Ping иштейт, бирок VPN аркылуу SSH иштебейт: кайсы этап бузулду?
Бир толук аракет TCP жеткиликтүүлүгүн, SSH ташуусун, хосттун инсандыгын, колдонуучунун кирүүсүн жана сессиянын уруксатын ажыратат, ошондуктан туннель жөнүндө божомолдоону токтотосуз.
Ping жооптору жана четке кагылган SSH кирүүсү бир убакта туура болушу мүмкүн, жана бул жуп туннелди күнөөлөбөйт. Эхо жооптору жана 22 портка TCP туташуусу ар башка селекторлору, ар башка саясаттары жана көп учурда ар башка багыттары бар ар башка сыноолор. Бир атайын SSH аракетин жазып алыңыз, анан анын жеткен акыркы этабын атаңыз. Ошол бир артефакт ондогон божомолдук конфигурация өзгөртүүлөрүн алмаштырат.
Бир аракетти жазып алыңыз, түртүү сессиясын эмес
Кардарды бир жолу толук диагностика менен, туташууну бөлүшүү өчүрүлгөн жана чектелген туташуу убактысы менен иштетиңиз. Бөлүшүүнү өчүрүү маанилүү, анткени мурун аутентификацияланган негизги туташуу болбосо жаңы аракеттин ордуна жооп берип, сиз издеген бузулушту жашырат.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Багытты, даректер үй-бүлөсүн, убакыт белгисин жана акыркы жашыруун эмес катаны сактаңыз. IPv4 желеги бул аракеттин ошол эле атка IPv6 жолу жөнүндө эч нерсе айтпастыгын да билдирет, ошондуктан андан жалпылоо жүргүзбөңүз. Аракет кайдан жасалганын жазыңыз. VPN шлюзиндеги текшерүү анын артындагы ноутбук менен бирдей көз караш эмес, жана бул билеттердеги карама-каршылыктардын көбү экөөнү аралаштыруудан келет.
Биринчи жана экинчи этап: SSHге чейин TCP
Биринчи чек — сокеттин жеткиликтүүлүгү: дарек, порт жана пакет чындыгында жүргөн маршрут. Эгер TCP туташуусу эч качан бүтпөсө, анын үстүндө азырынча эч нерсе жок, ал эми хост ачкычтары менен эсептер маанисиз.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Жазманы кардардын аракети менен байланыштырыңыз. Чыккан SYN жана эч нерсе кайтпашы фильтрлөөгө, селекторлорго же алыскы тарапта жок маршрутка көрсөтөт; кайра коюу менен жооп таштоонун ордуна активдүү баш тарткан нерсеге көрсөтөт. Экинчи чек — SSH протоколунун алмашуусу. Бүтүп, анан токтоп калган TCP туташуусу жеткиликтүүлүктөн өтүп, сүйлөшүүгө, сервердин жообуна же пакеттерди иштетүүгө кирди. Бул башка иликтөө, жана дал ошол жерде өлчөмгө байланыштуу көйгөйлөр биринчи жолу ыктымал болот.
Үчүнчү этап: кимдин ачкычы жооп берди
Транспорт көтөрүлгөндөн кийин кардар сервердин хост ачкычын текшерет. Бул жердеги баш тартуу инсандык жөнүндө билдирүү, криптография жөнүндө эмес: өнөктөш сиздин саясатыңыз кабыл албаган ачкычты сунуштады. Муну токтотуу шарты катары кабыл алыңыз жана тилкенин сыртында, консолдун же хостту кайра курган оператордун аркылуу текшериңиз. Эскертүүнү тазалоо үчүн эсте калган жазууну өчүрүү — баш тартууга тийиш болгон жалгыз кыска жол, анткени ал бир нерсенин күтүлбөгөн жерден жооп бергендигинин далилин жок кылат.
Эгер хост чындыгында кайра курулган болсо, эски жазууну жаңы бармак изи тастыкталгандан кийин гана алып салыңыз, жана күнү менен себебин жазыңыз. Кийинки инженер ошол эле эскертүүгө туш болот жана ага бул контекст керек.
Төртүнчү жана бешинчи этап: эсеп жана уруксат
Аутентификация — төртүнчү чек. Четке кагылган эсептик маалыматтар сервер аракетти баалап, аны четке какканын билдирет; эсепти, сервер кабыл алган эсептик маалыматтын түрүн жана сервердин өз саясатын VPN сырсөзүнүн ордуна текшериңиз. Бешинчи чек — ийгиликтүү кирүүдөн кийинки авторизация. Аутентификацияланган колдонуучуга дагы эле кабык, буйрук, кошумча система же кайра жөнөтүү четке кагышы мүмкүн, жана бул баш тартуулар кардардын акыркы сабын гана окуган адамга бузулуш сыяктуу көрүнөт.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Бир нече ийгиликсиз сырсөз аракетинен кийин токтоңуз. Кайталанган божомолдор бөгөттөөлөрдү жаратат, алар кийин экинчи, байланышы жок бузулуш сыяктуу көрүнөт жана баштапкы билеттен көбүрөөк убакыт алат.
Кайтаруу жана сиз сактаган жазуу
Бир убакта бир нерсени өзгөртүңүз, жана кайра сынаардан мурун эмнени өзгөрткөнүңүздү жазыңыз. Эгер өзгөртүү аракетти начарлатса, үстүнө дагы бир оңдоону үйүп коюунун ордуна дароо кайтарыңыз. Баштапкы операцияны баштапкы кардардан жана контекстен кайталаңыз. Башка машинадан, башка даректер үй-бүлөсүндө ийгиликтүү кирүү кайра өндүрүү эмес жана оңдоону далилдебейт.
Бөлүшкөн нерсеңизди тазалаңыз. Толук кардар чыгышы ички аттарды, эсеп белгилерин, ачкыч жолдорун жана ачык ачкыч идентификаторлорун алып жүрүшү мүмкүн, ошондуктан чийки издин ордуна этаптык тыянакты жарыялаңыз.