Ping-ը աշխատում է, բայց SSH-ը VPN-ի միջով ձախողվում է․ ո՞ր փուլն է կոտրվել։
Մեկ մանրամասն փորձը առանձնացնում է TCP հասանելիությունը, SSH տրանսպորտը, հոսթի ինքնությունը, օգտվողի մուտքը և սեսիայի թույլտվությունը, որպեսզի դադարեք գուշակել թունելի մասին։
Ping-ի պատասխանները և մերժված SSH մուտքը կարող են միաժամանակ ճիշտ լինել, և այդ զույգը չի մեղադրում թունելին։ Արձագանքման պատասխանները և 22 պորտին TCP միացումը տարբեր թեստեր են տարբեր ընտրիչներով, տարբեր քաղաքականություններով և հաճախ տարբեր նպատակակետերով։ Գրանցեք մեկ դիտավորյալ SSH փորձ, ապա անվանեք այն վերջին փուլը, որին այն հասավ։ Այդ մեկ արտեֆակտը փոխարինում է տասնյակ ենթադրական կոնֆիգուրացիայի փոփոխությունների։
Գրանցեք մեկ փորձ, ոչ թե խթանումների սեսիա
Գործարկեք հաճախորդը մեկ անգամ մանրամասն ախտորոշմամբ, միացման համօգտագործումը անջատված և սահմանափակ միացման ժամկետով։ Համօգտագործումն անջատելը կարևոր է, որովհետև նախկինում նույնականացված հիմնական միացումը հակառակ դեպքում կպատասխանի նոր փորձի փոխարեն և կթաքցնի այն խափանումը, որին հետևում եք։
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Պահեք նպատակակետը, հասցեների ընտանիքը, ժամանիշը և վերջին ոչ գաղտնի սխալը։ IPv4 դրոշը նաև նշանակում է, որ այս փորձը ոչինչ չի ասում նույն անվան IPv6 ուղու մասին, ուստի դրանից մի ընդհանրացրեք։ Գրանցեք, թե որտեղից է արվել փորձը։ VPN դարպասի վրա կատարված ստուգումը նույն տեսանկյունը չէ, ինչ դրա հետևում գտնվող նոթբուքը, և այս տոմսերում հակասությունների մեծ մասը գալիս է երկուսը խառնելուց։
Առաջին և երկրորդ փուլեր․ TCP՝ SSH-ից առաջ
Առաջին սահմանը սոքեթի հասանելիությունն է․ հասցե, պորտ և երթուղի, որին փաթեթն իրականում հետևում է։ Եթե TCP միացումը երբեք չի ավարտվում, դրա վերևում դեռ ոչինչ գոյություն չունի, և հոսթի բանալիներն ու հաշիվներն անտեղի են։
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Կապակցեք գրանցումը հաճախորդի փորձի հետ։ Ելնող SYN և ոչինչ չվերադարձող պատասխանը մատնանշում է զտում, ընտրիչներ կամ հեռավոր կողմում բացակայող երթուղի․ վերակայմամբ պատասխանը մատնանշում է մի բանի, որն ակտիվորեն մերժում է, այլ ոչ թե գցում։ Երկրորդ սահմանը հենց SSH արձանագրության փոխանակումն է։ TCP միացումը, որը ավարտվում և հետո կանգ է առնում, անցել է հասանելիությունը և մտել բանակցություն, սերվերի պատասխան կամ փաթեթների մշակում։ Դա այլ հետաքննություն է, և հենց այնտեղ են չափի հետ կապված խնդիրները առաջին անգամ հավանական դառնում։
Երրորդ փուլ․ ում բանալին պատասխանեց
Երբ տրանսպորտը բարձրացած է, հաճախորդը ստուգում է սերվերի հոսթի բանալին։ Այստեղ մերժումը հայտարարություն է ինքնության մասին, ոչ թե գաղտնագրության․ գործընկերը ներկայացրել է բանալի, որը ձեր քաղաքականությունը չի ընդունում։ Վերաբերվեք դրան որպես կանգառի պայման և ստուգեք շերտից դուրս՝ վահանակի կամ հոսթը վերակառուցած օպերատորի միջոցով։ Հիշված գրառումը ջնջելը՝ նախազգուշացումը մաքրելու համար, այն միակ կարճուղին է, որից պետք է հրաժարվել, քանի որ այն ոչնչացնում է ապացույցը, որ ինչ-որ բան անսպասելի պատասխանեց։
Եթե հոսթն իսկապես վերակառուցվել է, հին գրառումը հեռացրեք միայն նոր մատնահետքի հաստատումից հետո, և նշեք ամսաթիվն ու պատճառը։ Հաջորդ ինժեները կհանդիպի նույն նախազգուշացմանը և կարիք ունի այդ համատեքստին։
Չորրորդ և հինգերորդ փուլեր․ հաշիվն ընդդեմ թույլտվության
Նույնականացումը չորրորդ սահմանն է։ Մերժված հավատարմագրերը նշանակում են, որ սերվերը գնահատել է փորձը և մերժել այն․ ստուգեք հաշիվը, սերվերի ընդունած հավատարմագրի տեսակը և հենց սերվերի քաղաքականությունը՝ ոչ թե VPN գաղտնաբառը։ Հինգերորդ սահմանը լիազորումն է հաջող մուտքից հետո։ Նույնականացված օգտվողին դեռ կարող են մերժել shell, հրաման, ենթահամակարգ կամ փոխանցում, և այդ մերժումները խափանումների տեսք ունեն նրան, ով կարդում է միայն հաճախորդի վերջին տողը։
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Կանգ առեք մի քանի անհաջող գաղտնաբառի փորձից հետո։ Կրկնվող գուշակությունները ստեղծում են կողպումներ, որոնք հետո երևում են որպես երկրորդ՝ անկապ խափանում, և ավելի շատ ժամանակ են արժենում, քան սկզբնական տոմսը։
Հետադարձ և ձեր պահած գրառումը
Փոխեք մեկ բան միաժամանակ, և նախքան նորից փորձելը գրեք, թե ինչ եք փոխել։ Եթե փոփոխությունը վատացնում է փորձը, անմիջապես հետ վերցրեք այն՝ դրա վրա ևս մեկ ուղղում դիզելու փոխարեն։ Կրկնեք սկզբնական գործողությունը սկզբնական հաճախորդից և համատեքստից։ Այլ մեքենայից, այլ հասցեների ընտանիքում հաջող մուտքը վերարտադրություն չէ և չի ապացուցում ուղղումը։
Մաքրեք այն, ինչ կիսում եք։ Մանրամասն հաճախորդի արտադրանքը կարող է կրել ներքին անուններ, հաշիվների պիտակներ, բանալիների ուղիներ և հանրային բանալիների նույնացուցիչներ, ուստի հրապարակեք փուլային եզրակացությունը, ոչ թե հում հետք։