Ping chạy nhưng SSH hỏng qua VPN: giai đoạn nào đã gãy?
Một lần thử chi tiết tách khả năng tiếp cận TCP, truyền tải SSH, danh tính máy chủ, đăng nhập người dùng và quyền phiên, để bạn thôi đoán về đường hầm.
Phản hồi ping và một lần đăng nhập SSH bị từ chối có thể cùng đúng một lúc, và cặp này không buộc tội đường hầm. Phản hồi echo và một kết nối TCP tới cổng 22 là những bài kiểm tra khác nhau với bộ chọn khác nhau, chính sách khác nhau và thường đích đến khác nhau. Ghi lại một lần thử SSH có chủ đích, rồi gọi tên giai đoạn cuối cùng nó đạt tới. Một bằng chứng đó thay thế cả tá thay đổi cấu hình phỏng đoán.
Ghi lại một lần thử, không phải một phiên chọc ngoáy
Chạy ứng dụng khách một lần với chẩn đoán chi tiết, tắt chia sẻ kết nối và đặt thời gian chờ kết nối có giới hạn. Việc tắt chia sẻ quan trọng vì một kết nối chính đã xác thực trước đó sẽ trả lời thay cho lần thử mới và che mất lỗi bạn đang truy.
ssh -4 -vv -o ControlPath=none -o ConnectTimeout=10 [email protected]Giữ lại đích đến, họ địa chỉ, dấu thời gian và lỗi cuối cùng không bí mật. Cờ IPv4 cũng có nghĩa là lần thử này không nói gì về đường IPv6 tới cùng tên, nên đừng khái quát từ nó. Ghi lại lần thử được thực hiện từ đâu. Một kiểm tra trên cổng VPN không cùng góc nhìn với máy tính xách tay phía sau nó, và phần lớn mâu thuẫn trong những phiếu này đến từ việc trộn lẫn cả hai.
Giai đoạn một và hai: TCP trước SSH
Ranh giới đầu tiên là khả năng tiếp cận của socket: một địa chỉ, một cổng và một tuyến mà gói tin thực sự đi theo. Nếu kết nối TCP không bao giờ hoàn tất thì phía trên nó chưa có gì, và khóa máy chủ cùng tài khoản không liên quan.
nc -vz 10.90.4.20 22
ip route get 10.90.4.20
tcpdump -ni any 'host 10.90.4.20 and port 22'Đối chiếu bản ghi với lần thử của máy khách. Một SYN đi ra mà không có gì quay lại chỉ vào lọc, bộ chọn hoặc thiếu tuyến ở phía xa; một phản hồi kèm reset chỉ vào thứ gì đó chủ động từ chối thay vì bỏ rơi. Ranh giới thứ hai là chính việc trao đổi giao thức SSH. Một kết nối TCP hoàn tất rồi khựng lại đã vượt qua khả năng tiếp cận và bước vào thương lượng, phản hồi máy chủ hoặc xử lý gói. Đó là một cuộc điều tra khác, và đó là nơi các vấn đề liên quan đến kích thước lần đầu trở nên khả dĩ.
Giai đoạn ba: khóa của ai đã trả lời
Khi truyền tải đã lên, máy khách xác minh khóa máy chủ của máy phục vụ. Việc từ chối ở đây là phát biểu về danh tính, không phải về mật mã: bên kia đã trình một khóa mà chính sách của bạn không chấp nhận. Hãy coi đó là điều kiện dừng và xác minh ngoài băng, qua bảng điều khiển hoặc người vận hành đã dựng lại máy chủ. Xóa mục đã ghi nhớ để dọn cảnh báo là lối tắt duy nhất nên từ chối, vì nó phá hủy bằng chứng rằng có thứ gì đó đã trả lời bất ngờ.
Nếu máy chủ thực sự được dựng lại, chỉ xóa bản ghi cũ sau khi dấu vân tay mới được xác nhận, và ghi lại ngày cùng lý do. Kỹ sư tiếp theo sẽ gặp cùng cảnh báo và cần bối cảnh đó.
Giai đoạn bốn và năm: tài khoản so với quyền
Xác thực là ranh giới thứ tư. Thông tin đăng nhập bị từ chối nghĩa là máy phục vụ đã đánh giá lần thử và từ chối nó; hãy kiểm tra tài khoản, loại thông tin đăng nhập mà máy phục vụ chấp nhận và chính sách của chính máy phục vụ thay vì mật khẩu VPN. Ranh giới thứ năm là phân quyền sau khi đăng nhập thành công. Người dùng đã xác thực vẫn có thể bị từ chối shell, lệnh, hệ thống con hoặc chuyển tiếp, và những từ chối đó trông như lỗi với người chỉ đọc dòng cuối của máy khách.
| Last stage reached | What it proves | Where to look next |
|---|---|---|
| No TCP connection | No SSH transport exists | Address, port, route, selectors, filter, listener |
| TCP up, exchange incomplete | Reachability is not the blocker | Server response, negotiation, packet handling |
| Host identity rejected | The peer is not the expected host | Independently verified host key |
| User authentication rejected | The attempt reached authentication | Account, credential and server policy |
| Authenticated, session denied | Login succeeded, the operation did not | Shell, command or forwarding permission |
Dừng lại sau vài lần thử mật khẩu thất bại. Đoán lặp lại tạo ra khóa tài khoản, rồi trông như lỗi thứ hai không liên quan và tốn nhiều thời gian hơn phiếu ban đầu.
Khôi phục và bản ghi bạn giữ
Thay đổi từng thứ một, và ghi lại bạn đã thay gì trước khi kiểm tra lại. Nếu một thay đổi khiến lần thử tệ hơn, hãy hoàn nguyên ngay thay vì xếp thêm một bản sửa lên trên. Lặp lại thao tác gốc từ máy khách và bối cảnh gốc. Một lần đăng nhập thành công từ máy khác, ở họ địa chỉ khác, không phải tái hiện và không chứng minh bản sửa.
Làm sạch những gì bạn chia sẻ. Đầu ra chi tiết của máy khách có thể mang tên nội bộ, nhãn tài khoản, đường dẫn khóa và mã định danh khóa công khai, nên hãy công bố kết luận theo giai đoạn thay vì một dấu vết thô.