SSH dúró ní SSH2_MSG_KEX_ECDH_REPLY: kì í ṣe MTU nígbà gbogbo

Túnéẹ̀lì ń ṣiṣẹ́, banner dé, kọ́ńpútà olùgbà á sì tẹ ìfiránṣẹ́ nípa dídúró de ìdáhùn ìpààrọ̀ kọ́kọ́rọ́. Àwọn àbájáde ìwádìí máa ń tọ́ka tààrà sí MTU, nígbà míì ìyẹn tọ́. Ní ọ̀pọ̀ ìgbà kì í ṣe bẹ́ẹ̀: ó lè jẹ́ pé a kò fi ìdáhùn ránṣẹ́ rí, nítorí kọ́ńpútà olùgbà kò lè ka fáìlì kọ́kọ́rọ́ tàbí àwọn ẹ̀gbẹ́ méjèèjì kò faramọ́ alugorídìmù kan. Ìlà náà ṣàpèjúwe ohun tí olùgbà ń dúró dè, kì í ṣe ìdí tí ìdúró náà fi bẹ̀rẹ̀. Kà á sí àmì àrùn kí o sì ya àwọn ìdí mẹ́ta náà kúrò kí o tó yí ìwọ̀n èyíkéyìí padà.

Ka ìtọ́pa náà láti rí i bóyá a ti ń retí ìdáhùn rárá

Ìjáde àlàyé máa ń fi ìgbésẹ̀ àṣeyọrí tó kẹ́yìn hàn ṣáájú ìdákẹ́jẹ́. Tí banner ìlànà server bá dé, TCP ń ṣiṣẹ́, ẹ̀gbẹ́ tó jìnnà sì wà láàyè; ìbéèrè tó ṣí ni ohun tó ṣẹlẹ̀ sí pákẹ́ẹ̀tì kan pàtó. Ìdákẹ́jẹ́ ìṣẹ́jú kan lẹ́yìn banner dà bí ìṣòro ọ̀nà. Ìfiránṣẹ́ nípa kò sí ọ̀nà ìpààrọ̀ kọ́kọ́rọ́ tó báramu jẹ́ ìṣòro ìlànà. Ìdúró gígùn tó parí pẹ̀lú server tí ó pa ìpàdé mọ́ túmọ̀ sí pé server ti juwọ́ sílẹ̀, àkọsílẹ̀ rẹ̀ sì ṣàlàyé ìdí.

Nínú ọ̀ràn tó kẹ́yìn, ka àkọsílẹ̀ ìjẹ́rìí server kí o tó fi ọwọ́ kan olùgbà. Olùgbà kò lè rí ìpinnu tí server kò fi ránṣẹ́ rí.

Ìdí tí ìdáhùn kékeré ṣì lè tóbi jù

Àwọn ìdáhùn ìpààrọ̀ kọ́kọ́rọ́ sábà kéré gan-an, nítorí náà fífi ẹ̀sùn kan ìwọ̀n dà bí kò tọ́. Pẹ̀lú àwọn ẹ̀rí host, ìdáhùn kò kéré, nítorí ó ń gbé ẹ̀wọ̀n ẹ̀rí server. Ìyẹn máa ń sọ ọ́ di pákẹ́ẹ̀tì àkọ́kọ́ nínú ìpàdé tó lè kọjá ẹrù tí a lè lò nínú túnéẹ̀lì. Nígbà tí ìdáhùn ìwádìí MTU ọ̀nà bá sọnù níbì kan lórí ipa ọ̀nà, ẹni tó ń ránṣẹ́ máa ń tún pákẹ́ẹ̀tì tí kò ní gbà ránṣẹ́ lẹ́ẹ̀kọ̀ọ̀kan, olùgbà á sì dúró títí láé ní ìlà kan náà.

Mọ ìwọ̀n náà dájú dípò kí o kàn rò ó. Ka MTU túnéẹ̀lì pẹ̀lú ip link show tun0, lẹ́yìn náà rán àwọn àyẹ̀wò tí kò gbọdọ̀ pín: ping -4 -M do -s 1352 host, tún ṣe pẹ̀lú ẹrù kékeré. Ìyípadà láti ìkùnà sí àṣeyọrí ní ìwọ̀n pàtó jẹ́ ẹ̀rí; ìkùnà kan náà fi hàn pé a ń ṣe àyọ ICMP kúrò, kò sì sọ ohunkóhun fún ọ.

Ìdínkù fún ìgbà díẹ̀ máa ń jẹ́rìí àbá náà kíákíá, ẹ̀yà tó wà pẹ́ ni ó wà nínú profáìlì tàbí gẹ́gẹ́ bí ààlà MSS lórí rúta tó ń gbé túnéẹ̀lì lọ:

sudo ip link set dev tun0 mtu 1200
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Àwọn ìdí méjì tó ń ṣe àfarawé ìṣòro ìwọ̀n

Fáìlì kọ́kọ́rọ́ tí olùgbà kò lè kà máa ń dá ìdúró kan náà, láìsí ìkìlọ̀ pàápàá nínú ìjáde àlàyé. Àpèjúwe kan nínú known_hosts máa ń mú èyí rọrùn: àkọsílẹ̀ @cert-authority tó ń tọ́ka sí kọ́kọ́rọ́ gbogbogbò CA tí àkọsílẹ̀ kan ṣoṣo lè kà. Àkọsílẹ̀ tó ní fáìlì náà máa ń sopọ̀, gbogbo àkọsílẹ̀ mìíràn á sì dúró. Tí ìkùnà bá ń tẹ̀lé olùlò dípò host, yẹ àwọn ipò fáìlì wò ṣáájú ìwọ̀n pákẹ́ẹ̀tì.

Ìgbéga lè yọ alugorídìmù tí ẹ̀gbẹ́ méjèèjì ń pín kúrò pẹ̀lú. Fi ọ̀nà kan tí server ṣì ń pèsè múlẹ̀ gẹ́gẹ́ bí àyẹ̀wò àrùn: ssh -oKexAlgorithms=ecdh-sha2-nistp521 user@host. Ìsopọ̀ tó ṣàṣeyọrí lẹ́sẹ̀kẹsẹ̀ fi hàn pé ọ̀nà dára àti pé àtúnṣe wà nínú ìlànà ìjíròrò ní ẹ̀gbẹ́ méjèèjì.

Àwọn òtítọ́ mẹ́ta tó yẹ kí a kọ sílẹ̀

Kọ MTU túnéẹ̀lì ṣáájú àti lẹ́yìn ìyípadà èyíkéyìí, bóyá dídá ẹ̀dà fáìlì ńlá kùnà ní ìwọ̀n tó ń tún ṣe, àti bóyá host tí kò ní ẹ̀rí nínú túnéẹ̀lì kan náà ń dúró bẹ́ẹ̀ gan-an. Àwọn àyẹ̀wò mẹ́ta yẹn máa ń ya ìwọ̀n kúrò nínú àṣẹ àti ìjíròrò kíákíá ju òkìtì àṣẹ lọ.

Wọ́n tún máa ń dí ẹni tó kàn lọ́wọ́ láti dín MTU kù nítorí àbùkù tí kò ní í ṣe pẹ̀lú ìwọ̀n rí.

Tí àwòrán náà kò bá yé síbẹ̀, gbìyànjú láti ọ̀dọ̀ olùgbà kejì lórí túnéẹ̀lì kan náà. Olùgbà tó sopọ̀ máa ń gbé àbùkù náà láti ọ̀nà lọ sí ìṣètò ẹ̀rọ àkọ́kọ́.