Ping жұмыс істейді, бірақ VPN арқылы SSH істемейді: қай кезең бұзылды?
Бір егжей-тегжейлі әрекет TCP қолжетімділігін, SSH тасымалын, хост сәйкестігін, пайдаланушы кіруін және сеанс рұқсатын ажыратады, сондықтан туннель туралы болжауды тоқтатасыз.
Ping жауаптары мен қабылданбаған SSH кіруі бір уақытта ақиқат болуы мүмкін, және бұл жұп туннельді кінәламайды. Эхо жауаптары мен 22 портқа TCP қосылымы әртүрлі селекторлары, әртүрлі саясаттары және жиі әртүрлі межелі орындары бар әртүрлі тесттер. Бір әдейі SSH әрекетін жазып алыңыз, содан кейін оның жеткен соңғы кезеңін атаңыз. Сол бір артефакт ондаған болжамды конфигурация өзгерісін алмастырады.
Бір әрекетті жазып алыңыз, түрту сеансын емес
Клиентті бір рет егжей-тегжейлі диагностикамен, қосылымды бөлісу өшірілген күйде және шектеулі қосылу уақытымен іске қосыңыз. Бөлісуді өшіру маңызды, өйткені бұрын аутентификацияланған негізгі қосылым әйтпесе жаңа әрекеттің орнына жауап береді және сіз іздеген ақауды жасырады.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Межелі орынды, мекенжайлар отбасын, уақыт белгісін және соңғы құпия емес қатені сақтаңыз. IPv4 жалаушасы бұл әрекеттің сол атқа IPv6 жолы туралы ештеңе айтпайтынын да білдіреді, сондықтан одан жалпылама қорытынды жасамаңыз. Әрекет қайдан жасалғанын жазыңыз. VPN шлюзіндегі тексеру оның артындағы ноутбукпен бірдей көзқарас емес, және бұл билеттердегі қайшылықтардың көбі екеуін араластырудан туындайды.
Бірінші және екінші кезең: SSH-ге дейін TCP
Бірінші шекара — сокеттің қолжетімділігі: мекенжай, порт және пакет шынымен жүретін маршрут. Егер TCP қосылымы ешқашан аяқталмаса, оның үстінде әлі ештеңе жоқ, ал хост кілттері мен тіркелгілер маңызсыз.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Жазбаны клиент әрекетімен байланыстырыңыз. Шыққан SYN және ештеңе қайтпауы сүзгілеуге, селекторларға немесе алыс жақта жоқ маршрутқа меңзейді; қалпына келтірумен жауап тастауға емес, белсенді түрде бас тартатын нәрсеге меңзейді. Екінші шекара — SSH протоколының алмасуы. Аяқталып, содан кейін тоқтап қалған TCP қосылымы қолжетімділіктен өтіп, келіссөзге, сервер жауабына немесе пакет өңдеуге кірді. Бұл басқа тергеу, және дәл сонда өлшемге қатысты мәселелер алғаш рет ықтимал болады.
Үшінші кезең: қай кілт жауап берді
Тасымал көтерілген соң клиент сервердің хост кілтін тексереді. Мұндағы бас тарту — сәйкестік туралы мәлімдеме, криптография туралы емес: серіктес сіздің саясатыңыз қабылдамайтын кілт ұсынды. Мұны тоқтату шарты ретінде қабылдаңыз және жолақтан тыс, консоль арқылы немесе хостты қайта құрған оператор арқылы тексеріңіз. Ескертуді тазалау үшін есте сақталған жазбаны жою — бас тартуға тиісті жалғыз қысқа жол, өйткені ол бірдеңенің күтпеген жерден жауап бергенін дәлелдейтін дәлелді жояды.
Егер хост шынымен қайта құрылса, ескі жазбаны жаңа саусақ ізі расталғаннан кейін ғана жойыңыз, күні мен себебін жазыңыз. Келесі инженер сол ескертуге тап болады және оған осы контекст қажет.
Төртінші және бесінші кезең: тіркелгі және рұқсат
Аутентификация — төртінші шекара. Қабылданбаған тіркелгі деректері сервер әрекетті бағалап, одан бас тартқанын білдіреді; тіркелгіні, сервер қабылдайтын тіркелгі деректерінің түрін және сервердің өз саясатын VPN құпия сөзінің орнына тексеріңіз. Бесінші шекара — сәтті кіруден кейінгі авторизация. Аутентификацияланған пайдаланушыға қабық, команда, қосалқы жүйе немесе қайта жіберу әлі де тыйым салынуы мүмкін, және бұл бас тартулар клиенттің соңғы жолын ғана оқитын адамға ақау болып көрінеді.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Бірнеше сәтсіз құпия сөз әрекетінен кейін тоқтаңыз. Қайталанған болжамдар бұғаттаулар тудырады, олар кейін екінші, байланысы жоқ ақау сияқты көрінеді және бастапқы билеттен көбірек уақыт алады.
Кері қайтару және сақтайтын жазбаңыз
Бір уақытта бір нәрсені өзгертіңіз және қайта тексеру алдында нені өзгерткеніңізді жазыңыз. Егер өзгеріс әрекетті нашарлатса, оның үстіне тағы бір түзету қоюдың орнына дереу қайтарыңыз. Бастапқы операцияны бастапқы клиенттен және контекстен қайталаңыз. Басқа машинадан, басқа мекенжайлар отбасында сәтті кіру қайта өндіру емес және түзетуді дәлелдемейді.
Бөлісетін нәрсеңізді тазалаңыз. Егжей-тегжейлі клиент шығысы ішкі атауларды, тіркелгі белгілерін, кілт жолдарын және ашық кілт идентификаторларын тасымалдауы мүмкін, сондықтан шикі іздің орнына кезеңдік қорытындыны жариялаңыз.