SSH á öðrum einkaleið meðan VPN er áfram virkt

Ein vél nær í aðra um VPN, og einhver vill nú sama skeljarinn á einkaneti þjónustuaðila. Leiðin er til, ping tekst, en SSH neitar samt. Algengasta orsökin er að dæmoninn hlustaði aldrei á nýja fangið, svo ekkert er til að tengjast. Þetta er vandamál með bindingu fanga áður en það er eldveggsvandamál.

Hvers vegna ný leið býr ekki til nýjan hlustanda

Hlustandi sæti er búið til af ferli sem nefnir föngin sem það tekur við á. Leið segir pökkunum bara hvert á að fara; hún býr ekki til hlustanda á áfangastað. Þegar sshd er stillt með einu ListenAddress eru tengingar á önnur staðbundin föng hafnað jafnvel þótt tengið sé virkt. Sama gildir um sætiseiningu sem á portið, og þess vegna er fyrsta athugunin alltaf hvað er í raun að hlusta.

Berðu saman leiðirnar tvær eftir áfangafangi frekar en nafni tengis. Skjáborð tengist fangi, og það fang verður að vera bundið áður en nokkur eldveggsregla skiptir máli.

Skráðu föngin og hlustendurna

Áður en eitthvað er breytt skaltu skrá föngin á vélinni og sætin sem eru til núna.

ip -br addr
ss -ltnp | grep ':22'

Fangalistinn sýnir hvaða einkafang er raunverulegt og á hvaða tengi, en sætalistinn sýnir hvort eitthvað er bundið við það. Hlustandi á 0.0.0.0:22 tekur þegar við öllum föngum, svo ný binding bætir engu við. Hlustandi á einu tilteknu fangi útskýrir höfnunina strax. Ef portið tilheyrir sætiseiningu frekar en dæmonnum er stilling dæmonsins ekki öll sagan.

Bættu bindingu við og haltu þeirri gömlu

OpenSSH tekur við nokkrum ListenAddress færslum, svo VPN-leiðin getur haldist á meðan einkaleiðinni er bætt við. Prófaðu skrána áður en hún er endurhlaðin.

sshd -t
systemctl reload sshd

Misheppnuð stillingarprófun lætur keyrandi dæmoninn ósnortinn, og það er einmitt það sem þú vilt meðan þú ert tengdur um leiðina sem þú ert að breyta. Haltu núverandi færslu, bættu við nýja staðbundnu fanginu og staðfestu að þjónustan endurhleðst án þess að missa núverandi lotu. Á uppsetningum sem eru virkjaðar með sæti skaltu bæta fanginu við sætiseininguna í staðinn og endurhlaða þeirri einingu. Lestu svo hlustendalistann aftur, því binding sem birtist aldrei þýðir að rangri einingu var breytt.

Staðfestu nýju lotuna áður en gamla er lokað

Tengstu nýja fanginu meðan upprunalega lotan er enn opin, og notaðu ítarlegt úttak til að sjá hvaða fang og lykill voru notuð. Haltu upprunalegu lotunni opinni þar til prófunin tekst tvisvar.

ssh -v [email protected]

Lestu kembiforritssölsurnar fyrir áfangafangið og hýsillykilinn sem var kynntur. Staðfestu fingrafar hýsillykilsins við gildi sem þú treystir þegar, frekar en að samþykkja óþekktan lykil vegna þess að netið er sagt einkanet. Nýi áfangastaðurinn þarf sína eigin known_hosts færslu, og það er við eða vona. Aðeins þegar einkaleiðin virkar ætti að loka gömlu stjórnlotunni.

SSH verndar flutninginn, en það gerir tvö net ekki jafngild í einangrun. Ákveddu hvort traust einkaftransins passi við gögnin áður en þú treystir því.