SSH na drugom privatnom putu dok VPN ostaje aktivan

Jedno računalo doseže drugo preko VPN-a, a netko sada želi istu ljusku preko privatne mreže pružatelja. Ruta postoji, ping uspijeva, a SSH još uvijek odbija vezu. Uobičajen uzrok je da demon nikada nije slušao na novoj adresi, pa se nema čemu spojiti. To je problem vezanja adrese prije nego problem vatrozida.

Zašto nova ruta ne stvara novi slušač

Slušni socket stvara proces koji imenuje adrese na kojima će prihvaćati veze. Ruta samo govori paketima kamo putovati; ona ne stvara slušača na odredištu. Kada je sshd konfiguriran s jednim ListenAddress, veze na bilo koju drugu lokalnu adresu odbijaju se iako je sučelje aktivno. Isto vrijedi za socket jedinicu koja drži port, zbog čega je prva provjera uvijek ono što stvarno sluša.

Usporedite dva puta prema odredišnoj adresi, a ne prema nazivu sučelja. Klijent se spaja na adresu, a ta adresa mora biti vezana prije nego ijedno pravilo vatrozida postane važno.

Popišite adrese i slušače

Prije bilo kakvog uređivanja zabilježite adrese na hostu i sockete koji sada postoje.

ip -br addr
ss -ltnp | grep ':22'

Popis adresa pokazuje koja je privatna adresa stvarna i na kojem sučelju, dok popis socketa pokazuje je li išta vezano na nju. Slušač na 0.0.0.0:22 već prihvaća svaku adresu, pa novo vezanje ne dodaje ništa. Slušač na jednoj određenoj adresi odmah objašnjava odbijanje. Ako port pripada socket jedinici, a ne demonu, konfiguracija demona nije cijela priča.

Dodajte vezanje i zadržite staro

OpenSSH prihvaća nekoliko ListenAddress unosa, pa VPN put može ostati dok se dodaje privatni. Testirajte datoteku prije ponovnog učitavanja.

sshd -t
systemctl reload sshd

Neuspjeli test konfiguracije ostavlja pokrenuti demon netaknutim, što je upravo ono što želite dok ste povezani putem koji uređujete. Zadržite postojeći unos, dodajte novu lokalnu adresu i potvrdite da se usluga ponovno učitava bez prekidanja trenutne sesije. Na instalacijama aktiviranima socketom dodajte adresu socket jedinici i ponovno učitajte tu jedinicu. Zatim ponovno pročitajte popis slušača, jer vezanje koje se nikada nije pojavilo znači da je uređena pogrešna komponenta.

Provjerite novu sesiju prije zatvaranja stare

Spojite se na novu adresu dok je izvorna sesija još otvorena, koristeći detaljni izlaz da vidite koja su adresa i ključ korišteni. Ostavite izvornu sesiju otvorenom dok provjera ne uspije dvaput.

ssh -v [email protected]

Pročitajte retke za otklanjanje pogrešaka o odredišnoj adresi i predstavljenom ključu hosta. Potvrdite otisak ključa hosta prema vrijednosti kojoj već vjerujete, umjesto da prihvatite nepoznati ključ zato što je mreža opisana kao privatna. Novo odredište treba vlastiti known_hosts unos, i to je očekivano. Staru upravljačku sesiju zatvorite tek kada privatni put proradi.

SSH štiti prijenos, ali ne čini dvije mreže jednakima same po sebi. Odlučite odgovara li povjerenje privatnog prijelaza podacima prije nego se na njega oslonite.