Ping მუშაობს, მაგრამ SSH VPN-ით ვერ მუშაობს: რომელი ეტაპი გატყდა?
ერთი დეტალური მცდელობა ჰყოფს TCP ხელმისაწვდომობას, SSH ტრანსპორტს, ჰოსტის იდენტობას, მომხმარებლის შესვლას და სესიის ნებართვას, რათა შეწყვიტოთ გამოცნობა გვირაბზე.
Ping-ის პასუხები და უარყოფილი SSH შესვლა ერთდროულად შეიძლება იყოს ჭეშმარიტი, და ეს წყვილი გვირაბს არ ადანაშაულებს. ექოს პასუხები და TCP კავშირი პორტ 22-თან განსხვავებული ტესტებია განსხვავებული სელექტორებით, განსხვავებული პოლიტიკებით და ხშირად განსხვავებული დანიშნულებებით. ჩაიწერეთ ერთი განზრახ SSH მცდელობა, შემდეგ დაასახელეთ ბოლო ეტაპი, რომელსაც ის მიაღწია. ეს ერთი არტეფაქტი ცვლის ათეულ სპეკულაციურ კონფიგურაციის ცვლილებას.
ჩაიწერეთ ერთი მცდელობა, და არა ბევრჯერ ჩხვლეტის სესია
გაუშვით კლიენტი ერთხელ დეტალური დიაგნოსტიკით, კავშირის გაზიარებით გამორთული და შეზღუდული კავშირის დროის ლიმიტით. გაზიარების გამორთვა მნიშვნელოვანია, რადგან ადრე ავთენტიფიცირებული მთავარი კავშირი სხვაგვარად უპასუხებს ახალ მცდელობას და დამალავს იმ ხარვეზს, რომელსაც თვალს ადევნებთ.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]შეინახეთ დანიშნულება, მისამართების ოჯახი, დროის ნიშა და ბოლო არასაიდუმლო შეცდომა. IPv4 დროშა ასევე ნიშნავს, რომ ეს მცდელობა არაფერს ამბობს იმავე სახელის IPv6 მარშრუტზე, ამიტომ ნუ განაზოგადებთ მისგან. ჩაწერეთ, საიდან გაკეთდა მცდელობა. VPN-ის კარიბჭეზე შემოწმება არ არის იგივე თვალსაზრისი, რაც მის უკან მდგარი ლეპტოპი, და ამ ბილეთებში წინააღმდეგობათა უმეტესობა ორივის შერევიდან მოდის.
პირველი და მეორე ეტაპი: TCP SSH-მდე
პირველი ზღვარია სოკეტის ხელმისაწვდომობა: მისამართი, პორტი და მარშრუტი, რომელსაც პაკეტი რეალურად მიჰყვება. თუ TCP კავშირი არასდროს სრულდება, მის ზემოთ ჯერ არაფერი არსებობს, და ჰოსტის გასაღებები და ანგარიშები უმნიშვნელოა.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'დააკავშირეთ ჩანაწერი კლიენტის მცდელობასთან. გამავალი SYN და არაფრის დაბრუნება მიუთითებს ფილტრაციაზე, სელექტორებზე ან შორეულ მხარეს დაკარგულ მარშრუტზე; გადატვირთვით პასუხი მიუთითებს იმაზე, რაც აქტიურად უარყოფს და არა აგდებს. მეორე ზღვარი თავად SSH პროტოკოლის გაცვლაა. TCP კავშირი, რომელიც სრულდება და შემდეგ ჩერდება, გადაცილდა ხელმისაწვდომობას და შევიდა მოლაპარაკებაში, სერვერის პასუხში ან პაკეტების დამუშავებაში. ეს სხვა გამოძიებაა, და სწორედ იქ ხდება ზომასთან დაკავშირებული პრობლემები პირველად სარწმუნო.
მესამე ეტაპი: რომლის გასაღებმა უპასუხა
როცა ტრანსპორტი აწეულია, კლიენტი ამოწმებს სერვერის ჰოსტის გასაღებს. აქ უარი იდენტობაზეა განცხადება და არა კრიპტოგრაფიაზე: პარტნიორმა წარმოადგინა გასაღები, რომელსაც თქვენი პოლიტიკა არ იღებს. მოეპყარით ამას გაჩერების პირობად და გადაამოწმეთ ზოლის გარეთ, კონსოლის ან ჰოსტის ხელახლა აშენებული ოპერატორის მეშვეობით. დამახსოვრებული ჩანაწერის წაშლა გაფრთხილების მოსაშორებლად ერთადერთი მოკლე გზაა, რომელზეც უნდა თქვათ უარი, რადგან ის ანადგურებს მტკიცებულებას, რომ რაღაც მოულოდნელად უპასუხა.
თუ ჰოსტი მართლაც ხელახლა აშენდა, წაშალეთ ძველი ჩანაწერი მხოლოდ ახალი თითის ანაბეჭდის დადასტურების შემდეგ, და ჩაწერეთ თარიღი და მიზეზი. შემდეგი ინჟინერი იმავე გაფრთხილებას შეხვდება და მას ეს კონტექსტი სჭირდება.
მეოთხე და მეხუთე ეტაპი: ანგარიში ნებართვის წინააღმდეგ
ავთენტიფიკაცია მეოთხე ზღვარია. უარყოფილი რწმუნებები ნიშნავს, რომ სერვერმა მცდელობა შეაფასა და უარყო; შეამოწმეთ ანგარიში, რწმუნების ტიპი, რომელსაც სერვერი იღებს და თავად სერვერის პოლიტიკა, და არა VPN პაროლი. მეხუთე ზღვარი წარმატებული შესვლის შემდეგ ავტორიზაციაა. ავთენტიფიცირებულ მომხმარებელს მაინც შეიძლება უარყონ ჭურვი, ბრძანება, ქვესისტემა ან გადაგზავნა, და ეს უარები ხარვეზებად გამოიყურება მათთვის, ვინც მხოლოდ კლიენტის ბოლო სტრიქონს კითხულობს.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
გაჩერდით რამდენიმე წარუმატებელი პაროლის მცდელობის შემდეგ. განმეორებული გამოცნობები ქმნის ბლოკირებებს, რომლებიც შემდეგ მეორე, დაუკავშირებელ ხარვეზად გამოიყურება და უფრო მეტ დროს ხარჯავს, ვიდრე საწყისი ბილეთი.
უკან დაბრუნება და ჩანაწერი, რომელსაც ინახავთ
ერთდროულად შეცვალეთ ერთი რამ, და სანამ ხელახლა ტესტავთ, ჩაწერეთ რა შეცვალეთ. თუ ცვლილება მცდელობას აუარესებს, დაუყოვნებლივ დააბრუნეთ ის, ნაცვლად იმისა, რომ კიდევ ერთი შესწორება დააწყოთ მასზე. გაიმეორეთ საწყისი ოპერაცია საწყისი კლიენტიდან და კონტექსტიდან. წარმატებული შესვლა სხვა მანქანიდან, სხვა მისამართების ოჯახში, არ არის რეპროდუქცია და არ ამტკიცებს შესწორებას.
გაასუფთავეთ ის, რასაც იზიარებთ. დეტალური კლიენტის გამომავალი შეიძლება შეიცავდეს შიდა სახელებს, ანგარიშის ეტიკეტებს, გასაღების ბილიკებს და საჯარო გასაღების იდენტიფიკატორებს, ამიტომ გამოაქვეყნეთ ეტაპობრივი დასკვნა და არა ნედლი კვალი.