Ping strādā, bet SSH neizdodas caur VPN: kurš posms salūza?
Viens detalizēts mēģinājums atdala TCP sasniedzamību, SSH transportu, resursdatora identitāti, lietotāja pieteikšanos un sesijas atļauju, lai jūs pārstātu minēt par tuneli.
Ping atbildes un noraidīta SSH pieteikšanās var būt patiesas vienlaikus, un šis pāris neapvaino tuneli. Atbalss atbildes un TCP savienojums uz 22. portu ir dažādi testi ar dažādiem selektoriem, dažādām politikām un bieži dažādiem galamērķiem. Reģistrējiet vienu apzinātu SSH mēģinājumu, pēc tam nosauciet pēdējo posmu, ko tas sasniedza. Šis viens artefakts aizstāj duci spekulatīvu konfigurācijas izmaiņu.
Reģistrējiet vienu mēģinājumu, nevis bakstīšanas sesiju
Palaidiet klientu vienreiz ar detalizētu diagnostiku, izslēgtu savienojuma koplietošanu un ierobežotu savienojuma taimautu. Koplietošanas izslēgšana ir svarīga, jo iepriekš autentificēts galvenais savienojums citādi atbildēs jaunā mēģinājuma vietā un paslēps kļūmi, kurai sekojat.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Saglabājiet galamērķi, adrešu saimi, laikspiedolu un pēdējo ne slepeno kļūdu. IPv4 karodziņš arī nozīmē, ka šis mēģinājums neko nepasaka par IPv6 ceļu uz to pašu nosaukumu, tāpēc nevispāriniet no tā. Pierakstiet, no kurienes mēģinājums veikts. Pārbaude VPN vārtejā nav tāds pats skatpunkts kā klēpjdators aiz tās, un lielākā daļa pretrunu šajos biļetenos rodas no abu sajaukšanas.
Pirmais un otrais posms: TCP pirms SSH
Pirmā robeža ir ligzdas sasniedzamība: adrese, ports un maršruts, pa kuru pakete faktiski iet. Ja TCP savienojums nekad neizveidojas, virs tā vēl nekā nav, un resursdatora atslēgas un konti ir nebūtiski.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Saistiet ierakstu ar klienta mēģinājumu. Izejošs SYN un nekas neatgriežas norāda uz filtrēšanu, selektoriem vai trūkstošu maršrutu otrā pusē; atbilde ar atiestatīšanu norāda uz kaut ko, kas aktīvi atsakās, nevis nomet. Otrā robeža ir paša SSH protokola apmaiņa. TCP savienojums, kas izveidojas un pēc tam iestrēgst, ir pārgājis sasniedzamību un iegājis sarunās, servera atbildē vai pakešu apstrādē. Tas ir cits izmeklēšanas virziens, un tieši tur ar izmēru saistītas problēmas pirmo reizi kļūst ticamas.
Trešais posms: kura atslēga atbildēja
Kad transports ir pacelts, klients pārbauda servera resursdatora atslēgu. Noraidījums šeit ir apgalvojums par identitāti, nevis par kriptogrāfiju: partneris uzrādīja atslēgu, ko jūsu politika nepieņem. Uztveriet to kā apturēšanas nosacījumu un pārbaudiet ārpus joslas, konsolē vai pie operatora, kurš pārbūvēja resursdatoru. Izdzēst atcerēto ierakstu, lai notīrītu brīdinājumu, ir vienīgais saīsinājums, no kura jāatsakās, jo tas iznīcina pierādījumu, ka kaut kas atbildēja negaidīti.
Ja resursdators patiešām tika pārbūvēts, noņemiet veco ierakstu tikai pēc jaunā nospieduma apstiprināšanas, un pierakstiet datumu un iemeslu. Nākamais inženieris saskarsies ar to pašu brīdinājumu, un viņam vajadzīgs šis konteksts.
Ceturtais un piektais posms: konts pret atļauju
Autentifikācija ir ceturtā robeža. Noraidīti akreditācijas dati nozīmē, ka serveris novērtēja mēģinājumu un to noraidīja; pārbaudiet kontu, servera pieņemto akreditācijas datu veidu un paša servera politiku, nevis VPN paroli. Piektā robeža ir autorizācija pēc veiksmīgas pieteikšanās. Autentificētam lietotājam joprojām var atteikt čaulu, komandu, apakšsistēmu vai pāradresāciju, un šie atteikumi izskatās kā kļūmes tam, kas lasa tikai klienta pēdējo rindu.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Apstājieties pēc dažiem neveiksmīgiem paroles mēģinājumiem. Atkārtoti minējumi rada bloķēšanas, kas pēc tam izskatās kā otra, nesaistīta kļūme, un izmaksā vairāk laika nekā sākotnējā biļetene.
Atritināšana un ieraksts, ko paturat
Mainiet vienu lietu vienlaikus un pirms atkārtotas testēšanas pierakstiet, ko mainījāt. Ja izmaiņas pasliktina mēģinājumu, nekavējoties atgrieziet tās, nevis kraujiet virsū vēl vienu labojumu. Atkārtojiet sākotnējo darbību no sākotnējā klienta un konteksta. Veiksmīga pieteikšanās no citas mašīnas, citā adrešu saimē, nav atkārtojums un nepierāda labojumu.
Attīriet to, ko kopīgojat. Detalizēta klienta izvade var saturēt iekšējos nosaukumus, kontu etiķetes, atslēgu ceļus un publisko atslēgu identifikatorus, tāpēc publicējiet posmu kopsavilkumu, nevis neapstrādātu pēdu.