Ping çalışıyor ama VPN üzerinden SSH başarısız: hangi aşama kırıldı?
Tek bir ayrıntılı deneme TCP erişilebilirliğini, SSH taşımasını, ana makine kimliğini, kullanıcı oturum açmasını ve oturum iznini ayırır; böylece tünel hakkında tahmin yürütmeyi bırakırsınız.
Ping yanıtları ve reddedilen bir SSH oturum açma aynı anda doğru olabilir ve bu ikili tüneli suçlamaz. Yankı yanıtları ile 22 numaralı bağlantı noktasına TCP bağlantısı farklı seçicileri, farklı politikaları ve çoğu zaman farklı hedefleri olan farklı testlerdir. Tek bir bilinçli SSH denemesini kaydedin, ardından ulaştığı son aşamayı adlandırın. O tek kanıt, bir düzine spekülatif yapılandırma değişikliğinin yerini alır.
Bir denemeyi kaydedin, bir dizi dürtmeyi değil
İstemciyi bir kez ayrıntılı tanılama, bağlantı paylaşımı kapalı ve sınırlı bağlantı zaman aşımıyla çalıştırın. Paylaşımı kapatmak önemlidir çünkü önceden kimliği doğrulanmış bir ana bağlantı aksi halde yeni denemenin yerine yanıt verir ve peşinde olduğunuz arızayı gizler.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Hedefi, adres ailesini, zaman damgasını ve son gizli olmayan hatayı saklayın. IPv4 bayrağı ayrıca bu denemenin aynı ada giden IPv6 yoluna dair hiçbir şey söylemediği anlamına gelir, bu yüzden ondan genelleme yapmayın. Denemenin nereden yapıldığını kaydedin. VPN ağ geçidindeki kontrol, arkasındaki bir dizüstü bilgisayarla aynı bakış açısı değildir ve bu kayıtlardaki çelişkilerin çoğu ikisini karıştırmaktan kaynaklanır.
Birinci ve ikinci aşama: SSH öncesi TCP
İlk sınır soketin erişilebilirliğidir: bir adres, bir bağlantı noktası ve paketin gerçekten izlediği bir yol. TCP bağlantısı hiç kurulmazsa üstünde henüz hiçbir şey yoktur ve ana makine anahtarları ile hesaplar ilgisizdir.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Kaydı istemci denemesiyle ilişkilendirin. Giden bir SYN ve hiçbir şeyin dönmemesi filtrelemeye, seçicilere veya uzak tarafta eksik bir yola işaret eder; sıfırlamalı bir yanıt bırakmak yerine etkin biçimde reddeden bir şeye işaret eder. İkinci sınır SSH protokolü alışverişinin kendisidir. Tamamlanıp sonra takılan bir TCP bağlantısı erişilebilirliği aşmış ve müzakereye, sunucu yanıtına veya paket işlemeye girmiştir. Bu başka bir soruşturmadır ve boyutla ilgili sorunların ilk kez akla yatkın hale geldiği yer orasıdır.
Üçüncü aşama: kimin anahtarı yanıt verdi
Taşıma ayağa kalkınca istemci sunucunun ana makine anahtarını doğrular. Buradaki ret kimlikle ilgili bir ifadedir, şifreleme ile ilgili değil: karşı taraf politikanızın kabul etmediği bir anahtar sundu. Bunu durma koşulu olarak ele alın ve bant dışında, konsoldan veya ana makineyi yeniden kuran operatörden doğrulayın. Uyarıyı temizlemek için hatırlanan kaydı silmek, reddetmeniz gereken tek kestirmedir çünkü beklenmedik bir şeyin yanıt verdiğine dair kanıtı yok eder.
Ana makine gerçekten yeniden kurulduysa, eski kaydı ancak yeni parmak izi doğrulandıktan sonra kaldırın ve tarih ile nedeni not edin. Sonraki mühendis aynı uyarıyla karşılaşacak ve bu bağlama ihtiyaç duyacak.
Dördüncü ve beşinci aşama: hesap ve izin
Kimlik doğrulama dördüncü sınırdır. Reddedilen kimlik bilgileri sunucunun denemeyi değerlendirip reddettiği anlamına gelir; VPN parolası yerine hesabı, sunucunun kabul ettiği kimlik bilgisi türünü ve sunucunun kendi politikasını kontrol edin. Beşinci sınır başarılı oturum açmadan sonraki yetkilendirmedir. Kimliği doğrulanmış bir kullanıcıya hâlâ kabuk, komut, alt sistem veya yönlendirme reddedilebilir ve bu retler yalnızca istemcinin son satırını okuyan biri için arıza gibi görünür.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Birkaç başarısız parola denemesinden sonra durun. Tekrarlanan tahminler, sonradan ikinci ve ilgisiz bir arıza gibi görünen kilitlenmeler yaratır ve ilk kayıttan daha fazla zaman harcatır.
Geri alma ve tuttuğunuz kayıt
Her seferinde tek bir şeyi değiştirin ve yeniden test etmeden önce neyi değiştirdiğinizi yazın. Bir değişiklik denemeyi kötüleştirirse üstüne başka bir düzeltme yığmak yerine hemen geri alın. Özgün işlemi özgün istemciden ve bağlamdan tekrarlayın. Başka bir makineden, başka bir adres ailesinde başarılı oturum açma, yeniden üretim değildir ve düzeltmeyi kanıtlamaz.
Paylaştığınızı temizleyin. Ayrıntılı istemci çıktısı iç adlar, hesap etiketleri, anahtar yolları ve ortak anahtar tanımlayıcıları taşıyabilir, bu yüzden ham bir iz yerine aşamalı sonucu yayımlayın.