Το ping λειτουργεί αλλά το SSH αποτυγχάνει μέσω VPN: ποιο στάδιο έσπασε;
Μία λεπτομερής απόπειρα διαχωρίζει τη δυνατότητα πρόσβασης TCP, τη μεταφορά SSH, την ταυτότητα του κεντρικού υπολογιστή, τη σύνδεση χρήστη και την άδεια συνεδρίας, ώστε να σταματήσετε να μαντεύετε για τη σήραγγα.
Οι απαντήσεις ping και μια απορριφθείσα σύνδεση SSH μπορούν να ισχύουν ταυτόχρονα, και το ζεύγος δεν ενοχοποιεί τη σήραγγα. Οι ηχητικές απαντήσεις και μια σύνδεση TCP στη θύρα 22 είναι διαφορετικές δοκιμές με διαφορετικούς επιλογείς, διαφορετικές πολιτικές και συχνά διαφορετικούς προορισμούς. Καταγράψτε μία σκόπιμη απόπειρα SSH και μετά ονομάστε το τελευταίο στάδιο που έφτασε. Αυτό το μοναδικό τεκμήριο αντικαθιστά δώδεκα κερδοσκοπικές αλλαγές διαμόρφωσης.
Καταγράψτε μία απόπειρα, όχι μια συνεδρία τυχαίων δοκιμών
Εκτελέστε τον πελάτη μία φορά με λεπτομερή διαγνωστικά, απενεργοποιημένο διαμοιρασμό σύνδεσης και περιορισμένο χρονικό όριο σύνδεσης. Η απενεργοποίηση του διαμοιρασμού έχει σημασία, γιατί μια προηγουμένως πιστοποιημένη κύρια σύνδεση θα απαντήσει διαφορετικά για τη νέα απόπειρα και θα κρύψει τη βλάβη που κυνηγάτε.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Κρατήστε τον προορισμό, την οικογένεια διευθύνσεων, τη χρονική σήμανση και το τελικό μη απόρρητο σφάλμα. Η σημαία IPv4 σημαίνει επίσης ότι αυτή η απόπειρα δεν λέει τίποτα για μια διαδρομή IPv6 προς το ίδιο όνομα, οπότε μη γενικεύετε από αυτήν. Καταγράψτε από πού έγινε η απόπειρα. Ένας έλεγχος στην πύλη VPN δεν είναι η ίδια οπτική γωνία με ένα φορητό υπολογιστή πίσω της, και οι περισσότερες αντιφάσεις σε αυτά τα δελτία προέρχονται από την ανάμειξη των δύο.
Πρώτο και δεύτερο στάδιο: TCP πριν από το SSH
Το πρώτο όριο είναι η δυνατότητα πρόσβασης στην υποδοχή: μια διεύθυνση, μια θύρα και μια διαδρομή που ακολουθεί πραγματικά το πακέτο. Αν η σύνδεση TCP δεν ολοκληρωθεί ποτέ, τίποτα πάνω από αυτήν δεν υπάρχει ακόμη, και τα κλειδιά κεντρικού υπολογιστή και οι λογαριασμοί είναι άσχετα.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Συσχετίστε την καταγραφή με την απόπειρα του πελάτη. Ένα SYN που φεύγει και τίποτα που δεν επιστρέφει δείχνει φιλτράρισμα, επιλογείς ή μια διαδρομή που λείπει στην απέναντι πλευρά· μια απάντηση με επαναφορά δείχνει κάτι που αρνείται ενεργά αντί να απορρίπτει. Το δεύτερο όριο είναι η ίδια η ανταλλαγή του πρωτοκόλλου SSH. Μια σύνδεση TCP που ολοκληρώνεται και μετά κολλάει έχει περάσει τη δυνατότητα πρόσβασης και έχει μπει σε διαπραγμάτευση, απάντηση διακομιστή ή χειρισμό πακέτων. Αυτή είναι άλλη έρευνα, και εκεί τα προβλήματα που σχετίζονται με το μέγεθος γίνονται για πρώτη φορά πιθανά.
Τρίτο στάδιο: ποιο κλειδί απάντησε
Όταν η μεταφορά είναι ενεργή, ο πελάτης επαληθεύει το κλειδί κεντρικού υπολογιστή του διακομιστή. Μια απόρριψη εδώ είναι δήλωση για την ταυτότητα, όχι για την κρυπτογραφία: ο ομότιμος παρουσίασε ένα κλειδί που η πολιτική σας δεν δέχεται. Αντιμετωπίστε το ως συνθήκη διακοπής και επαληθεύστε εκτός ζώνης, μέσω της κονσόλας ή του χειριστή που ξανάχτισε τον κεντρικό υπολογιστή. Η διαγραφή της αποθηκευμένης εγγραφής για να καθαρίσει η προειδοποίηση είναι η μία συντόμευση που πρέπει να αρνηθείτε, γιατί καταστρέφει την απόδειξη ότι κάτι απάντησε απροσδόκητα.
Αν ο κεντρικός υπολογιστής πραγματικά ξαναχτίστηκε, αφαιρέστε την παλιά εγγραφή μόνο αφού επιβεβαιωθεί το νέο αποτύπωμα, και σημειώστε την ημερομηνία και τον λόγο. Ο επόμενος μηχανικός θα συναντήσει την ίδια προειδοποίηση και χρειάζεται αυτό το πλαίσιο.
Τέταρτο και πέμπτο στάδιο: λογαριασμός έναντι άδειας
Η πιστοποίηση είναι το τέταρτο όριο. Τα απορριφθέντα διαπιστευτήρια σημαίνουν ότι ο διακομιστής αξιολόγησε την απόπειρα και την απέρριψε· ελέγξτε τον λογαριασμό, τον τύπο διαπιστευτηρίων που δέχεται ο διακομιστής και την πολιτική του ίδιου του διακομιστή, όχι τον κωδικό πρόσβασης VPN. Το πέμπτο όριο είναι η εξουσιοδότηση μετά την επιτυχή σύνδεση. Σε έναν πιστοποιημένο χρήστη μπορεί να αρνηθεί ακόμη και ένα κέλυφος, μια εντολή, ένα υποσύστημα ή προώθηση, και αυτές οι αρνήσεις μοιάζουν με βλάβες σε όποιον διαβάζει μόνο την τελευταία γραμμή του πελάτη.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Σταματήστε μετά από δύο-τρεις αποτυχημένες απόπειρες κωδικού. Οι επαναλαμβανόμενες εικασίες δημιουργούν κλειδώματα που μετά μοιάζουν με δεύτερη, άσχετη βλάβη και κοστίζουν περισσότερο χρόνο από το αρχικό δελτίο.
Επαναφορά και το αρχείο που κρατάτε
Αλλάξτε ένα πράγμα τη φορά, και σημειώστε τι αλλάξατε πριν δοκιμάσετε ξανά. Αν μια αλλαγή κάνει την απόπειρα χειρότερη, επαναφέρετέ την αμέσως αντί να στοιβάξετε άλλη μια διόρθωση από πάνω. Επαναλάβετε την αρχική ενέργεια από τον αρχικό πελάτη και το αρχικό πλαίσιο. Μια επιτυχής σύνδεση από άλλο μηχάνημα, σε άλλη οικογένεια διευθύνσεων, δεν είναι αναπαραγωγή και δεν αποδεικνύει τη διόρθωση.
Καθαρίστε ό,τι μοιράζεστε. Η λεπτομερής έξοδος του πελάτη μπορεί να φέρει εσωτερικά ονόματα, ετικέτες λογαριασμών, διαδρομές κλειδιών και αναγνωριστικά δημόσιων κλειδιών, οπότε δημοσιεύστε το κατά στάδια συμπέρασμα αντί για ένα ακατέργαστο ίχνος.