Pingek funtzionatzen du baina SSH-k huts egiten du VPN bidez: zein etapa hautsi da?
Saiakera zehatz batek TCP irisgarritasuna, SSH garraioa, ostalariaren identitatea, erabiltzailearen saio-hasiera eta saioaren baimena bereizten ditu, tunelari buruz asmatzeari uzteko.
Ping erantzunek eta ukatutako SSH saio-hasierak aldi berean egiazkoak izan daitezke, eta bikoteak ez du tunela salatzen. Oihartzun-erantzunek eta 22 porturako TCP konexioak hautatzaile desberdinak, politika desberdinak eta maiz helburu desberdinak dituzten proba desberdinak dira. Harrapatu SSH saiakera deliberatu bat, eta gero izenda ezazu iritsi zen azken etapa. Artefaktu bakar horrek dozena bat konfigurazio-aldaketa espekulatibo ordezkatzen ditu.
Harrapatu saiakera bat, ez sakatze-saio bat
Exekutatu bezeroa behin diagnostiko zehatzarekin, konexioaren partekatzea desgaituta eta konexio-denbora muga jakin batekin. Partekatzea desgaitzea garrantzitsua da, aurretik autentifikatutako konexio nagusi batek bestela erantzungo baitio saiakera berriari eta jazarri ari zaren hutsegitea ezkutatuko bailuke.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Mantendu helmuga, helbide-familia, denbora-zigilua eta azken errore ez-sekretua. IPv4 banderak esan nahi du saiakera honek ez duela ezer esaten izen bererako IPv6 bideari buruz, beraz ez orokortu hortik. Idatzi saiakera nondik egin zen. VPN atebideko egiaztapen bat ez da atzean dagoen eramangarri baten ikuspegi bera, eta txartel hauetan agertzen diren kontraesan gehienak biak nahastetik datoz.
Lehen eta bigarren etapak: TCP SSH baino lehen
Lehen muga socketaren irisgarritasuna da: helbide bat, portu bat eta paketeak benetan jarraitzen duen ibilbide bat. TCP konexioa sekula osatzen ez bada, oraindik ez da ezer existitzen haren gainean, eta ostalari-gakoak eta kontuak garrantzirik gabeak dira.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Lotu grabazioa bezeroaren saiakera. SYN bat ateratzen eta ezer itzultzen ez bada, iragazketara, hautatzailera edo beste aldeko ibilbide falta batera seinalatzen du; berrezarpen batekin erantzuteak aktiboki ukatzen duen zerbaiti seinalatzen dio, botatzen duenari beharrean. Bigarren muga SSH protokoloaren trukea bera da. Osatu eta gero gelditzen den TCP konexio batek irisgarritasuna gainditu du eta negoziazioan, zerbitzariaren erantzunean edo pakete-kudeaketan sartu da. Hori beste ikerketa bat da, eta hor da tamainarekin lotutako problemak lehen aldiz sinesgarri bihurtzen.
Hirugarren etapa: zein gakok erantzun zuen
Garraioa martxan dagoenean, bezeroak zerbitzariaren ostalari-gakoa egiaztatzen du. Hemengo ukoak identitateari buruzko baieztapena dira, ez kriptografiari buruzkoa: pareak zure politikak onartzen ez duen gako bat aurkeztu du. Hartu hau gelditze-baldintza gisa eta egiaztatu bandatik kanpo, kontsola edo ostalaria berreraiki zuen operadorearen bidez. Gogoratutako sarrera ezabatzea abisua garbitzeko da ukatu beharreko lasterbide bakarra, ezusteko zerbait erantzun izanaren froga suntsitzen duelako.
Ostalaria benetan berreraiki bazen, kendu erregistro zaharra hatz-marka berria baieztatu ondoren soilik, eta idatzi data eta arrazoia. Hurrengo ingeniariak abisu bera aurkituko du eta testuinguru hori behar du.
Laugarren eta bosgarren etapak: kontua baimenaren aurrez aurre
Autentifikazioa laugarren muga da. Ukatutako kredentzialek zerbitzariak saiakera ebaluatu eta ukatu zuela esan nahi dute; egiaztatu kontua, zerbitzariak onartzen duen kredentzial mota eta zerbitzariaren beraren politika, VPN pasahitza ez ezik. Bosgarren muga saio-hasiera arrakastatsuaren ondorengo baimena da. Autentifikatutako erabiltzaile bati oraindik ere ukatu ahal zaio shell bat, komando bat, azpisistema bat edo birbidalketa, eta uko horiek hutsegite itxura dute bezeroaren azken lerroa soilik irakurtzen duenarentzat.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Gelditu pasahitz-saiakera gutxi batzuk huts egin ondoren. Errepikatutako asmakizunek blokeoak sortzen dituzte, eta gero bigarren hutsegite ez-erlazionatu bat dirudite eta jatorrizko txartelak baino denbora gehiago kostatzen dute.
Itzultzea eta gordetzen duzun erregistroa
Aldatu gauza bat aldiko, eta idatzi zer aldatu zenuen berriro probatu aurretik. Aldaketa batek saiakera okertzen badu, berehala itzuli, gainean beste konponketa bat pilatu beharrean. Errepikatu jatorrizko eragiketa jatorrizko bezero eta testuingurutik. Makina desberdin batetik, helbide-familia desberdin batean, egindako saio-hasiera arrakastatsua ez da erreprodukzioa eta ez du konponketa frogatzen.
Garbitu partekatzen duzuna. Bezeroaren irteera zehatzak barne-izenak, kontu-etiketak, gako-bideak eta gako publikoen identifikatzaileak eraman ditzake, beraz argitaratu etapa arteko ondorioa, aztarna gordina beharrean.