SSH μέσω δεύτερης ιδιωτικής διαδρομής όσο το VPN παραμένει ενεργό

Ένα μηχάνημα φτάνει ένα άλλο μέσω VPN, και τώρα κάποιος θέλει το ίδιο κέλυφος μέσω του ιδιωτικού δικτύου ενός παρόχου. Η διαδρομή υπάρχει, το ping πετυχαίνει, και το SSH εξακολουθεί να αρνείται. Η συνήθης αιτία είναι ότι ο δαίμονας δεν άκουσε ποτέ στη νέα διεύθυνση, οπότε δεν υπάρχει τίποτα στο οποίο να συνδεθεί κανείς. Αυτό είναι πρόβλημα δέσμευσης διεύθυνσης πριν γίνει πρόβλημα τείχους προστασίας.

Γιατί μια νέα διαδρομή δεν δημιουργεί νέο ακροατή

Ένας ακροατής υποδοχής δημιουργείται από μια διεργασία που ονομάζει τις διευθύνσεις που θα δεχτεί. Η διαδρομή λέει μόνο στα πακέτα πού να ταξιδέψουν· δεν δημιουργεί ακροατή στον προορισμό. Όταν το sshd έχει ρυθμιστεί με ένα μόνο ListenAddress, οι συνδέσεις προς οποιαδήποτε άλλη τοπική διεύθυνση απορρίπτονται ακόμη και αν η διεπαφή είναι ενεργή. Το ίδιο ισχύει για μια μονάδα υποδοχής που κατέχει τη θύρα, γι' αυτό ο πρώτος έλεγχος είναι πάντα τι ακούει πραγματικά.

Συγκρίνετε τις δύο διαδρομές με βάση τη διεύθυνση προορισμού και όχι το όνομα της διεπαφής. Ένας πελάτης συνδέεται σε μια διεύθυνση, και αυτή η διεύθυνση πρέπει να είναι δεσμευμένη πριν αποκτήσει σημασία οποιοσδήποτε κανόνας τείχους προστασίας.

Καταγράψτε τις διευθύνσεις και τους ακροατές

Πριν αλλάξετε οτιδήποτε, καταγράψτε τις διευθύνσεις στον κεντρικό υπολογιστή και τις υποδοχές που υπάρχουν τώρα.

ip -br addr
ss -ltnp | grep ':22'

Η λίστα διευθύνσεων δείχνει ποια ιδιωτική διεύθυνση είναι πραγματική και σε ποια διεπαφή, ενώ η λίστα υποδοχών δείχνει αν κάτι είναι δεσμευμένο σε αυτήν. Ένας ακροατής στο 0.0.0.0:22 δέχεται ήδη κάθε διεύθυνση, οπότε μια νέα δέσμευση δεν προσθέτει τίποτα. Ένας ακροατής σε μία συγκεκριμένη διεύθυνση εξηγεί αμέσως την άρνηση. Αν η θύρα ανήκει σε μονάδα υποδοχής και όχι στον δαίμονα, η ρύθμιση του δαίμονα δεν είναι η όλη ιστορία.

Προσθέστε τη δέσμευση και κρατήστε την παλιά

Το OpenSSH δέχεται πολλές καταχωρίσεις ListenAddress, οπότε η διαδρομή VPN μπορεί να μείνει όσο προστίθεται η ιδιωτική. Δοκιμάστε το αρχείο πριν το φορτώσετε ξανά.

sshd -t
systemctl reload sshd

Μια αποτυχημένη δοκιμή ρύθμισης αφήνει τον δαίμονα που εκτελείται ανέπαφο, και αυτό ακριβώς θέλετε όσο είστε συνδεδεμένοι μέσω της διαδρομής που επεξεργάζεστε. Κρατήστε την υπάρχουσα καταχώριση, προσθέστε τη νέα τοπική διεύθυνση και επιβεβαιώστε ότι η υπηρεσία επαναφορτώνεται χωρίς να χάσει την τρέχουσα συνεδρία. Σε εγκαταστάσεις με ενεργοποίηση υποδοχής, προσθέστε τη διεύθυνση στη μονάδα υποδοχής και επαναφορτώστε αυτή τη μονάδα. Έπειτα διαβάστε ξανά τη λίστα ακροατών, γιατί μια δέσμευση που δεν εμφανίστηκε ποτέ σημαίνει ότι επεξεργάστηκε το λάθος στοιχείο.

Επαληθεύστε τη νέα συνεδρία πριν κλείσετε την παλιά

Συνδεθείτε στη νέα διεύθυνση όσο η αρχική συνεδρία είναι ακόμη ανοιχτή, χρησιμοποιώντας αναλυτική έξοδο για να δείτε ποια διεύθυνση και ποιο κλειδί χρησιμοποιήθηκαν. Κρατήστε την αρχική συνεδρία ανοιχτή μέχρι η δοκιμή να πετύχει δύο φορές.

ssh -v [email protected]

Διαβάστε τις γραμμές αποσφαλμάτωσης για τη διεύθυνση προορισμού και το κλειδί κεντρικού υπολογιστή που παρουσιάστηκε. Επαληθεύστε το αποτύπωμα του κλειδιού με μια τιμή που ήδη εμπιστεύεστε, αντί να δεχτείτε ένα άγνωστο κλειδί επειδή το δίκτυο χαρακτηρίζεται ιδιωτικό. Ο νέος προορισμός χρειάζεται δική του καταχώριση known_hosts, και αυτό είναι αναμενόμενο. Μόνο αφού λειτουργήσει η ιδιωτική διαδρομή θα πρέπει να κλείσει η παλιά συνεδρία διαχείρισης.

Το SSH προστατεύει τη μεταφορά, αλλά δεν κάνει δύο δίκτυα ισοδύναμα από μόνο του. Αποφασίστε αν η εμπιστοσύνη της ιδιωτικής διέλευσης ταιριάζει με τα δεδομένα πριν βασιστείτε σε αυτήν.