SSH toista yksityistä polkua pitkin VPN:n pysyessä päällä

Yksi kone tavoittaa toisen VPN:n yli, ja nyt joku haluaa saman kuoren palveluntarjoajan yksityisen verkon kautta. Reitti on olemassa, ping onnistuu ja SSH kieltäytyy silti. Tavallinen syy on, että taustaohjelma ei koskaan kuunnellut uudessa osoitteessa, joten mitään ei ole mihin yhdistää. Tämä on osoitteen sidonnan ongelma ennen kuin se on palomuurin ongelma.

Miksi uusi reitti ei luo uutta kuuntelijaa

Kuuntelevan pistokkeen luo prosessi, joka nimeää ne osoitteet, jotka se hyväksyy. Reitti vain kertoo paketeille, minne matkustaa; se ei luo kuuntelijaa kohteeseen. Kun sshd on määritetty yhdellä ListenAddress-arvolla, yhteydet mihin tahansa muuhun paikalliseen osoitteeseen hylätään, vaikka rajapinta olisi käytössä. Sama koskee pistokeyksikköä, joka omistaa portin, ja siksi ensimmäinen tarkistus on aina se, mikä tosiasiassa kuuntelee.

Vertaile kahta reittiä kohdeosoitteen eikä rajapinnan nimen perusteella. Asiakas yhdistää osoitteeseen, ja tuo osoite on sidottava ennen kuin millään palomuurisäännöllä on merkitystä.

Listaa osoitteet ja kuuntelijat

Ennen kuin muutat mitään, kirjaa isännän osoitteet ja pistokkeet, jotka ovat nyt olemassa.

ip -br addr
ss -ltnp | grep ':22'

Osoiteluettelo näyttää, mikä yksityinen osoite on todellinen ja millä rajapinnalla, kun taas pistokeluettelo näyttää, onko siihen sidottu jotain. Kuuntelija osoitteessa 0.0.0.0:22 hyväksyy jo kaikki osoitteet, joten uusi sidonta ei lisää mitään. Kuuntelija yhdessä tietyssä osoitteessa selittää hylkäyksen heti. Jos portti kuuluu pistokeyksikölle eikä taustaohjelmalle, taustaohjelman määritys ei ole koko tarina.

Lisää sidonta ja pidä vanha

OpenSSH hyväksyy useita ListenAddress-merkintöjä, joten VPN-reitti voi jäädä, kun yksityinen lisätään. Testaa tiedosto ennen sen uudelleenlatausta.

sshd -t
systemctl reload sshd

Epäonnistunut määritystesti jättää käynnissä olevan taustaohjelman koskemattomaksi, ja juuri sitä haluat, kun olet yhteydessä reitin kautta, jota muokkaat. Pidä olemassa oleva merkintä, lisää uusi paikallinen osoite ja varmista, että palvelu latautuu uudelleen menettämättä nykyistä istuntoa. Pistokeaktivoiduissa asennuksissa lisää osoite sen sijaan pistokeyksikköön ja lataa kyseinen yksikkö uudelleen. Lue sitten kuuntelijaluettelo uudelleen, sillä sidonta, joka ei koskaan ilmestynyt, tarkoittaa, että muokattiin väärää komponenttia.

Varmista uusi istunto ennen vanhan sulkemista

Yhdistä uuteen osoitteeseen, kun alkuperäinen istunto on vielä auki, ja käytä yksityiskohtaista tulostetta nähdäksesi, mitä osoitetta ja avainta käytettiin. Pidä alkuperäinen istunto auki, kunnes koe onnistuu kahdesti.

ssh -v [email protected]

Lue virheenjäljityksen rivit kohdeosoitteesta ja esitetystä isäntäavaimesta. Vahvista isäntäavaimen sormenjälki arvoon, johon jo luotat, sen sijaan että hyväksyisit tuntemattoman avaimen, koska verkko kuvataan yksityiseksi. Uusi kohde tarvitsee oman known_hosts-merkintänsä, ja se on odotettavaa. Vasta kun yksityinen reitti toimii, vanha hallintayhteys tulisi sulkea.

SSH suojaa siirron, mutta ei tee kahdesta verkosta keskenään samanarvoisia. Päätä, vastaako yksityisen läpikulun luottamus dataa, ennen kuin luotat siihen.