Ping veikia, bet SSH nepavyksta per VPN: kuris etapas sugedo?
Vienas išsamus bandymas atskiria TCP pasiekiamumą, SSH transportą, pagrindinio kompiuterio tapatybę, vartotojo prisijungimą ir sesijos leidimą, kad nustotumėte spėlioti apie tunelį.
Ping atsakymai ir atmestas SSH prisijungimas gali būti teisingi vienu metu, ir ši pora neįtaria tunelio. Aido atsakymai ir TCP ryšys į 22 prievadą yra skirtingi testai su skirtingais selektoriais, skirtingomis taisyklėmis ir dažnai skirtingomis paskirties vietomis. Užfiksuokite vieną tyčinį SSH bandymą, tada įvardykite paskutinį etapą, kurį jis pasiekė. Tas vienas artefaktas pakeičia tuziną spekuliatyvių konfigūracijos pakeitimų.
Užfiksuokite vieną bandymą, o ne bakstelėjimų sesiją
Paleiskite klientą vieną kartą su išsamia diagnostika, išjungtu ryšio bendrinimu ir ribotu prisijungimo laiku. Bendrinimo išjungimas svarbus, nes anksčiau autentifikuotas pagrindinis ryšys kitaip atsakys už naują bandymą ir paslėps gedimą, kurį sekate.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Išsaugokite paskirties vietą, adresų šeimą, laiko žymą ir paskutinę ne slaptą klaidą. IPv4 žymė taip pat reiškia, kad šis bandymas nieko nesako apie IPv6 kelią į tą patį vardą, todėl neapibendrinkite iš jo. Užsirašykite, iš kur buvo atliktas bandymas. Patikra VPN tinklelyje nėra tas pats požiūrio taškas kaip nešiojamasis kompiuteris už jo, ir dauguma šių bilietų prieštaravimų kyla sumaišius abu.
Pirmas ir antras etapai: TCP prieš SSH
Pirmoji riba yra lizdo pasiekiamumas: adresas, prievadas ir maršrutas, kuriuo paketas iš tikrųjų eina. Jei TCP ryšys niekada nebaigiamas, virš jo dar nieko nėra, o pagrindinio kompiuterio raktai ir paskyros nesvarbūs.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Susiekite įrašą su kliento bandymu. Išeinantis SYN ir niekas negrįžta rodo filtravimą, selektorius arba trūkstamą maršrutą kitoje pusėje; atsakymas su atstatymu rodo kažką, kas aktyviai atsisako, o ne numeta. Antroji riba yra pats SSH protokolo mainai. TCP ryšys, kuris baigiasi ir tada stringa, peržengė pasiekiamumą ir pateko į derybas, serverio atsakymą arba paketų apdorojimą. Tai kitas tyrimas, ir būtent ten su dydžiu susijusios problemos pirmą kartą tampa tikėtinos.
Trečias etapas: kieno raktas atsakė
Kai transportas pakeltas, klientas patikrina serverio pagrindinio kompiuterio raktą. Atmetimas čia yra teiginys apie tapatybę, o ne apie kriptografiją: partneris pateikė raktą, kurio jūsų taisyklės nepriima. Laikykite tai sustabdymo sąlyga ir patikrinkite ne juostoje, per konsolę arba operatorių, kuris perstatė pagrindinį kompiuterį. Ištrinti įsimintą įrašą, kad išnyktų įspėjimas, yra vienintelis trumpas kelias, kurio reikėtų atsisakyti, nes jis sunaikina įrodymą, kad kažkas atsakė netikėtai.
Jei pagrindinis kompiuteris tikrai buvo perstatytas, pašalinkite pasenusį įrašą tik patvirtinus naują pirštų atspaudą, ir pažymėkite datą bei priežastį. Kitas inžinierius susidurs su tuo pačiu įspėjimu ir jam reikia šio konteksto.
Ketvirtas ir penktas etapai: paskyra prieš leidimą
Autentifikacija yra ketvirtoji riba. Atmesti prisijungimo duomenys reiškia, kad serveris įvertino bandymą ir jį atmetė; patikrinkite paskyrą, serverio priimamą prisijungimo duomenų tipą ir paties serverio taisykles, o ne VPN slaptažodį. Penktoji riba yra autorizacija po sėkmingo prisijungimo. Autentifikuotam vartotojui vis tiek gali būti atsisakyta apvalkalo, komandos, posistemio ar persiuntimo, ir tie atsisakymai atrodo kaip gedimai tam, kas skaito tik paskutinę kliento eilutę.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Sustokite po kelių nepavykusių slaptažodžio bandymų. Pasikartojantys spėjimai sukuria užraktus, kurie vėliau atrodo kaip antras, nesusijęs gedimas, ir kainuoja daugiau laiko nei pirminis bilietas.
Grąžinimas ir įrašas, kurį pasiliekate
Keiskite po vieną dalyką ir prieš testuodami iš naujo užsirašykite, ką pakeitėte. Jei pakeitimas pablogina bandymą, nedelsdami jį grąžinkite, o ne kraukite dar vieną taisymą ant viršaus. Pakartokite pradinę operaciją iš pradinio kliento ir konteksto. Sėkmingas prisijungimas iš kitos mašinos, kitoje adresų šeimoje, nėra atkūrimas ir neįrodo taisymo.
Išvalykite tai, kuo dalijatės. Išsami kliento išvestis gali nešti vidinius pavadinimus, paskyrų etiketes, raktų kelius ir viešųjų raktų identifikatorius, todėl skelbkite etapinę išvadą, o ne neapdorotą pėdsaką.