Ping toimii mutta SSH epäonnistuu VPN:n yli: mikä vaihe hajosi?
Yksi yksityiskohtainen yritys erottaa TCP-tavoitettavuuden, SSH-siirron, isäntäkoneen identiteetin, käyttäjän kirjautumisen ja istunnon käyttöoikeuden, jotta voit lopettaa tunnelin arvailun.
Ping-vastaukset ja hylätty SSH-kirjautuminen voivat olla totta yhtä aikaa, eikä pari syytä tunnelia. Kaikuvastaukset ja TCP-yhteys porttiin 22 ovat eri testejä eri valitsimilla, eri käytännöillä ja usein eri kohteilla. Tallenna yksi tarkoituksellinen SSH-yritys ja nimeä sitten viimeinen vaihe, johon se pääsi. Se yksi artefakti korvaa tusinan spekulatiivisia kokoonpanomuutoksia.
Tallenna yksi yritys, ei kokeilujen istuntoa
Aja asiakas kerran yksityiskohtaisella diagnostiikalla, yhteyden jakaminen poistettuna ja rajatulla yhteysaikakatkaisulla. Jakamisen poistaminen on tärkeää, koska aiemmin todennettu pääyhteys vastaa muuten uuden yrityksen puolesta ja piilottaa sen vian, jota jahtaat.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Säilytä kohde, osoiteperhe, aikaleima ja viimeinen ei-salainen virhe. IPv4-lippu tarkoittaa myös, ettei tämä yritys kerro mitään IPv6-reitistä samaan nimeen, joten älä yleistä siitä. Kirjaa, mistä yritys tehtiin. VPN-yhdyskäytävällä tehty tarkistus ei ole sama näkökulma kuin sen takana oleva kannettava tietokone, ja useimmat näiden tikettien ristiriidat syntyvät kahden sekoittamisesta.
Vaiheet yksi ja kaksi: TCP ennen SSH:ta
Ensimmäinen raja on pistokkeen tavoitettavuus: osoite, portti ja reitti, jota paketti todella seuraa. Jos TCP-yhteys ei koskaan valmistu, sen yläpuolella ei vielä ole mitään, ja isäntäavaimet ja tilit ovat merkityksettömiä.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Korreloi tallenne asiakkaan yrityksen kanssa. Lähtevä SYN, johon ei palaa mitään, viittaa suodatukseen, valitsimiin tai puuttuvaan reittiin kaukopäässä; vastaus nollauksella viittaa johonkin, joka aktiivisesti hylkää pudottamisen sijaan. Toinen raja on itse SSH-protokollan vaihto. TCP-yhteys, joka valmistuu ja sitten pysähtyy, on ohittanut tavoitettavuuden ja siirtynyt neuvotteluun, palvelimen vastaukseen tai pakettien käsittelyyn. Se on toinen tutkimus, ja siinä kokoon liittyvät ongelmat tulevat ensi kertaa uskottaviksi.
Vaihe kolme: kenen avain vastasi
Kun siirto on pystyssä, asiakas varmistaa palvelimen isäntäavaimen. Hylkäys tässä on lausunto identiteetistä, ei salauksesta: vastapuoli esitti avaimen, jota käytäntösi ei hyväksy. Käsittele sitä pysäytys-ehtona ja varmista kaistan ulkopuolella, konsolin tai isännän uudelleen rakentaneen operaattorin kautta. Muistetun merkinnän poistaminen varoituksen poistamiseksi on ainoa pikanäppäin, joka kannattaa hylätä, koska se tuhoaa todisteen siitä, että jokin vastasi odottamatta.
Jos isäntä todella rakennettiin uudelleen, poista vanhentunut tietue vasta kun uusi sormenjälki on vahvistettu, ja merkitse päivämäärä ja syy. Seuraava insinööri kohtaa saman varoituksen ja tarvitsee sen kontekstin.
Vaiheet neljä ja viisi: tili vastaan käyttöoikeus
Todennus on neljäs raja. Hylätyt tunnistetiedot tarkoittavat, että palvelin arvioi yrityksen ja hylkäsi sen; tarkista tili, palvelimen hyväksymä tunnistetietotyyppi ja palvelimen oma käytäntö VPN-salasanaa ennemmin. Viides raja on valtuutus onnistuneen kirjautumisen jälkeen. Todennetulta käyttäjältä voidaan silti evätä kuori, komento, alijärjestelmä tai edelleenohjaus, ja ne kiellot näyttävät vioilta siltä, joka lukee vain asiakkaan viimeisen rivin.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Lopeta parin epäonnistuneen salasanayrityksen jälkeen. Toistuvat arvailut tuottavat lukituksia, jotka sitten näyttävät toiselta, erilliseltä vialta ja maksavat enemmän aikaa kuin alkuperäinen tiketti.
Peruutus ja pitämäsi kirjaus
Muuta yhtä asiaa kerrallaan ja kirjoita muistiin, mitä muutit, ennen kuin testaat uudelleen. Jos muutos pahentaa yritystä, peruuta se heti sen sijaan, että pinot vielä yksi korjaus päälle. Toista alkuperäinen toimenpide alkuperäisestä asiakkaasta ja kontekstista. Onnistunut kirjautuminen toisesta koneesta, toisessa osoiteperheessä, ei ole toisinto eikä todista korjausta.
Puhdista se, minkä jaat. Yksityiskohtainen asiakastuloste voi sisältää sisäisiä nimiä, tilitunnisteita, avainpolkuja ja julkisten avainten tunnisteita, joten julkaise vaiheittainen johtopäätös raa'an jäljen sijaan.