Dotaz: SSH prihlasenie na server

[Ivan Polak]

Ahojte, mame problem pri SSH prihlasovani na server. ak sa prihlasujem s putty (SSH, port 22) na server z lokalnej siete (kazdy pocitac ma pevne stanovemu IP adresu 10.0.0.X, maska 255.255.255.0) tak je vsetko OK. Ak sa chcem prihlasit z domu, teda idem cez ADSL router (pouzivame port forwarding) dostanem vzdy hlasku "connection timeout". Port forwarding ale funguje, pretoze ked pustim apache server na inom pocitaci v lokalnej sieti, a na routery dam forwardovat port 80 na ten pocitac je tiez vsetko OK. Nie som administrator, ale nenasiel som ziadne obmedzenie na IPcku alebo nieco podobne v konfigurakoch na servery. Neviete, prosim ake konfiguraky mam pozerat ? velmi pekne dakujem. Ivan

Odpovědi

[#Tom]

Ujistěte se, že port forwarding pro 22 funguje. (Můžete to provést třeba tak, že přehodíte WWW server na port 22.) Pokud funguje, může být chyba třeba v /etc/ssh/sshd_config) - přístup zvenčí se dá, myslím, zablokovat i tam.

[Jaromir Kucera]

Jednodussi pro zjisteni, zda ssh odpovida, je pouzit nmap

nmap -sT -p 22 -P0 IP.nebo.jmeno.pocitace

Jenom nevim, zda je nmap portovan na MS Windows (Na MS Win usuzuji z pouziti Putty).

[Josef Kufner]

Ještě jednoduší si je vzpomenout, že kdyby forwarding fungoval, tak se to aspoň zeptá na heslo nebo zařve něco jinýho. Takže si zkontroluj port fwd. a firewall na cílovem stroji.

[Ivan Polak]

port forwarding funguje, uz sme to skusili s apache serverom nastavenym na port 22, kde vsetko bezalo OK. zial pri prihlaseni SSH je vzdy hlaska "connection timeout". Ivan

[Zdenek 'Mst. Spider' Sedlak]

vypisuje sshd nejakou chybu do logu?

[Ivan Polak]

na logovanie sshd pouzivame syslog a vo var/log/secure subore nie je ziadna zmienka o tom ze by som ziadal o spojenie.

[Ivan Polak]

na prikaz

nmap -sT -p 22 -P0 IPcka

dostanem odpoved

PORT STATE SERVICE

22/tcp filtered ssh

[secido]

To nas dalej vobec neposunulo, skus este iptables -L. Vravis, ze cokolvek ine okrem ssh na server zvonka funguje bez problemov. Potom by som to videl na chybu v konfiguracii forwardingu, skontroluj ip, port - proste vsetko, kde by potencialne mohol nastat preklep.

[Josef Kufner]

a pak ještě zkus

netstat --tcp -l -p | grep ssh

jestli to sshd tam opravdu poslouchá.

[Ivan Polak]

ano, je tm riadok o sshd daemone

tcp 0 0 *:ssh *:* LISTEN 1207/sshd

[Ivan Polak]

po prikaze iptables -L na servery dostanem nasledujuci vysledok:

Chain INPUT (policy ACCEPT) target prot opt source destination

Chain FORWARD(policy ACCEPT) target prot opt source destination

Chain OUTPUT(policy ACCEPT) target prot opt source destination

SSH daemon funguje, ked dam "nmap localhost" na servery:

tak je tam aj riadok:

... 22/tcp open ssh ...

Ivan

[Ivan Polak]

vsetko ohladne port forwardingu sme skontrolovali, vsetko je OK. presne tak isto bolo nakonfigurovane aj forwardovanie portu 80 na iny pocitac. Ivan

[Stehlo]

no obdobny problem mam aj ja, z orange na orange, mam aj verejne dynamicke ip 213.151.x.y a medzi to nejde, ale ked idem cez niekohov inej sieti napr. ssh blbost a z $blbost dam ssh na druhy orange tak to uz fakci. Zase ten Orange, je to o nicom, ked musim tunelovat - ani tak mi to nebezi, maju to rozbite.

[Ivan Polak]

najprv sme si mysleli ze je to kvoli tomu ze nemame staticku IPcku, teraz sme si u ST dali spravit staticku IPcku, ale nepomohlo to. ADSL router je ASUS. Ivan

[secido]

Cele je to dost divne, ked rozbehnes ssh na tom pocitaci, kde fungovala ta 80 skusis forwardnut vylucis chybu servera. Ale to si uz asi skusal, znie to tak neuveritelne, ze to moze byt len ludska chybicka. Lebo ked vidim 80 tak na tej 80-ke mozem spustit ssh a ked to nepojde, tak je len jedina moznost - filtrovanie paketov providerom na urovni aplikacnej vrstvy - co je skor fikcia ako realita. Nemam dalsie napady.

[Ivan Polak]

upresnenie: apache server som rozchodil pod windowsom na inom pocitaci v LANke. dal som forwardovat port 80 na tento pocitac, vsetko OK. Na servery (Linux RedHat) ho rozchodit nemozem, takze tam nemozem vyskusat ci ide port 80. jedine co mozem vyskusat, je zmenit port 22 na 80 na servery pre SSH, a tak vyskusat SSH pristup. Ivan

[secido]

To som pochopil, v tom pravdepodobne problem nebude. Skus to ssh forwardnut na iny port povedzme aj tych 80, ked to chodilo (chapem to tak, ze na ten pocitac, kde si skusal apache bol forward 80 Asus -> 80 Niekde v lan). Videl som dsl router, ktory robil podobne problemy (filtroval porty ako sa mu chcelo) , nebol to sice asus, ale pomohol reboot routera. Nebezi na tej 22-ke nieco na routeri? To by vysvetlovalo filtrovanie vonkajsich ip.