SSH na drugi zasebni poti, medtem ko VPN ostaja aktiven

En stroj doseže drugega prek VPN, in zdaj si nekdo želi isto lupino v zasebnem omrežju ponudnika. Pot obstaja, ping uspe, SSH pa vseeno zavrača. Običajni vzrok je, da demon nikoli ni poslušal na novem naslovu, zato se ni na kaj povezati. To je težava z vezavo naslova, preden postane težava požarnega zidu.

Zakaj nova pot ne ustvari novega poslušalca

Poslušalni socket ustvari proces, ki poimenuje naslove, na katerih bo sprejemal povezave. Pot samo pove paketom, kam naj potujejo; ne ustvari poslušalca na cilju. Ko je sshd konfiguriran z enim samim ListenAddress, so povezave na kateri koli drug lokalni naslov zavrnjene, čeprav je vmesnik aktiven. Enako velja za socket-enoto, ki ima vrata, zato je prvi pregled vedno, kaj dejansko posluša.

Primerjajte obe poti po ciljnem naslovu, ne po imenu vmesnika. Odjemalec se poveže z naslovom, in ta naslov mora biti vezan, preden je katero koli pravilo požarnega zidu pomembno.

Naštejte naslove in poslušalce

Preden karkoli uredite, zabeležite naslove na gostitelju in sockete, ki zdaj obstajajo.

ip -br addr
ss -ltnp | grep ':22'

Seznam naslovov pokaže, kateri zasebni naslov je resničen in na katerem vmesniku, seznam socketov pa pokaže, ali je nanj kaj vezano. Poslušalec na 0.0.0.0:22 že sprejema vsak naslov, zato nova vezava ne doda ničesar. Poslušalec na enem določenem naslovu takoj pojasni zavrnitev. Če vrata pripadajo socket-enoti in ne demonu, konfiguracija demona ni celotna zgodba.

Dodajte vezavo in obdržite staro

OpenSSH sprejme več vnosov ListenAddress, zato lahko pot VPN ostane, medtem ko se doda zasebna. Pred ponovnim nalaganjem preizkusite datoteko.

sshd -t
systemctl reload sshd

Neuspeli preizkus konfiguracije pusti delujočega demona nedotaknjenega, in to je natanko tisto, kar želite, medtem ko ste povezani po poti, ki jo urejate. Obdržite obstoječi vnos, dodajte novi lokalni naslov in potrdite, da se storitev znova naloži brez prekinitve trenutne seje. Pri namestitvah, ki jih aktivira socket, dodajte naslov socket-enoti in znova naložite to enoto. Nato znova preberite seznam poslušalcev, ker vezava, ki se ni nikoli pojavila, pomeni, da je bil urejen napačen gradnik.

Preverite novo sejo, preden zaprete staro

Povežite se z novim naslovom, medtem ko je prvotna seja še odprta, in uporabite podroben izpis, da vidite, kateri naslov in ključ sta bila uporabljena. Prvotno sejo pustite odprto, dokler preizkus ne uspe dvakrat.

ssh -v [email protected]

Preberite vrstice za odpravljanje napak o ciljnem naslovu in predstavljenem ključu gostitelja. Potrdite prstni odtis ključa gostitelja glede na vrednost, ki ji že zaupate, namesto da sprejmete neznan ključ zato, ker je omrežje opisano kot zasebno. Novi cilj potrebuje svoj vnos known_hosts, in to je pričakovano. Staro upravljalno sejo zaprite šele, ko zasebna pot deluje.

SSH ščiti prenos, vendar sam po sebi ne naredi dveh omrežij enakovrednih. Odločite se, ali zaupanje v zasebni prehod ustreza podatkom, preden se nanj zanesete.