fanwl gynnwys enwau mewnol, labeli cyfrif, llwybrau allwedd a dynodwyr allwedd cyhoeddus, felly cyhoeddwch y casgliad fesul cam yn hytrach na thrywydd crai.