SSH jistaqsi fuq SSH2_MSG_KEX_ECDH_REPLY: mhux dejjem l-MTU

Il-mina hija attiva, il-banner jaslu, u l-klijent jistampa messaġġ dwar l-istennija għat-tweġiba tal-iskambju taċ-ċwievet. Ir-riżultati tat-tfittxija jindikaw dritt lejn l-MTU, u xi drabi dan huwa korrett. Ħafna drabi mhuwiex: it-tweġiba forsi qatt ma ntbagħtet, għax il-klijent ma setax jaqra fajl taċ-ċavetta jew iż-żewġt iħna ma qablu qatt fuq algoritmu. Il-linja tiddeskrivi għal xiex qed jistenna l-klijent, mhux għaliex bdiet l-istennija. Itratta bħala sintomu u ssepara t-tliet kawżi qabel ma tbiddel xi daqs.

Aqra t-traċċa biex tara jekk kienx mistenni tweġiba

Il-ħruġ dettaljat juri l-aħħar pass ta' suċċess qabel is-skiet. Jekk il-banner tal-protokoll tas-server wasal, TCP qed jaħdem u t-tarf imbiegħed huwa ħaj; il-mistoqsija miftuħa hija x'ġara minn pakkett wieħed speċifiku. Minuta skiet wara l-banner tidher bħala problema tal-mogħdija. Messaġġ dwar l-ebda metodu ta' skambju taċ-ċwievet li jaqbel hija problema ta' politika. Stennija twila li tintemm bis-server jagħlaq is-sessjoni tfisser li s-server ċeda, u l-log tiegħu jispjega għaliex.

Fl-aħħar każ, aqra l-log tal-awtentikazzjoni tas-server qabel ma tmiss il-klijent. Il-klijent ma jistax jara deċiżjoni li s-server qatt ma bagħat.

Għaliex tweġiba żgħira xorta tista' tkun kbira wisq

It-tweġibiet tal-iskambju taċ-ċwievet normalment huma żgħar ħafna, għalhekk li tagħti l-ħtija lid-daqs tinstema' ħażin. B'ċertifikati tal-host it-tweġiba mhijiex żgħira, għax iġġorr il-katina taċ-ċertifikati tas-server. Dan jagħmilha l-ewwel pakkett fis-sessjoni li jista' jaqbeż it-tagħbija utli tal-mina. Meta l-feedback tal-iskoperta tal-MTU tal-mogħdija jintilef xi mkien tul ir-rotta, il-mittent ikompli jerġa' jibgħat pakkett li ma jidħolx, u l-klijent jistenna għal dejjem fl-istess linja.

Iddetermina d-daqs minflok tassumi. Aqra l-MTU tal-mina b'ip link show tun0, imbagħad ibgħat provi li m'għandhomx jiġu frammentati: ping -4 -M do -s 1352 host, imtennija b'tagħbijiet iżgħar. Bidla minn falliment għal suċċess f'daqs partikolari hija prova; falliment uniformi jissuġġerixxi li ICMP qed jiġi ffiltrat u ma jgħidlek xejn.

Tnaqqis temporanju jikkonferma t-teorija malajr, u verżjoni dejjiema tappartjeni lill-profil jew bħala clamp MSS fuq ir-router li jgħaddi l-mina:

sudo ip link set dev tun0 mtu 1200
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Iż-żewġ kawżi li jimmitaw problema tad-daqs

Fajl taċ-ċavetta li l-klijent ma jistax jaqra jipproduċi l-istess stennija, mingħajr twissija anki fil-ħruġ dettaljat. Mudell wieħed ta' known_hosts jagħmel dan faċli: entrata @cert-authority li tindika ċavetta pubblika CA li kont wieħed biss jista' jaqra. Il-kont li jippossjedi l-fajl jikkonnettja, u kull kont ieħor jistaqsi. Jekk il-falliment isegwi l-utent u mhux il-host, iċċekkja l-modi tal-fajl qabel id-daqsijiet tal-pakketti.

Aġġornament jista' wkoll ineħħi l-algoritmu li ż-żewġt iħna kienu jaqsmu qabel. Pin wieħed metodu li s-server għadu joffri bħala dijanjostika: ssh -oKexAlgorithms=ecdh-sha2-nistp521 user@host. Konnessjoni li tirnexxi minnufih turi li l-mogħdija hija tajba u li t-tiswija tappartjeni għall-politika tan-negozjati fuq iż-żewġ naħat.

Tliet fatti li jixirqu jiġu miktuba

Innota l-MTU tal-mina qabel u wara kull bidla, jekk il-kopja ta' fajl kbir tfallix f'daqs ripetibbli u jekk host mingħajr ċertifikat fl-istess mina jistaqsix bl-istess mod. Dawk it-tliet osservazzjonijiet jifirdu d-daqs mill-permessi u min-negozjati aktar malajr minn munzell ta' kmandi.

Huma wkoll jipprevjenu lill-persuna li jmiss milli tnaqqas l-MTU minħabba ħsara li qatt ma kienet dwar id-daqs.

Jekk l-istampa għadha mhix ċara, ipprova minn klijent ieħor fl-istess mina. Klijent li jikkonnettja jċaqlaq il-ħsara mill-mogħdija għall-konfigurazzjoni tal-ewwel magna.