Решено: SSH обрывает соединение (тонкости терминального доступа)

[GAK]

=мадрива-пупер-пак 2007.0=

на сервере поставил ssh, мучал его так и сяк... читал мануалы - все вроде сходиться, даже в файерволе прорписан этот ssh....
...но он отвечает только "ssh_exchange_indentification: connection closed by remote host"

а в маш зал его завтра утром. мда.
!!!anybody help!!!

[sash-kan]

не указан ни один ListenAddress.
sshd хоть чего-то прослушивает?
$ sudo lsof -ni | grep ssh

[GAK]

Код: Выделить всё

[root@auto_web Desktop]# lsof -ni | grep ssh
sshd      25408   root    3u  IPv4  44411       TCP 194.87.203.199:ssh (LISTEN)

по умолчанию, если не задан ListenAdress, ssh слушает на всех интерфейсах

...результат все тот же - ssh висит на eth0 в ожидании, прописанный в iptables (вроде как), а пускать не пускает.

при этом сам сервер устанавливает соединение, но подумав - разрывает.
продемонстрируем:

sshd остановлен

admin@adminsrv ~
$ ssh 194.87.203.199
ssh: connect to host 194.87.203.199 port 22: Connection refused

ssh запущен

admin@adminsrv ~
$ ssh 194.87.203.199
ssh_exchange_identification: Connection closed by remote host

разница на лице

[sash-kan]

$ ssh -vvv 194.87.203.199
?

[GAK]

Код: Выделить всё

$ ssh -vvv 194.87.203.199
OpenSSH_4.7p1, OpenSSL 0.9.8g 19 Oct 2007
debug2: ssh_connect: needpriv 0
debug1: Connecting to 194.87.203.199 [194.87.203.199] port 22.
debug1: connect to address 194.87.203.199 port 22: Connection refused
ssh: connect to host 194.87.203.199 port 22: Connection refused

[sash-kan]

ну хорошо, а в логах на удаленной машине во время попыток подключения что-нибудь появляется?

[GAK]

никаких логов, относящихся к sshd не нашел

[sash-kan]

никаких логов, относящихся к sshd не нашел

а у sshd и нету никаких персональных лог-файов. просмотрите syslog и файлы, относящиеся к аутентификации. не знаю, чего там вашегодистрибутивостроители наваяли. что-нибудь вроде auth, secure и т.п.

[GAK]

auth.log

Код: Выделить всё

Dec  9 01:21:36 auto_web sshd[18750]: refused connect from 217.25.84.90 (217.25.84.90)
***
Dec  9 01:24:50 auto_web sshd[18787]: refused connect from 217.25.84.90 (217.25.84.90)
***

два раза пыталсо коннектиться

[sash-kan]

1. я бы все-таки не надеялся на «умолчания», а явно указал бы, откуда можно коннектиться.
2. AllowUsers admin gak — раз чего-то не выходит, не лучше ли временно закомментировать?
3. IgnoreUserKnownHosts no, StrictModes yes — а с ~/.ssh/ на удаленной машине все в порядке? с правами доступа, в частности? может быть, имеет смысл временно убрать этот каталог в сторонку?

[GAK]

на /root/.ssh права 0700

а все требования к конфигам соблюдены:

ssh_config

Код:

Host * ForwardX11 yes ForwardX11Trusted yes Protocol 1,2 StrictHostKeyChecking yes CheckHostIP no[code] sshd_config [code]Port 22 Protocol 1,2 #Protocol 2 #AddressFamily any ListenAddress ***.**.**.*:22 # указан реальный ай-пи #ListenAddress :: # HostKey for protocol version 1 HostKey /etc/ssh/ssh_host_key # HostKeys for protocol version 2 HostKey /etc/ssh/ssh_host_rsa_key HostKey /etc/ssh/ssh_host_dsa_key # Lifetime and size of ephemeral version 1 server key #KeyRegenerationInterval 1h #ServerKeyBits 768 # Logging # obsoletes QuietMode and FascistLogging #SyslogFacility AUTH #LogLevel INFO # Authentication: #LoginGraceTime 2m #PermitRootLogin without-password #StrictModes yes MaxAuthTries 6 #RSAAuthentication yes #PubkeyAuthentication yes #AuthorizedKeysFile .ssh/authorized_keys # For this to work you will also need host keys in /etc/ssh/ssh_known_hosts #RhostsRSAAuthentication no # similar for protocol version 2 #HostbasedAuthentication no # Change to yes if you don't trust ~/.ssh/known_hosts for # RhostsRSAAuthentication and HostbasedAuthentication IgnoreUserKnownHosts no # Don't read the user's ~/.rhosts and ~/.shosts files #IgnoreRhosts yes # To disable tunneled clear text passwords, change to no here! #PasswordAuthentication yes #PermitEmptyPasswords no # Change to no to disable s/key passwords #ChallengeResponseAuthentication yes # Kerberos options #KerberosAuthentication no #KerberosOrLocalPasswd yes #KerberosTicketCleanup yes #KerberosGetAFSToken no # GSSAPI options #GSSAPIAuthentication no #GSSAPICleanupCredentials yes # Set this to 'yes' to enable PAM authentication, account processing, # and session processing. If this is enabled, PAM authentication will # be allowed through the ChallengeResponseAuthentication mechanism. # Depending on your PAM configuration, this may bypass the setting of # PasswordAuthentication, PermitEmptyPasswords, and # "PermitRootLogin without-password". If you just want the PAM account and # session checks to run without PAM authentication, then enable this but set # ChallengeResponseAuthentication=no UsePAM no #AllowTcpForwarding yes #GatewayPorts no X11Forwarding yes #X11DisplayOffset 10 #X11UseLocalhost yes #PrintMotd yes #PrintLastLog yes #TCPKeepAlive yes #UseLogin no UsePrivilegeSeparation yes #PermitUserEnvironment no #Compression delayed #ClientAliveInterval 0 #ClientAliveCountMax 3 #UseDNS yes #PidFile /var/run/sshd.pid #MaxStartups 10 #PermitTunnel no # no default banner path #Banner /some/path # override default of no subsystems Subsystem sftp /usr/lib/ssh/sftp-server PermitRootLogin without-password IgnoreRhosts yes IgnoreUserKnownHosts yes PrintMotd yes StrictModes yes RSAAuthentication yes PermitEmptyPasswords no PasswordAuthentication yes GatewayPorts yes AllowTcpForwarding yes KeepAlive no

[GAK]

попрежнему

Код: Выделить всё

$ ssh 194.87.203.199
ssh_exchange_identification: Connection closed by remote host

[sash-kan]

на /root/.ssh права 0700

а при чем здесь root? Вы же выше пишете, что под именем admin коннектитесь?
на удаленной машине:
$ grep admin /etc/passwd
?

[GAK]

Код: Выделить всё

admin:x:500:500::/home/admin:/bin/bash

[GAK]

а не имеет ли отношение к проблеме файл /etc/security/access.conf ???
насколько я понимаю здесь можно разрешить логиниться на любую вирт-консоль от куда угодно?

[GAK]

а как заставить систему перечитать /etc/security/access.conf ??

[sash-kan]

а как заставить систему перечитать /etc/security/access.conf ?

интересный вопрос. но все-таки, наверно, гораздо сложнее заставить pam не обращать внимания на изменения в содержимом этого файла.

[GAK]

кароч внес изменения d access.conf:

Код: Выделить всё

+ : ALL : ALL

теперь так:

Код: Выделить всё

$ ssh -vv ***.**.**.*
OpenSSH_4.3p2, OpenSSL 0.9.8b 04 May 2006
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug2: ssh_connect: needpriv 0
debug1: Connecting to ***.**.**.* [***.**.**.*] port 22.
debug1: Connection established.                         <<== !!!!! всетаки коннект есть
debug1: identity file /home/admin/.ssh/identity type -1
debug1: identity file /home/admin/.ssh/id_rsa type -1
debug1: identity file /home/admin/.ssh/id_dsa type -1
ssh_exchange_identification: Connection closed by remote host

может он меня индентифицировать не могёт? т.е. не пашет какая-то часть криптования???

[GAK]

=D
я балбес! надо было в hosts.allow на серваче прописать адреса с которых я на него стучусь
все пашет