Forum Debian Users Gang

Zamieszczam wyniki poleceń:

debs@uni:~$ sudo netstat -napletu | egrep -i ssh
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      0          107327     25701/sshd: /usr/sb
tcp        0     64 10.20.40.200:22         10.17.18.10:65081       ESTABLISHED 0          267076     31962/sshd: admin

debs@uni:~$ sudo ss -napetu | egrep -i ssh
tcp   LISTEN 0      128                              0.0.0.0:22                   0.0.0.0:*     users:(("sshd",pid=25701,fd=3)) ino:107327 sk:d cgroup:/system.slice/ssh.service <->
tcp   ESTAB  0      112                         10.20.40.200:22             10.17.18.10:65081   users:(("sshd",pid=32068,fd=4),("sshd",pid=31962,fd=4)) timer:(on,232ms,0) ino:267076 sk:1003 cgroup:/system.slice/ssh.service <->

Tak wygląda moja topologia:

                        Host
                 +----------------+
Intranet <-----> |     ens001     |
                 |  10.20.50.100  |
                 |----------------|
                 |     ens104     |         +----------+         +----------+
                 |  10.25.40.200  | <-----> | Firewall | <-----> | Internet |
                 +----------------+         +----------+         +----------+

Wirtualna maszyna ma dwie karty ze względu, że podsieć na interfejsie ens001 nie ma wyjścia w świat.
Natomiast druga karta ens104 ma wyjście do świata, które jest po drodze filtrowane przez zaporę ogniową.
Na hoście będzie uruchomiony kontroler do zarządzania urządzeniami sieciowymi w podsieci 10.20.50.0/24 (Intranet), jednak wymaga on również dostępu do internetu, ze względu, że pobiera aktualizacje i sprawdza klucz licencyjny.

Ostatnio edytowany przez autominus (2024-02-17 15:02:49)

Tak na szybko wziąłem mojej wirtualce dodałem drugi interfejs sieciowy, przypisałem IP do niego i od tak SSH nasłuchuje i łączy po dwóch adresach IP.

Tabllica routingu dotyczy ruchu wychodzącego, nie przychodzącego.
Może podziel się konfiguracją demona SSH?
No chyba, że klient, którym próbujesz się połączyć na serwer ma problem z lokalizowaniem serwera/dostępem do niego.

Ostatnio edytowany przez thalcave (2024-02-17 16:31:18)

Tak, diagnozując dalej doszedłem do tego, że rzeczywiście demon nasłuchuje na obu interfejsach. Problem leży w tablicy routingu.

Zapewne we wpisach:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         _gateway        0.0.0.0         UG    100    0        0 ens104
default         _gateway        0.0.0.0         UG    100    0        0 ens001

Analizując ruch za pomocą TCPDUMP widzę, że mam pakiety ICMP przychodzące na kartę ens001, ale odpowiedzi wychodzą przez kartę ens104. Czyli zgodnie z pierwszym wpisem w hierarchii tablicy routingu:

default         _gateway        0.0.0.0         UG    100    0        0 ens104

Powiem szczerze, że pierwszy raz się spotkałem z takim przypadkiem i cały czas myślę jak rozwiązać ten problem.
Może jakoś za pomocą IPTABLES markować ruch, żeby pakiety wychodziły interfejsem z którego było inicjowane/przychodzące połączenie?