SSH2_MSG_KEX_ECDH_REPLY இல் SSH நிற்கிறது: எப்போதும் MTU அல்ல

சுரங்கப்பாதை இயங்குகிறது, பேனர் வருகிறது, மேலும் வாடிக்கையாளர் விசை பரிமாற்றத்தின் பதிலுக்காக காத்திருப்பதாக செய்தியை அச்சிடுகிறது. தேடல் முடிவுகள் நேராக MTU-வை சுட்டுகின்றன, சில நேரங்களில் அது சரி. பல நேரங்களில் இல்லை: வாடிக்கையாளர் விசை கோப்பை படிக்க முடியவில்லை அல்லது இரு முனைகளும் வழிமுறையில் ஒப்புக்கொள்ளவில்லை என்பதால் பதில் ஒருபோதும் அனுப்பப்படாமல் இருக்கலாம். அந்த வரி வாடிக்கையாளர் எதற்காக காத்திருக்கிறது என்பதை விவரிக்கிறது, காத்திருப்பு ஏன் தொடங்கியது என்பதை அல்ல. அதை அறிகுறியாகக் கருதி எந்த அளவையும் மாற்றுவதற்கு முன் மூன்று காரணங்களைப் பிரிக்கவும்.

பதில் உண்மையில் எதிர்பார்க்கப்பட்டதா எனப் பார்க்க தடயத்தைப் படிக்கவும்

விரிவான வெளியீடு அமைதிக்கு முன் கடைசி வெற்றிகரமான படியைக் காட்டுகிறது. சேவையகத்தின் நெறிமுறை பேனர் வந்திருந்தால், TCP இயங்குகிறது மற்றும் தொலை முனை உயிருடன் உள்ளது; திறந்த கேள்வி ஒரு குறிப்பிட்ட பாக்கெட்டுக்கு என்ன நடந்தது என்பதே. பேனருக்குப் பிறகு ஒரு நிமிட அமைதி பாதை சிக்கலாகத் தெரிகிறது. பொருந்தும் விசை பரிமாற்ற முறை இல்லை என்ற செய்தி கொள்கை சிக்கல். சேவையகம் அமர்வை மூடுவதுடன் நீண்ட காத்திருப்பு முடிந்தால் சேவையகம் விட்டுக்கொடுத்தது என்பது பொருள், அதன் பதிவு காரணத்தை விளக்குகிறது.

கடைசி வழக்கில், வாடிக்கையாளரைத் தொடுவதற்கு முன் சேவையகத்தின் அங்கீகார பதிவைப் படிக்கவும். சேவையகம் ஒருபோதும் அனுப்பாத முடிவை வாடிக்கையாளர் பார்க்க முடியாது.

சிறிய பதில் ஏன் இன்னும் மிகப் பெரியதாக இருக்கலாம்

விசை பரிமாற்ற பதில்கள் பொதுவாக மிகச் சிறியவை, எனவே அளவைக் குறை சொல்வது தவறாக ஒலிக்கிறது. ஹோஸ்ட் சான்றிதழ்களுடன் பதில் சிறியதல்ல, ஏனெனில் அது சேவையகத்தின் சான்றிதழ் சங்கிலியைச் சுமக்கிறது. அது அமர்வில் சுரங்கப்பாதையின் பயன்படுத்தக்கூடிய பேலோடை மீறக்கூடிய முதல் பாக்கெட்டாக மாற்றுகிறது. பாதை MTU கண்டறிதல் பின்னூட்டம் பாதையில் எங்கோ தொலைந்தால், அனுப்புநர் பொருந்தாத பாக்கெட்டை மீண்டும் மீண்டும் அனுப்பிக்கொண்டே இருக்கிறார், வாடிக்கையாளர் அதே வரியில் என்றென்றும் காத்திருக்கிறார்.

அளவை ஊகிக்காமல் தீர்மானிக்கவும். ip link show tun0 மூலம் சுரங்கப்பாதையின் MTU-வைப் படிக்கவும், பிறகு துண்டாகக்கூடாத ஆய்வுகளை அனுப்பவும்: ping -4 -M do -s 1352 host, சிறிய பேலோடுகளுடன் மீண்டும் செய்யவும். ஒரு குறிப்பிட்ட அளவில் தோல்வியிலிருந்து வெற்றிக்கு மாறுவது சான்று; ஒரே மாதிரியான தோல்வி ICMP வடிகட்டப்படுவதைக் குறிக்கிறது, உங்களுக்கு எதுவும் சொல்லவில்லை.

தற்காலிகக் குறைப்பு கோட்பாட்டை விரைவாக உறுதிப்படுத்துகிறது, நிரந்தர பதிப்பு சுயவிவரத்தில் அல்லது சுரங்கப்பாதையை முன்னோக்கி அனுப்பும் ரவுட்டரில் MSS வரம்பாக உள்ளது:

sudo ip link set dev tun0 mtu 1200
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

அளவு சிக்கலைப் பின்பற்றும் இரண்டு காரணங்கள்

வாடிக்கையாளர் படிக்க முடியாத விசை கோப்பு அதே காத்திருப்பை உருவாக்குகிறது, விரிவான வெளியீட்டிலும் எச்சரிக்கை இல்லாமல். known_hosts இன் ஒரு முறை இதை எளிதாக்குகிறது: ஒரு கணக்கு மட்டுமே படிக்கக்கூடிய CA பொது விசையைச் சுட்டும் @cert-authority உள்ளீடு. கோப்பைச் சொந்தமாக்கிய கணக்கு இணைகிறது, மற்ற ஒவ்வொரு கணக்கும் நிற்கிறது. தோல்வி ஹோஸ்ட்டை அல்ல, பயனரைப் பின்தொடர்ந்தால், பாக்கெட் அளவுகளுக்கு முன் கோப்பு முறைகளைச் சரிபார்க்கவும்.

மேம்படுத்தல் இரு முனைகளும் முன்பு பகிர்ந்த வழிமுறையையும் நீக்கக்கூடும். சேவையகம் இன்னும் வழங்கும் ஒரு முறையை நோயறிதலாகப் பின்னவும்: ssh -oKexAlgorithms=ecdh-sha2-nistp521 user@host. உடனடியாக வெற்றிபெறும் இணைப்பு பாதை சரியானது என்பதை நிரூபிக்கிறது, திருத்தம் இரு பக்கங்களின் பேச்சுவார்த்தைக் கொள்கையில் உள்ளது.

எழுதத் தகுந்த மூன்று உண்மைகள்

எந்த மாற்றத்திற்கும் முன் பின் சுரங்கப்பாதையின் MTU, பெரிய கோப்பு நகலெடுப்பு மீளக்கூடிய அளவில் தோல்வியடைகிறதா, அதே சுரங்கப்பாதையில் சான்றிதழ் இல்லாத ஹோஸ்ட்டும் அதேபோல் நிற்கிறதா என்று பதிவு செய்யவும். அந்த மூன்று அவதானிப்புகள் அளவை அனுமதிகள் மற்றும் பேச்சுவார்த்தையிலிருந்து கட்டளைகளின் குவியலை விட வேகமாகப் பிரிக்கின்றன.

எப்போதும் அளவைப் பற்றியதாக இல்லாத குறைபாட்டிற்காக அடுத்த நபர் MTU-வைக் குறைப்பதையும் அவை தடுக்கின்றன.

படம் இன்னும் தெளிவாக இல்லை என்றால், அதே சுரங்கப்பாதையின் இரண்டாவது வாடிக்கையாளரிடமிருந்து சோதிக்கவும். இணையும் வாடிக்கையாளர் குறைபாட்டைப் பாதையிலிருந்து முதல் இயந்திரத்தின் கட்டமைப்புக்கு நகர்த்துகிறார்.