Ping funkcias sed SSH malsukcesas tra la VPN: kiu etapo rompiĝis?
Unu detala provo apartigas TCP-atingeblecon, SSH-transporton, gastigan identecon, saluton de uzanto kaj permeson de sesio, por ke vi ĉesu konjekti pri la tunelo.
Ping-respondoj kaj rifuzita SSH-saluto povas ambaŭ esti veraj samtempe, kaj la paro ne kulpigas la tunelon. Eĥaj respondoj kaj TCP-konekto al pordo 22 estas malsamaj testoj kun malsamaj selektiloj, malsamaj politikoj kaj ofte malsamaj celoj. Registru unu intencan SSH-provon, poste nomu la lastan etapon, kiun ĝi atingis. Tiu ununura artefakto anstataŭas dekduon da spekulativaj agordaj ŝanĝoj.
Registru unu provon, ne sesion da pikadoj
Rulu la klienton unufoje kun detala diagnostiko, malŝaltita kunhavigo de konekto kaj limigita konekta tempolimo. Malŝalti kunhavigon gravas, ĉar antaŭe aŭtentigita ĉefa konekto alie respondos por la nova provo kaj kaŝos la fiaskon, kiun vi ĉasas.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Konservu la celon, adresan familion, tempostampon kaj la finan ne-sekretan eraron. La IPv4-flago ankaŭ signifas, ke ĉi tiu provo diras nenion pri IPv6-vojo al la sama nomo, do ne ĝeneraligu el ĝi. Notu, de kie la provo estis farita. Kontrolo sur la VPN-enirejo ne estas la sama vidpunkto kiel tekokomputilo malantaŭ ĝi, kaj la plej multaj kontraŭdiroj en ĉi tiuj biletoj venas de miksado de la du.
Unua kaj dua etapoj: TCP antaŭ SSH
La unua limo estas atingebleco de la ingo: adreso, pordo kaj vojo, kiun la paketo efektive sekvas. Se la TCP-konekto neniam kompletiĝas, nenio super ĝi ankoraŭ ekzistas, kaj gastigaj ŝlosiloj kaj kontoj estas nerelevantaj.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Koreligu la registraĵon kun la klienta provo. SYN foriranta kaj nenio revenanta indikas filtradon, selektilojn aŭ mankan vojon ĉe la malproksima flanko; respondo kun restarigo indikas ion, kio aktive rifuzas anstataŭ forĵeti. La dua limo estas la SSH-protokola interŝanĝo mem. TCP-konekto, kiu kompletiĝas kaj poste stagnas, pasis atingeblecon kaj eniris negocadon, servilan respondon aŭ paketan traktadon. Tio estas alia esploro, kaj tie problemoj rilataj al grandeco unuafoje fariĝas kredindaj.
Tria etapo: kies ŝlosilo respondis
Kiam la transporto estas funkcianta, la kliento kontrolas la gastigan ŝlosilon de la servilo. Rifuzo ĉi tie estas aserto pri identeco, ne pri kriptografio: la samtavolano prezentis ŝlosilon, kiun via politiko ne akceptas. Traktu tion kiel haltkondiĉon kaj kontrolu ekster la kanalo, per la konzolo aŭ kun la funkciigisto, kiu rekonstruis la gastiganton. Forigi la memoritan enskribon por forigi la averton estas la sola fuĝvojo, kiun oni devus rifuzi, ĉar ĝi detruas la pruvon, ke io respondis neatendite.
Se la gastiganto vere estis rekonstruita, forigu la malnovan rikordon nur post kiam la nova fingrospuro estas konfirmita, kaj notu la daton kaj kialon. La sekva inĝeniero renkontos la saman averton kaj bezonas tiun kuntekston.
Kvara kaj kvina etapoj: konto kontraŭ permeso
Aŭtentigo estas la kvara limo. Rifuzitaj akreditaĵoj signifas, ke la servilo taksis la provon kaj rifuzis ĝin; kontrolu la konton, la tipon de akreditaĵoj, kiujn la servilo akceptas, kaj la propran politikon de la servilo anstataŭ la VPN-pasvorton. La kvina limo estas rajtigo post sukcesa saluto. Aŭtentigita uzanto ankoraŭ povas esti rifuzita ŝelon, komandon, subsistemon aŭ plusendadon, kaj tiuj rifuzoj aspektas kiel fiaskoj al iu, kiu legas nur la lastan linion de la kliento.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Haltu post kelkaj malsukcesaj pasvortaj provoj. Ripetaj konjektoj kreas ŝlosadojn, kiuj poste aspektas kiel dua, nerilata fiasko kaj kostas pli da tempo ol la origina bileto.
Retroigo kaj la rikordo, kiun vi konservas
Ŝanĝu unu aferon samtempe, kaj skribu, kion vi ŝanĝis antaŭ ol retesti. Se ŝanĝo malbonigas la provon, tuj malfaru ĝin anstataŭ staki alian riparon sur ĝin. Ripetu la originan operacion de la origina kliento kaj kunteksto. Sukcesa saluto de alia maŝino, en alia adresa familio, ne estas reproduktaĵo kaj ne pruvas la riparon.
Sanigu tion, kion vi dividas. Detala klienta eligo povas porti internajn nomojn, kontajn etikedojn, ŝlosilajn vojojn kaj publikajn ŝlosilajn identigilojn, do publikigu la laŭetapan konkludon anstataŭ krudan spuron.