VPN açıkken ikinci özel yolda SSH

Bir makine diğerine VPN üzerinden erişiyor ve şimdi biri aynı kabuğu sağlayıcının özel ağında istiyor. Rota var, ping başarılı, ama SSH yine de reddediyor. Olağan neden, arka plan programının yeni adreste hiç dinlememiş olmasıdır, bu yüzden bağlanacak bir şey yoktur. Bu, güvenlik duvarı sorunundan önce bir adres bağlama sorunudur.

Yeni bir rota neden yeni bir dinleyici oluşturmaz

Dinleyen soketi, kabul edeceği adresleri adlandıran bir süreç oluşturur. Rota yalnızca paketlere nereye gideceklerini söyler; hedefte bir dinleyici oluşturmaz. sshd tek bir ListenAddress ile yapılandırıldığında, arayüz açık olsa bile diğer yerel adreslere bağlantılar reddedilir. Bağlantı noktasına sahip soket birimi için de aynısı geçerlidir, bu yüzden ilk kontrol her zaman gerçekte neyin dinlediğidir.

İki yolu arayüz adına değil hedef adrese göre karşılaştırın. İstemci bir adrese bağlanır ve herhangi bir güvenlik duvarı kuralı önem kazanmadan önce o adres bağlanmış olmalıdır.

Adresleri ve dinleyicileri listeleyin

Herhangi bir şeyi düzenlemeden önce ana bilgisayardaki adresleri ve şu anda var olan soketleri kaydedin.

ip -br addr
ss -ltnp | grep ':22'

Adres listesi hangi özel adresin gerçek olduğunu ve hangi arayüzde bulunduğunu gösterirken, soket listesi ona bir şeyin bağlı olup olmadığını gösterir. 0.0.0.0:22 üzerindeki dinleyici zaten her adresi kabul eder, bu yüzden yeni bağlama hiçbir şey eklemez. Belirli bir adresteki dinleyici reddin nedenini hemen açıklar. Bağlantı noktası arka plan programına değil de soket birimine aitse, arka plan programı yapılandırması hikâyenin tamamı değildir.

Bağlamayı ekleyin ve eskisini koruyun

OpenSSH birden çok ListenAddress girdisini kabul eder, bu yüzden özel yol eklenirken VPN yolu kalabilir. Dosyayı yeniden yüklemeden önce test edin.

sshd -t
systemctl reload sshd

Başarısız bir yapılandırma testi çalışan arka plan programını dokunulmadan bırakır ve düzenlediğiniz yol üzerinden bağlıyken tam olarak istediğiniz şey budur. Mevcut girdiyi koruyun, yeni yerel adresi ekleyin ve hizmetin geçerli oturumu düşürmeden yeniden yüklendiğini doğrulayın. Soket ile etkinleştirilen kurulumlarda adresi bunun yerine soket birimine ekleyin ve o birimi yeniden yükleyin. Ardından dinleyici listesini yeniden okuyun, çünkü hiç görünmeyen bir bağlama yanlış bileşenin düzenlendiği anlamına gelir.

Eski oturumu kapatmadan önce yeni oturumu doğrulayın

Özgün oturum hâlâ açıkken yeni adrese bağlanın ve hangi adres ile anahtarın kullanıldığını görmek için ayrıntılı çıktı kullanın. Test iki kez başarılı olana kadar özgün oturumu açık tutun.

ssh -v [email protected]

Hedef adres ve sunulan ana bilgisayar anahtarı için hata ayıklama satırlarını okuyun. Ağ özel olarak tanımlandığı için bilinmeyen bir anahtarı kabul etmek yerine, ana bilgisayar anahtarının parmak izini zaten güvendiğiniz bir değerle doğrulayın. Yeni hedefin kendi known_hosts girdisine ihtiyacı vardır ve bu beklenir. Eski yönetim oturumu ancak özel yol çalıştıktan sonra kapatılmalıdır.

SSH taşımayı korur, ancak tek başına iki ağı eşdeğer yapmaz. Özel geçişin güveninin verilere uyup uymadığına ona güvenmeden önce karar verin.