SSH fuq it-tieni passaġġ privat waqt li l-VPN jibqa' attiv

Magna waħda tilħaq oħra permezz ta' VPN, u issa xi ħadd irid l-istess shell fuq in-netwerk privat tal-fornitur. Ir-rotta teżisti, il-ping jirnexxi, u xorta SSH jirrifjuta. Il-kawża tas-soltu hija li d-daemon qatt ma sama' fuq l-indirizz il-ġdid, għalhekk m'hemm xejn ma' xiex tinqabad. Din hija problema ta' binding tal-indirizz qabel ma tkun problema ta' firewall.

Għaliex rotta ġdida ma toħloqx listener ġdid

Socket li jisma' jinħoloq minn proċess li jismi l-indirizzi li se jaċċetta. Rotta tgħid biss lill-pakketti fejn għandhom imorru; ma toħloqx listener fid-destinazzjoni. Meta sshd ikun ikkonfigurat b'ListenAddress wieħed, konnessjonijiet għal kwalunkwe indirizz lokali ieħor jiġu rifjutati għalkemm l-interface hija attiva. L-istess japplika għal unità socket li għandha l-port, u għalhekk l-ewwel verifika hija dejjem x'inhu tassew qed jisma'.

Qabbel iż-żewġ rotot bl-indirizz tad-destinazzjoni, mhux bl-isem tal-interface. Client jikkonnettja ma' indirizz, u dak l-indirizz irid ikun marbut qabel ma kwalunkwe regola tal-firewall tkun importanti.

Elenka l-indirizzi u l-listeners

Qabel ma tibdel xi ħaġa, irreġistra l-indirizzi fuq il-host u s-sockets li jeżistu bħalissa.

ip -br addr
ss -ltnp | grep ':22'

Il-lista tal-indirizzi turi liema indirizz privat huwa reali u fuq liema interface, filwaqt li l-lista tas-sockets turi jekk xi ħaġa hix marbuta miegħu. Listener fuq 0.0.0.0:22 diġà jaċċetta kull indirizz, għalhekk binding ġdid ma jżid xejn. Listener fuq indirizz speċifiku wieħed jispjega r-rifjut minnufih. Jekk il-port jappartjeni lil unità socket minflok lid-daemon, il-konfigurazzjoni tad-daemon mhix l-istorja kollha.

Żid il-binding u żomm dak qadim

OpenSSH jaċċetta diversi entrati ListenAddress, għalhekk il-passaġġ VPN jista' jibqa' waqt li jiżdied dak privat. Iċċekkja l-fajl qabel ma terġa' tgħabbin.

sshd -t
systemctl reload sshd

Test tal-konfigurazzjoni li jonqos iħalli d-daemon li qed jaħdem mhux mittiefes, u dan huwa eżattament dak li trid waqt li tkun konness permezz tal-passaġġ li qed tibdel. Żomm l-entrata eżistenti, żid l-indirizz lokali l-ġdid, u kkonferma li s-servizz jerġa' jitgħabba mingħajr ma jinqata' s-sessjoni attwali. Fuq installazzjonijiet attivati mis-socket, żid l-indirizz mal-unità socket minflok u erġa' għabbi dik l-unità. Imbagħad aqra l-lista tal-listeners mill-ġdid, għax binding li qatt ma deher ifisser li għamlet ħażin il-komponent li bdilt.

Ivverifika s-sessjoni l-ġdida qabel ma tagħlaq dik qadima

Qabbad mal-indirizz il-ġdid waqt li s-sessjoni oriġinali għadha miftuħa, u uża output dettaljat biex tara liema indirizz u ċavetta ntużaw. Ħalli s-sessjoni oriġinali miftuħa sakemm il-prova tirnexxi darbtejn.

ssh -v [email protected]

Aqra l-linji tad-debug għall-indirizz tad-destinazzjoni u ċ-ċavetta tal-host li ġiet ippreżentata. Ikkonferma l-fingerprint taċ-ċavetta tal-host ma' valur li diġà tafda, minflok taċċetta ċavetta mhux magħrufa għax in-netwerk deskritt bħala privat. Id-destinazzjoni l-ġdida teħtieġ l-entrata known_hosts tagħha, u dan huwa mistenni. Is-sessjoni antika tal-amministrazzjoni għandha tingħalaq biss wara li l-passaġġ privat jaħdem.

SSH jipproteġi t-trasport, iżda waħdu ma jagħmilx żewġ netwerks ekwivalenti. Iddeċiedi jekk il-fiduċja tat-transitu privat taqbilx mad-data qabel ma tiddependi fuqha.