SSH ez da entzuten berrabiarazi ondoren: VPN helbidea berandu iristen da

Konfigurazioan SSH tunel-helbidera lotzen duzu, funtzionatzen du, eta hurrengo berrabiaraztearen ondoren inork ezin du saioa hasi norbaitek zerbitzua eskuz berrabiarazi arte. Kredentzialak ez dira arazoa. Demonioak kernelari oraingoz existitzen ez zen helbide bat eskatu zion, lotzeak huts egin zuen, eta mezua abiarazte-erregistroan zehar pasatu zen. Autentifikazio-arazo dirudienak abiarazte-ordena arazoa da.

Zer esaten du benetan lotze-erroreak

Entzuten ari den socket bat une horretan existitzen den helbide batean sortu behar da. VPN interfazea geroago agertzen denean, soilik tunel-helbidera lotzeko konfiguratuta dagoen demonioak ez du ezer atxikitzeko. Konfigurazioa sintaktikoki baliozkoa izaten jarraitzen du; ingurunea ez zegoen prest, besterik gabe. Eskuzko abiaraztetik dabilen zerbitzu batek ez du inoiz abiarazte-bidea egiten, eta horregatik akatsa hurrengo berrabiaraztean bakarrik agertzen da. Konparatu lotzeak huts egiteko denbora-marka helbide-esleipenaren denbora-markarekin, eta ordena begibistakoa bihurtzen da.

Konfigurazioaren baliozkotasuna eta exekuzio-denboreko prestutasuna propietate bereiziak dira. Probatu biak, horietako bat ezer esan gabe huts egiten baitu.

Zein prozesuk du ataka

Demonioa ez da beti entzulea sortzen duen osagaia. Socket aktibazioak erantzukizun hori unitate batera eramaten du, eta orduan demonioa berrabiarazteak ez du ezer aldatzen.

ss -ltnp 'sport = :22'
systemctl cat ssh.socket

Socket zerrendak erakusten du zein prozesuk duen ataka eta zein helbidetan, unitatearen irteerak berriz socket unitaterik existitzen den erakusten du. Aktibazioa jokoan dagoenean, helbidea socket unitatearena da eta demonioaren fitxategia ez da autoritatea. Irakurri abiarazte-erregistroa benetako lotze-errorearen bila, sintomatik ondorioztatu beharrean. Socket unitate bat falta izateak antolamendu klasikoa esan nahi du soilik, demonioa zuzenean lotzen denekoa.

Egin prestutasuna esplizitua, ez lo

Atzerapen finkoa hardware azkarra eta sare motelekin berdin jokatzen duen ustea da. Adierazi menpekotasuna horren ordez: itxaron helbidea, eta gero abiarazi.

ip -4 addr show dev tun0
systemctl edit ssh.service

Gehitu ExecStartPre komando bat helbidea agertu arte errepikatzen dena, edo ordenatu unitatea interfazearen jabe den sare-helburu zehatzaren ondoren. Bi ikuspeviek menpekotasuna hurrengo administratzaileak irakur dezakeen lekuan erregistratzen dute. Begiztak denbora-muga bat behar du, bestela VPN huts batek zintzilik dagoen unitate bat uzten du akatsa jakinarazi beharrean. Ondoren egiaztatu demonioak tunel-helbidea lotzen duela eta interfaze arruntak zure iragazki-arauen menpe jarraitzen duela.

Probatu abiarazte garbi bat eta berriro konektatze bat

Dena linean dagoenean eskuzko berrabiarazte batek ez du ezer frogatzen abiarazte-ordenari buruz. Berrabiarazi makina tunela automatikoki altxatzeko konfiguratuta eta behatu entzulea esku-hartzerik gabe agertzen den.

systemctl status ssh.service
ss -ltnp 'sport = :22'

Gero bota eta berrezarri tunela, konexio berri batek helbidea alda baitezake eta kode gogorreko lotura batek ez baitio jarraituko. Mantendu banda kanpoko berreskuratze-bide bat probetan, ordena-aldaketa txar batek hostetik kanpo utz ez zaitzan.

Arrakasta-irizpidea bere dokumentatutako menpekotasunaren pean agertzen den entzulea da, eta ez norbaitek berrabiaraztea gogoratu zuen bat.