Dotaz: ssh - connection refused

[mmmmmm]

Nesetkali jste někdo s následujícím? Mám stroj s Debianem. Po aktualizacích se nejde na ssh připojit vzdáleně. Lokálně na tom stroji to funguje. Nejpodivnější je, že po restartu stroje to vzdálené připojení nějakou dobu funguje. a po chvíli (cca 5-10 min) uz ne. restart sshd nepomůže, jen ten restart stroje. Firewall má 22 povolenou. Nikde v logu jsem nic podezřelého nenašel. Odinstalace a opětovná instalace sshd nepomohla. Díky

---

---

Odpovědi

[NN]

Vestecka koule rika, ze to na ceste neco zarizlo.. Podivej se tcpdumpem co se deje, nebo nedeje.

[mmmmmm]

tak vzdáleně nmap ukazuje ten port jako zavřený, přitom po restartu stroje je cca 5-10 minut otevřený a lze se na něj připojit. to mi hlava nebere.

[vencour]

Pokud se nepletu, stav "closed" u portu znamená, že cílový stroj odešle tcp reset na tcp syn? Takže nutno ověřit, jak reaguje cílový stroj na navazování komunikace?

[mmmmmm]

ano. v tcdumpu vidím, že ten stroj pošle fakt reset na syn. co s tím?

[vencour]

Má ten stroj jednou síťovku? Pokud se nepletu, tak i routování mluví do sestavení spojení. Tj. pokud dáte v konsoli

$ cat /proc/sys/net/ipv4/conf/*/rp_filter

tak dostanete co z hodnot 0, 1, 2? Pro info viz kernel.org / reverse path filtering a kernel.org / sysctl.
Případně lze nastavit logování u ssh na verbose, případně dočasně omezit nějaké ochrany u ssh, pro otestování, zda je to ssh nebo něčím jiným (třeba pustit ssh na jiném portu?)

[mmmmmm]

jedna síťovka. eth0. rp_filter je na default 0. zkusím nastavit to verbose logovaní sshd. client mi přes -vvv prakticky nic nového neukáže. je mi prostě divný, proč to po restartu těch 5 minut funguje a pak se ten port z venku uzavře.

[vencour]

Ok, máte možnost zkusit jiný kernel se stejnými verzemi programů, tj. potvrdit, že něco nevyhnije v ip stacku apod.?
Respektive máte možnost rebootnout server?

[mmmmmm]

rebootnout to samozřejmě mohu. zkusím ten nový kernel, protože už jsem z toho bezradný.

[mmmmmm]

tak po upgradu kernelu, uz to pripojeni nefunguje ani tu chvili po restartu.

[Josef Kufner]

Tipnul bych si to blbě nastavený fail2ban, který si tě dá na blacklist.

[mmmmmm]

fail2ban tam není nainstalovaný

[kapo]

Mrkni do /etc/hosts.deny hned po restartu a nasledne i jakmile to prestane fungovat.

[mmmmmm]

nic se tam nezměnilo. soubor je před i po prázdný. Sedm minut od restartu a ten port je najednou z venku zavřený

[GeorgeWH]

a skontroloval si firewall aj potom? pocuva nieco na tom porte? spusti si jednoduchy skript, ktory ti to niekam zaloguje, aby si si to mohol neskor pozriet.

[mmmmmm]

firewall predtim i potom stejny stav, nastavoval jsem zvlast i povoleni pro port 22, ale stejně nic. prece by se pravidla nemenila 5 minut po restartu stroje, ne?

[citanus]

neni tam nejaky jiny pravidlo ktery by to mohlo ovlinit? nejaky obecny rate limity apod?

[mmmmmm]

není

[vencour]

Zřejmě bude nutné zkontrolovat TCP/IP provoz z obou stran (klienta i serveru), zda nic není po cestě ovlivněno, tj. podívat se na to např. tcpdumpem.
Mimochodem něco jako "TCPKeepAlive", "ClientAliveInterval" a "ClientAliveCountMax" nenastavujete?

[mmmmmm]

podle netstat na tom portu poslouchá právě jen sshd

[Sten]

Lokálně (na tom serveru) se na tu IP adresu připojit dá? Co obsahují iptables?

[mmmmmm]

ano lokálně to funguje. iptables jsou prazdne, krome povoleneho portu 22 pro INPUT.

A ted dalsi zahada. pokud si klienta pingnu z toho zlobiveho stroje. tak se najednou mohu z toho klienta pripojit pres ssh. Pokud ale ihned po pripojeni pustim nmap z klienta na ten stroj, tak vidim ze 22/tcp closed a aktualni spojeni se uzavre, dokud zase neudelam ping z toho stroje.

[Erbureth]

To zní, jako by router zaříznul spojení neiniciovaná hostem. Jak to tam máte zapojené?

[mmmmmm]

router nema zadna takova pravidla pro vnitrni sit nastavena. klient je pripojen primo k routru. a ten zlobivy stroj je pripojen pres switch do routru. i po prehozeni kabelu na switchi do jineho routru, problem stale stejny.

Pokud se po pingu pripojim z klienta, tak to spojeni vydrzi tech cca 10 minut a pak se uzavre. Pokud vsak behem tech deseti minut pustim kdykoliv nmap na 22 na tom stroji, tak se okamzite uzavre a nejde otevrit dokud to zas nepropingnu.

[vencour]

Hele a jsi si jistý, že nemáš v síti, kde je server, další stroj se stejnou IP adresou?
Takhle nějak se to může chovat, jako záhadný pastav v komunikaci.
Pořád by pomohlo porovnat výstupy z tcpdumpu z obou strojů, zda to, co se odesílá, je to, co dorazí na server. Třeba ohledně MTU, sekvenčních čísel apod.

[mmmmmm]

tak jsem zralej na par facek. V lokalni siti byl wifi router, ktery mel stejnou IP jako ten stroj.

[Petr Šobáň]

Stane se.....

[GeorgeWH]

windowsi by hned pindali, ze je ip konflikt :)