SSH dros ail lwybr preifat tra bo'r VPN yn dal i weithio

Mae un peiriant yn cyrraedd un arall dros VPN, ac mae rhywun nawr am gael yr un plisgyn dros rwydwaith preifat darparwr. Mae'r llwybr yn bodoli, mae'r ping yn llwyddo, ac mae SSH yn dal i wrthod. Y rheswm arferol yw na wrandawodd y daemon erioed ar y cyfeiriad newydd, felly nid oes dim i gysylltu ag ef. Problem rhwymo cyfeiriad yw hon cyn iddi fod yn broblem mur cadarn.

Pam nad yw llwybr newydd yn creu gwrandawr newydd

Mae proses yn creu soced gwrando, ac mae'r broses honno'n enwi'r cyfeiriadau y bydd yn eu derbyn. Mae llwybr ond yn dweud wrth becynnau ble i deithio; nid yw'n creu gwrandawr yn y cyrchfan. Pan fydd sshd wedi'i ffurfweddu ag un ListenAddress, gwrthodir cysylltiadau ag unrhyw gyfeiriad lleol arall hyd yn oed pan fo'r rhyngwyneb i fyny. Mae'r un peth yn wir am uned soced sy'n berchen ar y porth, a dyna pam mai'r prawf cyntaf yw beth sy'n gwrando mewn gwirionedd.

Cymharwch y ddau lwybr yn ôl cyfeiriad y cyrchfan yn hytrach nag enw'r rhyngwyneb. Mae cleient yn cysylltu â chyfeiriad, ac mae'n rhaid i'r cyfeiriad hwnnw fod wedi'i rwymo cyn i unrhyw reol mur cadarn fod yn berthnasol.

Rhestrwch y cyfeiriadau a'r gwrandawyr

Cyn golygu unrhyw beth, cofnodwch y cyfeiriadau ar y gwesteiwr a'r socedi sydd ohoni nawr.

ip -br addr
ss -ltnp | grep ':22'

Mae'r rhestr cyfeiriadau'n dangos pa gyfeiriad preifat sy'n real ac ar ba ryngwyneb, tra bo'r rhestr socedi'n dangos a oes rhywbeth wedi'i rwymo iddo. Mae gwrandawr ar 0.0.0.0:22 eisoes yn derbyn pob cyfeiriad, felly nid yw rhwymiad newydd yn ychwanegu dim. Mae gwrandawr ar un cyfeiriad penodol yn egluro'r gwrthodiad ar unwaith. Os yw'r porth yn perthyn i uned soced yn hytrach na'r daemon, nid ffurfweddiad y daemon yw'r stori gyfan.

Ychwanegwch y rhwymiad a chadwch yr hen un

Mae OpenSSH yn derbyn sawl cofnod ListenAddress, felly gall llwybr y VPN aros tra bo'r un preifat yn cael ei ychwanegu. Profwch y ffeil cyn ei hail-lwytho.

sshd -t
systemctl reload sshd

Mae prawf ffurfweddu sy'n methu yn gadael y daemon sy'n rhedeg yn gyfan, a dyna'n union a fynnwch tra bo chi'n gysylltiedig dros y llwybr rydych yn ei olygu. Cadwch y cofnod presennol, ychwanegwch y cyfeiriad lleol newydd, a chadarnhewch fod y gwasanaeth yn ail-lwytho heb ollwng y sesiwn gyfredol. Ar osodiadau sy'n cael eu gweithredu gan soced, ychwanegwch y cyfeiriad at yr uned soced yn lle hynny ac ail-lwythwch yr uned honno. Yna darllenwch y rhestr gwrandawyr eto, oherwydd mae rhwymiad na ymddangosodd erioed yn golygu mai'r gydran anghywir a olygwyd.

Gwiriwch y sesiwn newydd cyn cau'r hen un

Cysylltwch â'r cyfeiriad newydd tra bo'r sesiwn wreiddiol yn dal ar agor, gan ddefnyddio allbwn manwl i weld pa gyfeiriad a pha allwedd a ddefnyddiwyd. Cadwch y sesiwn wreiddiol ar agor nes i'r prawf lwyddo ddwywaith.

ssh -v [email protected]

Darllenwch y llinellau dadfygio am gyfeiriad y cyrchfan a'r allwedd gwesteiwr a gyflwynwyd. Cadarnhewch olion bysedd allwedd y gwesteiwr yn erbyn gwerth rydych yn ymddiried ynddo'n barod, yn hytrach na derbyn allwedd anhysbys am fod y rhwydwaith yn cael ei ddisgrifio fel un preifat. Mae angen cofnod known_hosts ei hun ar y cyrchfan newydd, ac mae hynny i'w ddisgwyl. Dim ond ar ôl i'r llwybr preifat weithio y dylid cau'r hen sesiwn rheoli.

Mae SSH yn diogelu'r cludiant, ond nid yw'n gwneud dwy rwydwaith yn gyfystyr ar eu pennau eu hunain. Penderfynwch a yw ymddiriedaeth y tramwyfa breifat yn cyd-fynd â'r data cyn dibynnu arni.