Gumagana ang ping pero nabigo ang SSH sa VPN: aling yugto ang nasira?
Isang detalyadong pagtatangka ang naghihiwalay sa abot ng TCP, transport ng SSH, pagkakakilanlan ng host, pag-login ng user at pahintulot ng session, para tigilan mo ang paghula sa tunnel.
Ang mga sagot ng ping at tinanggihang pag-login ng SSH ay maaaring parehong totoo nang sabay, at hindi inuugnay ng pares ang tunnel. Ang mga sagot ng echo at koneksyon ng TCP sa port 22 ay magkaibang pagsubok na may magkaibang selector, magkaibang patakaran at kadalasang magkaibang destinasyon. Itala ang isang sadyang pagtatangka ng SSH, pagkatapos pangalanan ang huling yugtong naabot nito. Ang nag-iisang artepakto ay pumapalit sa dosenang haka-hakang pagbabago sa configuration.
Itala ang isang pagtatangka, hindi isang sesyon ng pagsundot
Patakbuhin ang client nang isang beses na may detalyadong diagnostic, nakapatay ang pagbabahagi ng koneksyon at may limitadong timeout ng koneksyon. Mahalaga ang pagpatay sa pagbabahagi dahil ang dating na-authenticate na master connection ay sasagot para sa bagong pagtatangka at itatago ang fault na hinahabol mo.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Itago ang destinasyon, pamilya ng address, timestamp at ang huling error na hindi lihim. Ang flag ng IPv4 ay nangangahulugan ding walang sinasabi ang pagtatangkang ito tungkol sa landas ng IPv6 patungo sa parehong pangalan, kaya huwag mag-generalize mula rito. Itala kung saan ginawa ang pagtatangka. Ang pagsusuri sa gateway ng VPN ay hindi parehong punto de vista ng isang laptop sa likod nito, at karamihan ng kontradiksyon sa mga ticket na ito ay nagmumula sa paghahalo ng dalawa.
Una at ikalawang yugto: TCP bago ang SSH
Ang unang hangganan ay ang abot ng socket: isang address, isang port at isang ruta na talagang sinusundan ng packet. Kung hindi kailanman natapos ang koneksyon ng TCP, wala pang anumang nasa itaas nito, at walang kaugnayan ang mga host key at account.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Iugnay ang record sa pagtatangka ng client. Ang SYN na lumalabas at walang bumabalik ay tumutukoy sa pag-filter, mga selector o kulang na ruta sa malayong panig; ang sagot na may reset ay tumutukoy sa isang bagay na aktibong tumatanggi sa halip na magtapon. Ang ikalawang hangganan ay ang palitan ng protocol ng SSH mismo. Ang koneksyon ng TCP na natapos at pagkatapos ay natigil ay lumampas sa abot at pumasok sa negosasyon, sagot ng server o paghawak ng packet. Iba iyon na imbestigasyon, at doon unang nagiging makatwiran ang mga problemang may kaugnayan sa laki.
Ikatlong yugto: kaninong key ang sumagot
Kapag nakataas ang transport, bineberipika ng client ang host key ng server. Ang pagtanggi rito ay pahayag tungkol sa pagkakakilanlan, hindi tungkol sa cryptography: nagpakita ang kapares ng key na hindi tinatanggap ng iyong patakaran. Ituring itong kundisyon ng paghinto at beripikahin sa labas ng banda, sa console o sa operator na muling nagtayo ng host. Ang pagbura ng naalala na entry para alisin ang babala ay ang nag-iisang shortcut na dapat mong tanggihan, dahil sinisira nito ang ebidensyang may sumagot nang hindi inaasahan.
Kung tunay na itinayo muli ang host, alisin ang lumang record pagkatapos lamang makumpirma ang bagong fingerprint, at itala ang petsa at dahilan. Makakatagpo ng parehong babala ang susunod na inhinyero at kailangan niya ang kontekstong iyon.
Ikaapat at ikalimang yugto: account laban sa pahintulot
Ang authentication ay ang ikaapat na hangganan. Ang tinanggihang kredensyal ay nangangahulugang sinuri ng server ang pagtatangka at tinanggihan ito; suriin ang account, ang uri ng kredensyal na tinatanggap ng server at ang sariling patakaran ng server sa halip na ang password ng VPN. Ang ikalimang hangganan ay ang awtorisasyon pagkatapos ng matagumpay na pag-login. Ang na-authenticate na user ay maaari pa ring tanggihan ng shell, command, subsystem o forwarding, at ang mga pagtangging iyon ay mukhang fault sa sinumang nagbabasa lamang ng huling linya ng client.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Huminto pagkatapos ng ilang nabigong pagtatangka ng password. Ang paulit-ulit na paghula ay gumagawa ng mga lockout na pagkatapos ay mukhang pangalawang, walang kaugnayang fault at mas malaki ang halaga ng oras kaysa orihinal na ticket.
Rollback at ang record na itinatago mo
Baguhin ang isang bagay nang paisa-isa, at isulat ang binago mo bago muling subukan. Kung pinapalala ng pagbabago ang pagtatangka, ibalik ito agad sa halip na magpatong ng isa pang pagwawasto. Ulitin ang orihinal na operasyon mula sa orihinal na client at konteksto. Ang matagumpay na pag-login mula sa ibang makina, sa ibang pamilya ng address, ay hindi reproduksyon at hindi nagpapatunay ng pagwawasto.
Linisin ang ibinabahagi mo. Ang detalyadong output ng client ay maaaring magdala ng mga panloob na pangalan, label ng account, landas ng key at identifier ng pampublikong key, kaya i-publish ang yugto-yugtong konklusyon sa halip na hilaw na trace.