SSH na druhej súkromnej ceste, kým VPN zostáva aktívna

Jeden stroj sa dostane k druhému cez VPN a niekto teraz chce rovnaký shell v súkromnej sieti poskytovateľa. Trasa existuje, ping uspeje a SSH napriek tomu odmieta. Zvyčajnou príčinou je, že démon nikdy nepočúval na novej adrese, takže niet sa kam pripojiť. Toto je problém naviazania adresy skôr, než je problémom firewallu.

Prečo nová trasa nevytvára nový poslucháč

Počúvajúci socket vytvára proces, ktorý pomenúva adresy, na ktorých bude prijímať spojenia. Trasa iba hovorí paketom, kam majú putovať; nevytvára poslucháča v cieli. Keď je sshd nakonfigurovaný s jediným ListenAddress, spojenia na akúkoľvek inú lokálnu adresu sa odmietajú, aj keď je rozhranie aktívne. To isté platí pre socketovú jednotku, ktorá vlastní port, preto je prvou kontrolou vždy to, čo skutočne počúva.

Porovnajte obe trasy podľa cieľovej adresy, nie podľa názvu rozhrania. Klient sa pripája k adrese a táto adresa musí byť naviazaná skôr, než akékoľvek pravidlo firewallu získa význam.

Vypíšte adresy a poslucháčov

Pred akoukoľvek úpravou si zapíšte adresy na hostiteľovi a sockety, ktoré teraz existujú.

ip -br addr
ss -ltnp | grep ':22'

Zoznam adries ukazuje, ktorá súkromná adresa je skutočná a na ktorom rozhraní, zatiaľ čo zoznam socketov ukazuje, či je na ňu niečo naviazané. Poslucháč na 0.0.0.0:22 už prijíma každú adresu, takže nové naviazanie nič nepridá. Poslucháč na jednej konkrétnej adrese hneď vysvetlí odmietnutie. Ak port patrí socketovej jednotke a nie démonovi, konfigurácia démona nie je celý príbeh.

Pridajte naviazanie a zachovajte staré

OpenSSH prijíma viacero záznamov ListenAddress, takže trasa VPN môže zostať, kým sa pridáva súkromná. Otestujte súbor pred jeho opätovným načítaním.

sshd -t
systemctl reload sshd

Neúspešný test konfigurácie necháva bežiaceho démona nedotknutého, a to je presne to, čo chcete, keď ste pripojení cez trasu, ktorú upravujete. Zachovajte existujúci záznam, pridajte novú lokálnu adresu a potvrďte, že služba sa načíta znova bez prerušenia aktuálnej relácie. Pri inštaláciách aktivovaných socketom pridajte adresu do socketovej jednotky a znova načítajte tú jednotku. Potom znova prečítajte zoznam poslucháčov, pretože naviazanie, ktoré sa nikdy neobjavilo, znamená, že bol upravený nesprávny komponent.

Overte novú reláciu pred zatvorením starej

Pripojte sa na novú adresu, kým je pôvodná relácia ešte otvorená, a použite podrobný výstup na zistenie, ktorá adresa a kľúč boli použité. Pôvodnú reláciu nechajte otvorenú, kým test neuspeje dvakrát.

ssh -v [email protected]

Prečítajte si ladiace riadky pre cieľovú adresu a predložený kľúč hostiteľa. Potvrďte odtlačok kľúča hostiteľa voči hodnote, ktorej už dôverujete, namiesto prijatia neznámeho kľúča len preto, že sieť je opísaná ako súkromná. Nové cieľové miesto potrebuje vlastný záznam known_hosts, a to je očakávané. Starú reláciu správy by ste mali zavrieť až vtedy, keď súkromná trasa funguje.

SSH chráni prenos, ale samo o sebe nerobí dve siete rovnocennými. Rozhodnite, či dôvera v súkromný prechod zodpovedá údajom, skôr než sa naň spoliehate.