Ping ажилладаг ч VPN-ээр SSH бүтэлгүйтдэг: аль үе шат эвдэрсэн бэ?
Нэг дэлгэрэнгүй оролдлого нь TCP хүртээмж, SSH тээвэр, хост таних хэмжээ, хэрэглэгчийн нэвтрэлт, сессийн зөвшөөрлийг тусгаарлаж, туннелийн талаар таамаглахаа болино.
Ping хариу болон татгалзсан SSH нэвтрэлт хоёулаа нэгэн зэрэг үнэн байж болох бөгөөд энэ хос туннелийг буруутгахгүй. Эко хариу болон 22 порт руу TCP холболт нь өөр селектор, өөр бодлого, ихэвчлэн өөр очих газартай өөр туршилтууд юм. Нэг санаатай SSH оролдлогыг бүртгэж, дараа нь түүний хүрсэн сүүлчийн үе шатыг нэрлэ. Тэр нэг артефакт нь хэдэн арван таамаглалт тохиргооны өөрчлөлтийг орлоно.
Нэг оролдлогыг бүртгэ, олон удаа чичлэх сесс биш
Клиентийг нэг удаа дэлгэрэнгүй диагностик, холболт хуваалцахыг идэвхгүй болгож, хязгаарлагдмал холболтын хугацаатайгаар ажиллуул. Хуваалцахыг идэвхгүй болгох нь чухал, учир нь өмнө нь баталгаажсан үндсэн холболт эс бөгөөс шинэ оролдлогын оронд хариу өгч, таны мөрдөж буй алдааг нуух болно.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Очих газрыг, хаягийн гэр бүлийг, цагийн тэмдгийг болон сүүлчийн нууц бус алдааг хадгал. IPv4 туг нь энэ оролдлого ижил нэр рүү чиглэсэн IPv6 замын талаар юу ч хэлэхгүй гэсэн үг тул үүнээс ерөнхийлөлт бүү хий. Оролдлогыг хаанаас хийснийг тэмдэглэ. VPN гарц дээрх шалгалт нь түүний ардах зөөврийн компьютертай ижил өнцөг биш бөгөөд эдгээр тасалбар дахь зөрчлийн ихэнх нь хоёрыг холихоос үүдэлтэй.
Эхний болон хоёр дахь үе шат: SSH-ээс өмнө TCP
Эхний хил нь сокетийн хүртээмж: хаяг, порт болон пакетийн бодитоор дагах зам. Хэрэв TCP холболт хэзээ ч дуусахгүй бол түүний дээр одоохондоо юу ч байхгүй бөгөөд хост түлхүүр, бүртгэл хамаагүй.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Бүртгэлийг клиентийн оролдлоготой холбо. Гарсан SYN ба юу ч буцаж ирэхгүй байх нь шүүлт, селектор эсвэл холын талд дутуу зам руу заана; дахин тохируулгатай хариу нь хаяхын оронд идэвхтэй татгалзаж буй зүйл рүү заана. Хоёр дахь хил нь SSH протоколын солилцоо өөрөө. Дуусаад дараа нь гацдаг TCP холболт нь хүртээмжийг давж, хэлэлцээр, серверийн хариу эсвэл пакет боловсруулалтад орсон. Энэ нь өөр мөрдөн шалгалт бөгөөд яг тэнд хэмжээтэй холбоотой асуудлууд анх удаа магадлалтай болдог.
Гурав дахь үе шат: хэний түлхүүр хариу өгсөн
Тээвэр боссны дараа клиент серверийн хост түлхүүрийг баталгаажуулна. Энд татгалзах нь таних хэмжээний тухай мэдэгдэл, криптографийн тухай биш: түнш таны бодлого хүлээн зөвшөөрөхгүй түлхүүрийг танилцуулсан. Үүнийг зогсолтын нөхцөл гэж үзэж, зурвасаас гадна, консол эсвэл хостыг дахин барьсан оператороор дамжуулан баталгаажуул. Анхааруулгыг арилгахын тулд санаж үлдсэн бичлэгийг устгах нь татгалзах ёстой цорын ганц богино зам, учир нь энэ нь ямар нэгэн зүйл гэнэтийн байдлаар хариу өгсний нотолгоог устгана.
Хэрэв хост үнэхээр дахин баригдсан бол хуучин бичлэгийг зөвхөн шинэ хурууны хээ баталгаажсаны дараа устгаж, огноо, шалтгааныг тэмдэглэ. Дараагийн инженер мөн ижил анхааруулгатай тулгарч, түүнд энэ контекст хэрэгтэй.
Дөрөв, тав дахь үе шат: бүртгэл ба зөвшөөрөл
Баталгаажуулалт нь дөрөв дэх хил. Татгалзсан итгэмжлэл гэдэг нь сервер оролдлогыг үнэлж, татгалзсан гэсэн үг; VPN нууц үгийн оронд бүртгэл, серверийн хүлээн авах итгэмжлэлийн төрөл, серверийн өөрийн бодлогыг шалга. Тав дахь хил нь амжилттай нэвтрэлтийн дараах эрх олголт. Баталгаажсан хэрэглэгчид ч гэсэн бүрхүүл, команд, дэд систем эсвэл дамжуулалтаас татгалзаж болох бөгөөд клиентийн сүүлчийн мөрийг л уншдаг хүнд тэдгээр татгалзал алдаа мэт харагдана.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Хэд хэдэн нууц үгийн оролдлого бүтэлгүйтсэний дараа зогс. Давтан таамаглал нь түгжээ үүсгэдэг бөгөөд тэдгээр нь дараа нь хоёр дахь, хамааралгүй гэмтэл мэт харагдаж, анхны тасалбараас илүү цаг зарцуулдаг.
Эргүүлэх болон хадгалах бүртгэл
Нэг удаад нэг зүйлийг өөрчилж, дахин туршихын өмнө юу өөрчилснөө бич. Хэрэв өөрчлөлт оролдлогыг улам муутгавал дээр нь өөр засвар овоолохын оронд даруй буцаа. Анхны үйлдлийг анхны клиент болон контекстоос давт. Өөр машин, өөр хаягийн гэр бүлээс амжилттай нэвтрэх нь дахин бүтээлт биш бөгөөд засварыг нотлохгүй.
Хуваалцаж буй зүйлээ цэвэрлэ. Дэлгэрэнгүй клиентийн гаралт нь дотоод нэр, бүртгэлийн шошго, түлхүүрийн зам, нийтийн түлхүүрийн танигчийг агуулж болзошгүй тул түүхий мөрийн оронд үе шаттай дүгнэлтийг нийтэл.