Ping inafanya kazi lakini SSH inashindikana kupitia VPN: hatua ipi ilivunjika?
Jaribio moja la kina hutenganisha ufikivu wa TCP, usafirishaji wa SSH, utambulisho wa mwenyeji, kuingia kwa mtumiaji na ruhusa ya kikao, ili uache kukisia kuhusu handaki.
Majibu ya ping na kuingia kwa SSH kuliokataliwa yanaweza kuwa kweli kwa wakati mmoja, na jozi hiyo haishtaki handaki. Majibu ya mwangwi na muunganisho wa TCP hadi bandari 22 ni majaribio tofauti yenye vichaguzi tofauti, sera tofauti na mara nyingi maeneo tofauti. Rekodi jaribio moja la SSH la kukusudia, kisha taja hatua ya mwisho iliyoifikia. Kipengele hicho kimoja kinabadilisha mabadiliko kadhaa ya usanidi ya kukisia.
Rekodi jaribio moja, si kikao cha kuchokonoa
Endesha mteja mara moja ukiwa na uchunguzi wa kina, kushiriki muunganisho kumezimwa na muda wa muunganisho wenye kikomo. Kuzima kushiriki ni muhimu kwa sababu muunganisho mkuu uliothibitishwa awali utajibu badala ya jaribio jipya na kuficha hitilafu unayofuatilia.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Hifadhi lengwa, familia ya anwani, muhuri wa muda na hitilafu ya mwisho isiyo ya siri. Bendera ya IPv4 pia inamaanisha jaribio hili halisemi chochote kuhusu njia ya IPv6 hadi jina hilo hilo, kwa hivyo usijumlishe kutokana nalo. Andika jaribio lilifanywa kutoka wapi. Ukaguzi kwenye lango la VPN si mtazamo sawa na kompyuta mpito nyuma yake, na migongano mingi katika tiketi hizi hutokana na kuchanganya hayo mawili.
Hatua ya kwanza na ya pili: TCP kabla ya SSH
Mpaka wa kwanza ni ufikivu wa soketi: anwani, bandari na njia ambayo pakiti inaifuata kwa kweli. Ikiwa muunganisho wa TCP haujakamilika kamwe, hakuna kitu chochote juu yake bado, na funguo za mwenyeji na akaunti hazihusiki.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Oanisha rekodi na jaribio la mteja. SYN inayotoka na hakuna kinachorudi inaonyesha uchujaji, vichaguzi au njia inayokosekana upande wa mbali; jibu lenye kuweka upya linaonyesha kitu kinachokataa kwa vitendo badala ya kutupa. Mpaka wa pili ni ubadilishanaji wa itifaki ya SSH wenyewe. Muunganisho wa TCP unaokamilika kisha kukwama umevuka ufikivu na kuingia kwenye majadiliano, jibu la seva au ushughulikiaji wa pakiti. Hiyo ni uchunguzi mwingine, na hapo ndipo matatizo yanayohusiana na ukubwa yanakuwa ya kutiliwa maanani kwa mara ya kwanza.
Hatua ya tatu: funguo ya nani ilijibu
Usafirishaji unapoinuka, mteja huthibitisha ufunguo wa mwenyeji wa seva. Kukataa hapa ni taarifa kuhusu utambulisho, si kuhusu usimbaji fiche: mwenzake aliwasilisha ufunguo ambao sera yako haikubali. Ichukulie kama sharti la kusimama na uthibitishe nje ya kipimo, kwa konsoli au kwa opereta aliyelijenga upya mwenyeji. Kufuta kumbukumbu iliyoandikwa ili kuondoa onyo ni njia pekee ya mkato unayopaswa kukataa, kwa sababu huharibu ushahidi kwamba kitu kilijibu bila kutarajia.
Ikiwa mwenyeji alijengwa upya kweli, ondoa rekodi ya zamani tu baada ya alama ya kidole mpya kuthibitishwa, na andika tarehe na sababu. Mhandisi anayefuata atakutana na onyo lile lile na anahitaji muktadha huo.
Hatua ya nne na ya tano: akaunti dhidi ya ruhusa
Uthibitishaji ni mpaka wa nne. Vitambulisho vilivyokataliwa inamaanisha seva ilitathmini jaribio na kulikataa; angalia akaunti, aina ya kitambulisho ambacho seva inakubali na sera ya seva yenyewe badala ya nywila ya VPN. Mpaka wa tano ni idhini baada ya kuingia kwa mafanikio. Mtumiaji aliyethibitishwa bado anaweza kunyimwa shell, amri, mfumo mdogo au upelekaji mbele, na kukataa huko kunaonekana kama hitilafu kwa anayesoma mstari wa mwisho wa mteja pekee.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Simama baada ya majaribio kadhaa ya nywila yaliyoshindikana. Kukisia mara kwa mara huunda vifungo ambavyo baadaye vinaonekana kama hitilafu ya pili isiyohusiana na hugharimu muda zaidi kuliko tiketi ya awali.
Kurudi nyuma na rekodi unayoiweka
Badilisha kitu kimoja kwa wakati mmoja, na andika ulichobadilisha kabla ya kujaribu tena. Ikiwa badiliko linazidisha jaribio, rudisha mara moja badala ya kukusanya marekebisho mengine juu yake. Rudia operesheni ya awali kutoka kwa mteja na muktadha wa awali. Kuingia kwa mafanikio kutoka mashine nyingine, katika familia nyingine ya anwani, si uigaji na hakuthibitishi marekebisho.
Safisha unachoshiriki. Matokeo ya kina ya mteja yanaweza kubeba majina ya ndani, lebo za akaunti, njia za funguo na vitambulisho vya funguo za umma, kwa hivyo chapisha hitimisho la hatua kwa hatua badala ya athari ghafi.