Il-ping jaħdem imma l-SSH ifalli fuq il-VPN: liema stadju nkiser?
Attentat wieħed fid-dettall jifred l-aċċessibbiltà TCP, it-trasport SSH, l-identità tal-host, id-dħul tal-utent u l-permess tas-sessjoni, biex tieqaf taqta' l-argument dwar il-mina.
It-tweġibiet tal-ping u dħul SSH miċħud jistgħu jkunu veri fl-istess ħin, u l-par ma jwaqqax il-mina. It-tweġibiet tal-eku u konnessjoni TCP mal-port 22 huma testijiet differenti b'seletturi differenti, politiki differenti u spiss destinazzjonijiet differenti. Irrekordja attentat SSH wieħed f'biebu, imbagħad semmi l-aħħar stadju li wasal għalih. Dak l-uniku artefatt jissostitwixxi tużżana bidliet spekulattivi fil-konfigurazzjoni.
Irrekordja attentat wieħed, mhux sessjoni ta' tfixxil
Mexxi l-klijent darba b'dijanjostika fid-dettall, kondiviżjoni tal-konnessjoni mitfija u timeout tal-konnessjoni limitat. L-għeluq tal-kondiviżjoni huwa importanti għax konnessjoni prinċipali awtentikata qabel xorta waħda twieġeb għall-attentat il-ġdid u taħbi l-ħsara li qed issegwi.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Żomm id-destinazzjoni, il-familja tal-indirizzi, it-timbru tal-ħin u l-aħħar żball mhux sigriet. Il-bandiera IPv4 tfisser ukoll li dan l-attentat ma jgħid xejn dwar triq IPv6 lejn l-istess isem, għalhekk tiggeneralizzax minnha. Irreġistra minn fejn sar l-attentat. Verifika fuq il-gateway tal-VPN mhijiex l-istess perspettiva ta' laptop warajha, u l-biċċa l-kbira tal-kontradizzjonijiet f'dawn it-tickets ġejjin milli jitħalltu t-tnejn.
L-ewwel u t-tieni stadju: TCP qabel SSH
L-ewwel fruntiera hija l-aċċessibbiltà tas-sokit: indirizz, port u rotta li l-pakkett fil-fatt isegwi. Jekk il-konnessjoni TCP ma titlesta qatt, xejn fuqha għadu ma jeżisti, u ċ-ċwievet tal-host u l-kontijiet huma irrilevanti.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Ikkorrelja r-reġistrazzjoni mal-attentat tal-klijent. SYN li joħroġ u xejn ma jerġa' lura jindika filtrazzjoni, seletturi jew rotta nieqsa fuq in-naħa l-bogħida; tweġiba b'reset tindika xi ħaġa li tiċħad b'mod attiv minflok ma tiskarta. It-tieni fruntiera hija l-iskambju tal-protokoll SSH innifsu. Konnessjoni TCP li titlesta u mbagħad tistagna tkun għaddiet l-aċċessibbiltà u daħlet fin-negozjati, fit-tweġiba tas-server jew fl-immaniġġjar tal-pakketti. Dik hija investigazzjoni oħra, u hemmhekk il-problemi relatati mad-daqs isiru plawżibbli għall-ewwel darba.
It-tielet stadju: ta' min wieġeb iċ-ċavetta
Meta t-trasport ikun imqajjem, il-klijent jivverifika ċ-ċavetta tal-host tas-server. Ċaħda hawn hija stqarrija dwar l-identità, mhux dwar il-kriptografija: il-pari ppreżenta ċavetta li l-politika tiegħek ma taċċettax. Ittrattaha bħala kundizzjoni ta' waqfien u ivverifika barra mill-medda, mal-konsol jew mal-operatur li bena mill-ġdid il-host. Li tħassar id-dħul imfakkar biex tneħħi t-twissija hija l-unika qasira li għandha tiġi miċħuda, għax teqred il-prova li xi ħaġa wieġbet b'mod imprevedibbli.
Jekk il-host tabilħaqq inbena mill-ġdid, neħħi r-rekord antik biss wara li l-marka tal-ilsien il-ġdida tiġi kkonfermata, u nnota d-data u r-raġuni. L-inġinier li jmiss se jiltaqa' mal-istess twissija u għandu bżonn dan il-kuntest.
Ir-raba' u l-ħames stadju: kont kontra permess
L-awtentikazzjoni hija r-raba' fruntiera. Kredenzjali miċħuda jfissru li s-server evalwa l-attentat u ċaħdu; iċċekkja l-kont, it-tip ta' kredenzjali li jilqa' s-server u l-politika tas-server stess minflok il-password tal-VPN. Il-ħames fruntiera hija l-awtorizzazzjoni wara dħul b'suċċess. Utent awtentikat xorta jista' jiċċaħħad minn shell, kmand, sottosistema jew trażmissjoni, u dawk iċ-ċaħdiet jidhru bħal ħsarat għal min jaqra biss l-aħħar linja tal-klijent.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Waqqaf wara ftit attentati ta' password li fallew. It-teħid ta' ħsieb ripetut joħloq lockouts li mbagħad jidhru bħal tieni ħsara mhux relatata u jieklu aktar ħin mit-ticket oriġinali.
Rollback u r-rekord li żżomm
Ibdel ħaġa waħda kull darba, u niżżel x'ibdelt qabel ma terġa' tittestja. Jekk bidla tagħmel l-attentat agħar, erġa' lura minnufih minflok ma tixxerja tiswija oħra fuqha. Erġa' agħmel l-operazzjoni oriġinali mill-klijent u l-kuntest oriġinali. Dħul b'suċċess minn magna oħra, fi familja ta' indirizzi oħra, mhuwiex riproduzzjoni u ma jippruvax it-tiswija.
Ssanifika dak li taqsam. L-output fid-dettall tal-klijent jista' jġorr ismijiet interni, tikketti tal-kont, mogħdijiet taċ-ċwievet u identifikaturi taċ-ċwievet pubbliċi, għalhekk ippubblika l-konklużjoni stadju b'stadju minflok traċċa mhux maħduma.