Ping funktionéiert, awer SSH schléit iwwer d'VPN fehl: wéi eng Etapp ass futti?
Een ausféierleche Versuch trennt TCP-Erreechbarkeet, SSH-Transport, Host-Identitéit, Benotzer-Login a Sessiounserlaabnes, sou datt Dir ophält iwwer den Tunnel ze roden.
Ping-Äntwerten an eng refuséiert SSH-Login kënnen zur selwechter Zäit wouer sinn, an d'Paar beschëllegt net den Tunnel. Echo-Äntwerten an eng TCP-Verbindung zum Port 22 si verschidde Tester mat verschiddene Selektoren, verschiddene Politiken an dacks verschiddenen Destinatiounen. Halen een bewosste SSH-Versuch fest an nennt dann déi lescht Etapp, déi en erreecht huet. Dësen eenzegen Artefakt ersetzt eng Dosen spekulativ Konfiguratiounsännerungen.
Halt een Versuch fest, net eng Sessioun vu Gestëpp
Loos de Client eng Kéier mat ausféierlecher Diagnostik lafen, d'Deelen vun der Verbindung ausgeschalt an eng begrenzt Verbindungszäit. D'Deelen auszeschalten ass wichteg, well eng virdrun authentifizéiert Masterverbindung soss fir deen neie Versuch äntwert an de Feeler verstoppt, deem Dir nogeet.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Halt d'Destinatioun, d'Adressfamill, den Zäitstempel an de leschten net-geheime Feeler. D'IPv4-Fändel bedeit och, datt dëse Versuch näischt iwwer en IPv6-Wee zum selwechten Numm seet, also generaliséier net dovun. Nottéier, vun wou de Versuch gemaach gouf. Eng Kontroll um VPN-Gateway ass net déiselwecht Siicht wéi en Laptop hannendrun, an déi meescht Widderspréch an dësen Ticketën kommen duerch d'Vermësche vun deenen zwee.
Etapp een an zwee: TCP virun SSH
Déi éischt Grenz ass d'Erreechbarkeet vum Socket: eng Adress, e Port an e Wee, deen de Pak tatsächlech follegt. Wann d'TCP-Verbindung ni fäerdeg gëtt, existéiert nach näischt driwwer, an Hostschlësselen an Konten sinn irrelevant.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Korreléier d'Opnam mam Clientversuch. E SYN, deen erausgeet an näischt zréckkënnt, weist op Filterung, Selektoren oder e fehlende Wee op der anerer Säit; eng Äntwert mat engem Reset weist op eppes, dat aktiv refuséiert anstatt ze fale loossen. Déi zweet Grenz ass den SSH-Protokollaustausch selwer. Eng TCP-Verbindung, déi fäerdeg gëtt an dann stoe bleift, huet d'Erreechbarkeet hanner sech gelooss an ass an d'Verhandlung, d'Serveräntwert oder d'Pakethandhabung agetrueden. Dat ass eng aner Enquête, an do ginn d'Gréisstproblemer fir d'éischt plausibel.
Etapp dräi: wiem säi Schlëssel huet geäntwert
Wann den Transport steet, verifizéiert de Client den Hostschlëssel vum Server. Eng Refusatioun hei ass eng Aussag iwwer d'Identitéit, net iwwer d'Kryptografie: de Peer huet e Schlëssel presentéiert, deen Är Politik net akzeptéiert. Behandelt dat als Stoppbedingung a verifizéiert baussent dem Band, iwwer d'Konsole oder de Bedreiwer, deen den Host nei opgebaut huet. D'gemierkt Zeil läschen, fir d'Warnung ewech ze kréien, ass déi eenzeg Ofkierzung, där Dir sollt ofsoen, well se de Beweis zerstéiert, datt eppes onerwaart geäntwert huet.
Wann den Host wierklech nei opgebaut gouf, läscht de veralte Aschreiwung eréischt nodeems de neie Fangerofdrock confirméiert ass, a notéier Datum a Grond. Den nächsten Ingenieur wäert déiselwecht Warnung begéinen an brauch dëse Kontext.
Etapp véier a fënnef: Kont géint Erlaabnes
Authentifikatioun ass déi véiert Grenz. Refuséiert Umeldungsdaten heescht, datt de Server de Versuch bewäert an refuséiert huet; kontrolléier de Kont, den Typ Umeldungsdaten, deen de Server akzeptéiert, an dem Server seng eege Politik amplaz d'VPN-Passwuert. Déi fënneft Grenz ass d'Autorisatioun no enger erfollegräicher Umeldung. Engem authentifizéierte Benotzer kann ëmmer nach eng Shell, en Kommando, en Ënnersystem oder eng Weiderleitung verweigert ginn, an déi Verweigerunge gesinn aus wéi Feeler fir een, deen nëmmen déi lescht Linn vum Client liest.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Stopp no e puer feelgeschloene Passwuertversich. Widderholl Rotschléi produzéiere Spärungen, déi duerno wéi en zweeten, onverbonnene Feeler ausgesinn an méi Zäit kaschten wéi den ursprénglechen Ticket.
Réckréckelen an d'Opzeechnung, déi Dir behält
Änner eng Saach op eng Kéier, a schreif virum Neitest op, wat Dir geännert hutt. Wann eng Ännerung de Versuch verschlechtert, huel se direkt zréck, amplaz nach eng Korrektur dropzestapelen. Widderhuel déi ursprénglech Operatioun vum urspréngleche Client a Kontext. Eng erfollegräich Umeldung vun enger anerer Maschinn, an enger anerer Adressfamill, ass keng Reproduktioun an beweist de Fix net.
Sanéier, wat Dir deelt. Ausféierlech Clientausgab ka intern Nimm, Kontetiketten, Schlësselweeër an ëffentlech Schlësselidentifikatore droen, also publizéier d'Etapp-ofgeschloss Konklusioun amplaz engem rouen Trait.