SSH ku hakadka SSH2_MSG_KEX_ECDH_REPLY: ma aha had iyo jeer MTU

Tunnel-ku waa shaqaynayaa, banner-ku waa yimaadaa, macmiilka wuxuu daabacaa fariin ku saabsan sugitaanka jawaabta isweydaarsiga furayaasha. Natiijooyinka raadinta waxay si toos ah u tilmaamayaan MTU, mararka qaarna taasi waa sax. Marar badan ma aha: jawaabta lama awoodin in la diro, sababtoo ah macmiilku ma awoodin inuu akhriyo fayl fure ama labada daraf ma aysan heshiin algorithm. Sadarku wuxuu sharraxayaa waxa macmiilku sugayo, ma aha sababta sugitaanku bilaabmay. U qaado calaamad oo ka sooc saddexda sababood ka hor inta aadan beddelin wax cabbir ah.

Akhri raadka si aad u aragto haddii jawaab la filayay

Soo-saarista faahfaahsan waxay muujinaysaa tallaabada ugu dambeysay ee guulaysatay ka hor aamusnaanta. Haddii banner-ka borotokoolka server-ka uu yimid, TCP wuu shaqaynayaa dhinaca fog-na wuu nool yahay; su'aasha furan waa waxa ku dhacay hal packet gaar ah. Hal daqiiqo aamusnaan ka dib banner-ka waxay u egtahay dhibaato waddo. Fariin ku saabsan ma jiro hab isweydaarsi fure oo u dhigma waa dhibaato siyaasad. Sugitaan dheer oo ku dhamaada server-ka oo xidha kulanka waxay ka dhigan tahay server-ku wuu ka tanaasulay, log-kiisuna wuxuu sharraxayaa sababta.

Xaaladda ugu dambeysa, akhri log-ka aqoonsiga server-ka ka hor inta aadan taaban macmiilka. Macmiilku ma arki karo go'aan uusan server-ku waligiis dirin.

Sababta jawaab yar ay wali u weynaan karto

Jawaabaha isweydaarsiga furayaasha badanaa aad bay u yaryar yihiin, markaa in cabbirka lagu eedeeyo waxay u muuqataa khalad. Iyada oo leh shahaadooyinka host-ka jawaabtu ma aha yar, sababtoo ah waxay qaadaysaa silsiladda shahaadooyinka server-ka. Taasi waxay ka dhigtaa packet-ka ugu horreeya ee kulanka ee ka bixi kara culayska la isticmaali karo ee tunnel-ka. Marka jawaab-celinta ogaanshaha MTU ee waddada meel ku lumo, diraha wuxuu si joogto ah u dib u diraa packet aan geli karin, macmiilkuna weligiis wuxuu sugayaa isla sadarkaas.

Go'aanso cabbirka halkii aad ka malayn lahayd. Akhri MTU tunnel-ka ip link show tun0, ka dib dir tijaabooyin aan qaybsamin: ping -4 -M do -s 1352 host, oo lagu celiyo culaysyo yaryar. Isbeddel ka yimaada guuldarro ilaa guul cabbir gaar ah waa caddayn; guuldarro isku mid ah waxay soo jeedinaysaa in ICMP la sifeeyo oo waxna kuma sheegto.

Dhimis ku meel gaar ah ayaa si degdeg ah u xaqiijisa aragtida, nooca joogtada ahna wuxuu ku jiraa profile-ka ama sida MSS xaddidan router-ka tunnel-ka gudbiya:

sudo ip link set dev tun0 mtu 1200
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Labada sababood ee dayactira cabbirka dhibaatada

Fayl fure oo macmiilku akhriyi karin wuxuu abuuraa isla sugitaankaas, iyada oo aan digniin lahayn xitaa soo-saarista faahfaahsan. Hal qaab known_hosts ayaa tan fududaynaya: gelitaan @cert-authority oo tilmaamaya fure dadweyne CA oo kaliya hal akoon akhriyi karo. Akoonka faylka leh wuu isku xiraa, akoon kasta oo kale wuu hakadkaa. Haddii guuldarrada ay raacdo isticmaalaha halkii host-ka, hubi hababka faylka ka hor cabbirrada packet-ka.

Cusboonaysiin sidoo kale waxay ka saari kartaa algorithm-ka labada daraf ay hore u wadaageen. Ku dheji hal hab oo server-ku wali bixiyo oo ah ogaanshaha: ssh -oKexAlgorithms=ecdh-sha2-nistp521 user@host. Xiriir isla markiiba guuleysta wuxuu caddeeyaa in waddadu fiican tahay iyo in hagaajintu ku jirto siyaasadda gorgortanka labada dhinac.

Saddex xaqiiqo oo mudan in la qoro

Qor MTU tunnel-ka ka hor iyo ka dib isbeddel kasta, haddii nuqulka fayl weyn uu ku guuldarreysto cabbir soo noqnoqda, iyo haddii host aan shahaado lahayn oo isla tunnel-ka ku jira uu isla sidaas u hakado. Saddexdaas indho-indheyn waxay cabbirka ka soocaan fasaxyada iyo gorgortanka si ka degdeg badan tuulmo amarar ah.

Waxay sidoo kale ka horjoogsadaan qofka xiga inuu hoos u dhigto MTU sababtoo ah cilad waligeed aan ku saabsanayn cabbirka.

Haddii sawirku wali caddayn, ka tijaabi macmiil labaad oo isla tunnel-ka ku jira. Macmiilka isku xira wuxuu ciladda ka guuriyaa waddada una guuriyaa habaynta mishiinka koowaad.