Oibríonn ping ach teipeann SSH thar an VPN: cén chéim a bhris?
Deighleann aon iarracht fhoclach amháin inrochtaineacht TCP, iompar SSH, féiniúlacht an óstaigh, logáil isteach an úsáideora agus cead an tseisiúin, ionas go stopfaidh tú ag buille faoi thuairim faoin tollán.
Is féidir freagraí ping agus logáil isteach SSH diúltaithe a bheith fíor ag an am céanna, agus ní chuireann an péire an tollán i leith. Is tástálacha éagsúla iad freagraí macalla agus nasc TCP chuig port 22 le roghnóirí éagsúla, beartais éagsúla agus go minic cinn scríbe éagsúla. Gabh aon iarracht SSH fhíorúil amháin, ansin ainmnigh an chéim dheireanach a shroich sí. Tagann an t-aon déantán sin in ionad dhosaen athruithe cumraíochta amhantrach.
Gabh iarracht amháin, ní seisiún de shocruithe
Rith an cliant uair amháin le diagnóisic fhoclach, roinnt naisc díchumasaithe agus teorainn ama naisc theoranta. Tá tábhacht le díchumasú roinnte toisc go bhfreagróidh nasc máistir a bhí fíordheimhnithe roimhe seo don iarracht nua agus go bhfolaíonn sé an mhainneachtain atá á lorg agat.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Coinnigh an ceann scríbe, an teaghlach seoltaí, an t-amhraseal agus an earráid dheiridh neamh-rúnda. Ciallaíonn an bhratach IPv4 freisin nach ndeir an iarracht seo aon rud faoi chonair IPv6 chuig an ainm céanna, mar sin ná déan ginearálú uirthi. Taifead cá ndearnadh an iarracht. Ní hé seiceáil ar gheata VPN an dearcadh céanna le ríomhaire glúine taobh thiar de, agus tagann an chuid is mó de na contrárthachtaí sna ticéid seo ón dá rud a mheascadh.
Céim a haon agus a dó: TCP roimh SSH
Is é an chéad teorainn inrochtaineacht an soicéid: seoladh, port agus bealach a leanann an paicéad i ndáiríre. Mura gcríochnaíonn an nasc TCP riamh, níl aon rud os a chionn fós, agus tá eochracha óstaigh agus cuntais neamhábhartha.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Comhchoibhnesaigh an ghafa leis an iarracht chliaint. Treoraíonn SYN ag imeacht agus aon rud ag filleadh ar scagadh, roghnóirí nó bealach atá ar iarraidh ar an taobh thall; treoraíonn freagra le hatógáil chuig rud a dhiúltaíonn go gníomhach in ionad a chaitheamh. Is é an dara teorainn malartú prótacail SSH féin. Tá nasc TCP a chríochnaíonn agus a stopann ansin tar éis inrochtaineachta agus tar éis dul isteach i gcaibidlíocht, freagra freastalaí nó láimhseáil paicéad. Is imscrúdú difriúil é sin, agus is ansin a éiríonn fadhbanna a bhaineann le méid inchreidte den chéad uair.
Céim a trí: cén eochair a d'fhreagair
Nuair a bhíonn an t-iompar suas, fíoraíonn an cliant eochair óstaigh an fhreastalaí. Is ráiteas faoi fhéiniúlacht é diúltú anseo, ní faoi chripteagrafaíocht: chuir an piara eochair i láthair nach nglacann do bheartas léi. Caith leis sin mar choinníoll stoptha agus fíoraigh lasmuigh den bhanda, i gcoinne an chonsóil nó an oibreora a atóg an t-óstach. Is é scriosadh an iontrála cuimhne chun an rabhadh a ghlanadh an t-aon aicearra ar cheart diúltú dó, mar scriosann sé an fhianaise gur fhreagair rud éigin gan choinne.
Má atógadh an t-óstach i ndáiríre, bain an taifead sean amach ach amháin tar éis an mhéarlorg nua a dheimhniú, agus tabhair faoi deara an dáta agus an chúis. Casfaidh an t-innealtóir seo chugainn ar an rabhadh céanna agus teastaíonn an comhthéacs sin uaidh.
Céim a ceathair agus a cúig: cuntas in aghaidh ceada
Is é fíordheimhniú an ceathrú teorainn. Ciallaíonn dintiúirí diúltaithe gur mheas an freastalaí an iarracht agus gur dhiúltaigh sé di; seiceáil an cuntas, an cineál dintiúirí a nglacann an freastalaí leis agus beartas an fhreastalaí féin seachas pasfhocal VPN. Is é an cúigiú teorainn údarú tar éis logála isteach rathúil. Is féidir shell, ordú, fochóras nó seoladh ar aghaidh a dhiúltú d'úsáideoir fíordheimhnithe fós, agus breathnaíonn na diúltuithe sin mar mhainneachtainí ar dhuine nach léann ach an líne dheireanach den chliant.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Stop tar éis cúpla iarracht pasfhocail theip. Cruthaíonn buille faoi thuairim arís agus arís eile glasanna a bhreathnaíonn ansin mar dhara locht neamhghaolmhar agus a chosnaíonn níos mó ama ná an ticéad bunaidh.
Aisghabháil agus an taifead a choinníonn tú
Athraigh rud amháin ag aon am, agus scríobh síos an rud a d'athraigh tú sula ndéanann tú ath-thástáil. Má dhéanann athrú an iarracht níos measa, aisiompaigh é láithreach in ionad ceartú eile a chruachadh air. Déan an oibríocht bhunaidh a athrá ón gcliant agus ón gcomhthéacs bunaidh. Ní atáirgeadh é logáil isteach rathúil ó mheaisín eile, ar theaghlach seoltaí eile, agus ní chruthaíonn sé an ceartú.
Glan an rud a roinneann tú. Is féidir le haschur foclach an chliaint ainmneacha inmheánacha, lipéid cuntais, cosáin eochrach agus aitheantóirí eochrach poiblí a iompar, mar sin foilsigh an chonclúid chéimnithe in ionad rian amh.