Ping wurket, mar SSH mislearret oer de VPN: hokker stadium bruts?
Ien wiidweidige poging skiedt TCP-berikberens, SSH-transport, hostidentiteit, brûkersoanmelding en sesjetastimming, sadat jo ophâlde te rieden oer de tunnel.
Ping-antwurden en in wegere SSH-oanmelding kinne tagelyk wier wêze, en it pear belêstet de tunnel net. Echo-antwurden en in TCP-ferbining nei poarte 22 binne ferskate testen mei ferskate selektors, ferskate beliedsregels en faak ferskate bestimmingen. Lês ien bewuste SSH-poging fêst en beneam dan it lêste stadium dat it berikte. Dat iene artefakt ferfangt in tsiental spekulative konfiguraasjeferoarings.
Lês ien poging fêst, gjin sesje fan poke
Rin de klant ien kear mei wiidweidige diagnostyk, dielen fan ferbining útskeakele en in beheinde ferbiningstimeout. It útskeakeljen fan dielen is wichtich, want in earder autentisearre haadferbining sil oars foar de nije poging antwurdzje en de flater ferbergje dy't jo jeie.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Hâld de bestimming, adresfamylje, tiidstimpel en de lêste net-geheime flater. De IPv4-flagge betsjut ek dat dizze poging neat seit oer in IPv6-rûte nei deselde namme, dus generalisearje net dêrfan. Skriuw op wêr't de poging makke is. In kontrôle op de VPN-gateway is net itselde eachpunt as in laptop derachter, en de measte tsjinstridichheden yn dizze tickets komme fan it mingjen fan de beide.
Stadium ien en twa: TCP foar SSH
De earste grins is berikberens fan de socket: in adres, in poarte en in rûte dy't it pakket eins folget. As de TCP-ferbining nea foltôget, bestiet der noch neat boppe, en hostkaaien en akkounts binne net relevant.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Korrelearje de opname mei de klantpoging. In SYN dy't fuort giet en neat dat weromkomt wiist op filtering, selektors of in ûntbrekkende rûte oan 'e oare kant; in antwurd mei in reset wiist op eat dat aktyf wegeret ynstee fan te fallen. De twadde grins is de SSH-protokolútwikseling sels. In TCP-ferbining dy't foltôget en dan stôket, is foarby berikberens gien nei ûnderhanneling, serverantwurd of pakketferwurking. Dat is in oar ûndersyk, en dêr wurde grutte-relatearre problemen foar it earst oannimlik.
Stadium trije: wa syn kaai antwurde
As it transport oan is, ferifiearret de klant de hostkaai fan de server. In ôfwizing hjir is in útspraak oer identiteit, net oer kryptografy: de peer hat in kaai presintearre dy't jo belied net akseptearret. Behannelje dat as stopbetingst en ferifiearje bûten de bân, tsjin de konsole of de operator dy't de host werboude. It wiskjen fan de ûnthâlden ynfier om de warskôging te wiskjen is de iene flugge wei dy't jo wegerje moatte, want it fernielt it bewiis dat eat ûnferwachts antwurde.
As de host echt werboud is, ferwiderje it ferâldere ferslach pas neidat de nije fingerprint befêstige is, en notearje de datum en reden. De folgjende yngenieur sil deselde warskôging treffe en hat dy kontekst nedich.
Stadium fjouwer en fiif: akkount tsjin tastimming
Autentikaasje is de fjirde grins. In ôfwiisde oanmeldgegevens betsjutte dat de server de poging beoardiele en wegere; kontrolearje it akkount, it type oanmeldgegevens dat de server akseptearret, en it eigen belied fan de server ynstee fan it VPN-wachtwurd. De fyfde grins is autorisaasje nei in slagge oanmelding. In autentisearre brûker kin noch altyd in shell, in opdracht, in subsystem of trochstjoering wegere wurde, en dy ôfwizings lykje op flaters foar wa't allinnich de lêste rigel fan de klant lêst.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Stop nei in pear mislearre wachtwurdpogingen. Werhelle riedings meitsje blokkades dy't dan op in twadde, ûnferbânlike flater lykje en mear tiid kostje as it oarspronklike ticket.
Weromdraaie en it ferslach dat jo hâlde
Feroarje ien ding tagelyk, en skriuw op wat jo feroare hawwe foar't jo op 'e nij teste. As in feroaring de poging slimmer makket, draai it dan fuort werom ynstee fan noch in reparaasje derop te steapeljen. Werhelje de oarspronklike operaasje fan de oarspronklike klant en kontekst. In slagge oanmelding fan in oare masine, op in oare adresfamylje, is gjin reproduksje en bewiist de reparaasje net.
Sanearje wat jo diele. Wiidweidige klantútfier kin ynterne nammen, akkountlabels, kaaipaden en iepenbiere kaai-identifikators drage, dus publisearje de stadiumkonklúzje ynstee fan in rau spoar.