Ping funksionon por SSH dështon përmes VPN: cila fazë u thye?
Një tentativë e detajuar i ndan arritshmërinë TCP, transportin SSH, identitetin e hostit, hyrjen e përdoruesit dhe lejen e sesionit, që të ndaloni së hamendësuari për tunelin.
Përgjigjet e ping dhe një hyrje SSH e refuzuar mund të jenë të vërteta njëkohësisht, dhe çifti nuk e fajëson tunelin. Përgjigjet e eko dhe një lidhje TCP te porta 22 janë teste të ndryshme me përzgjedhës të ndryshëm, politika të ndryshme dhe shpesh destinacione të ndryshme. Regjistroni një tentativë SSH të qëllimshme dhe më pas emërtoni fazën e fundit që arriti. Ai artefakt i vetëm zëvendëson një duzinë ndryshimesh spekulative konfigurimi.
Regjistroni një tentativë, jo një sesion goditjesh
Ekzekutoni klientin një herë me diagnostikim të detajuar, ndarjen e lidhjes të çaktivizuar dhe një afat kohor të kufizuar lidhjeje. Çaktivizimi i ndarjes ka rëndësi sepse një lidhje kryesore e vërtetuar më parë do të përgjigjej në vend të tentativës së re dhe do të fshihte dështimin që po ndiqni.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Ruani destinacionin, familjen e adresave, vulën kohore dhe gabimin e fundit jo të fshehtë. Flamuri IPv4 gjithashtu do të thotë që kjo tentativë nuk thotë asgjë për një rrugë IPv6 drejt të njëjtit emër, prandaj mos përgjithësoni prej saj. Shënoni nga është bërë tentativa. Një kontroll në portën VPN nuk është i njëjti këndvështrim si një laptop pas saj, dhe shumica e kundërshtive në këto tiketa vijnë nga përzierja e të dyjave.
Faza e parë dhe e dytë: TCP para SSH
Kufiri i parë është arritshmëria e soketit: një adresë, një portë dhe një rrugë që paketa vërtet ndjek. Nëse lidhja TCP nuk përfundon kurrë, mbi të nuk ekziston ende asgjë, dhe çelësat e hostit e llogaritë janë të parëndësishme.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Lidhni regjistrimin me tentativën e klientit. Një SYN që del dhe asgjë që nuk kthehet tregon filtrim, përzgjedhës ose një rrugë që mungon në anën e largët; një përgjigje me rivendosje tregon diçka që refuzon në mënyrë aktive në vend që të hedhë. Kufiri i dytë është vetë shkëmbimi i protokollit SSH. Një lidhje TCP që përfundon dhe më pas ngec ka kaluar arritshmërinë dhe ka hyrë në negociim, përgjigje të serverit ose trajtim paketash. Ky është një hetim tjetër, dhe aty problemet e lidhura me madhësinë bëhen të besueshme për herë të parë.
Faza e tretë: çelësi i kujt u përgjigj
Kur transporti është lart, klienti verifikon çelësin e hostit të serverit. Refuzimi këtu është një deklaratë për identitetin, jo për kriptografinë: pala paraqiti një çelës që politika juaj nuk e pranon. Trajtojeni si kusht ndalimi dhe verifikoni jashtë brezit, te konsola ose te operatori që rindërtoi hostin. Fshirja e zërit të mbajtur mend për të hequr paralajmërimin është i vetmi shkurtim që duhet refuzuar, sepse shkatërron provën që diçka u përgjigj papritur.
Nëse hosti u rindërtua vërtet, hiqni regjistrimin e vjetër vetëm pasi gjurma e re të konfirmohet, dhe shënoni datën dhe arsyen. Inxhinieri tjetër do të ndeshet me të njëjtin paralajmërim dhe ka nevojë për atë kontekst.
Faza e katërt dhe e pestë: llogaria kundrejt lejes
Vërtetimi është kufiri i katërt. Kredencialet e refuzuara do të thotë që serveri e vlerësoi tentativën dhe e refuzoi; kontrolloni llogarinë, llojin e kredencialeve që serveri pranon dhe politikën e vetë serverit, jo fjalëkalimin e VPN. Kufiri i pestë është autorizimi pas një hyrjeje të suksesshme. Një përdorues i vërtetuar mund të refuzohet ende për një shell, një komandë, një nënsistem ose një përcjellje, dhe ato refuzime duken si dështime për këdo që lexon vetëm rreshtin e fundit të klientit.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Ndaloni pas disa tentativave të dështuara me fjalëkalim. Hamendësimet e përsëritura krijojnë bllokime që më pas duken si një dështim i dytë i palidhur dhe kushtojnë më shumë kohë sesa tiketa origjinale.
Kthimi prapa dhe regjistri që mbani
Ndryshoni një gjë në një herë dhe shënoni çfarë ndryshuat përpara se të ritestoni. Nëse një ndryshim e përkeqëson tentativën, kthejeni menjëherë në vend që të grumbulloni një rregullim tjetër sipër. Përsëritni veprimin origjinal nga klienti dhe konteksti origjinal. Një hyrje e suksesshme nga një makinë tjetër, në një familje tjetër adresash, nuk është riprodhim dhe nuk e provon rregullimin.
Sanitizoni atë që ndani. Dalja e detajuar e klientit mund të mbajë emra të brendshëm, etiketa llogarish, shtigje çelësash dhe identifikues çelësash publikë, prandaj publikoni përfundimin sipas fazave në vend të një gjurme të papërpunuar.