ป้องกันการเชื่อมต่อ SSH สูญหายหลังจากเข้าสู่ VPN บนเครื่องเซิร์ฟเวอร์

ฉันพบปัญหาที่ไม่สามารถจัดการได้ เมื่อฉันเข้าสู่ VPS ผ่าน SSH และพยายามสร้างการเชื่อมต่อ VPN ใน VPS นั้นการเชื่อมต่อ SSH ระหว่าง VPS และเครื่องของฉันจะสูญหาย ฉันคิดว่าเป็นเพราะการกำหนดเส้นทางเปลี่ยนไปโดยการตั้งค่า VPN จะป้องกันได้อย่างไร

คุณต้องเพิ่มroute-nopullตัวเลือก (และลบredirect-gatewayถ้ามี) ไปยังไฟล์กำหนดค่าของไคลเอนต์ OpenVPN ของคุณใน VPS ของคุณ

วิธีนี้จะเชื่อมต่อกับเซิร์ฟเวอร์ VPN จะไม่แก้ไขเส้นทางใด ๆ ใน VPS ของคุณดังนั้นคุณจะสามารถตั้งค่าเส้นทางที่คุณต้องการได้ด้วยตัวเอง

ลองพิจารณาสถานการณ์ต่อไปนี้:

1. VPS ของคุณมีอินเตอร์เฟซอีเธอร์เน็ตเดียวกำหนดค่าด้วยที่อยู่ IP 4.3.2.1/24;
2. VPS ของคุณสามารถเข้าถึงอินเทอร์เน็ตผ่านเกตเวย์เริ่มต้น 4.3.2.254
3. VPS ของคุณยังไม่ได้เปิดใช้งานการเชื่อมต่อ OpenVPN ดังนั้นจึงไม่มีอินเตอร์เฟสอินเตอร์เฟส tun ที่ใช้งานอยู่

ในสถานการณ์ดังกล่าวจากเครื่องของคุณ (สมมติว่าเครื่องของคุณคือ 9.8.7.6/24 พร้อม def-gw 9.8.7.254) คุณสามารถสร้างการเชื่อมต่อ SSH เป็น 4.3.2.1 ได้สำเร็จ ดังนั้นทั้งโฮสต์ 4.3.2.1 และ 9.8.7.6 สามารถเข้าถึงซึ่งกันและกันได้สำเร็จ

ตอนนี้ด้วยการเชื่อมต่อ SSH ที่จัดตั้งขึ้นมาสมมุติว่า:

4. คุณเรียกใช้การเชื่อมต่อ OpenVPN จาก VPS 4.3.2.1 ของคุณ
5. ดังนั้นอินเทอร์เฟซ tun0 ใหม่จะได้รับการกำหนดค่าแบบ Dinamically (สมมติว่ามันจะถูกกำหนด 10.10.10.2 IP พร้อม 10.10.10.1 PTP)

ที่เวทีนี้:

• หากไม่มีการส่งเส้นทางจากเซิร์ฟเวอร์ OpenVPN ระยะไกลไปยัง VPS ในพื้นที่ของคุณจะไม่มีการเปลี่ยนแปลงใด ๆ ในแง่ของการกำหนดเส้นทางและการเชื่อมต่อ SSH ของคุณจะอยู่รอดได้โดยไม่มีปัญหาเลย ในกรณีนี้การรับส่งข้อมูลภายใน VPN เพียงอย่างเดียวคือสิ่งที่ส่งไปยังเซิร์ฟเวอร์ OpenVPN ระยะไกล (10.10.10.1)

• ถ้า OpenVPN เซิร์ฟเวอร์ระยะไกลจะผลักดันกลับเส้นทางบางส่วนและโดยเฉพาะถ้า VPS เริ่มต้นเกตเวย์จะถูกแทนที่ด้วย 10.10.10.1 (ระยะไกลปลายทาง OpenVPN) แล้วคุณจะมีปัญหา ในกรณีนี้คุณกำลังทำการรับส่งข้อมูล IP ทั้งหมดที่ส่งออก (ยกเว้น OpenVPN เอง) ภายใน VPN

ในกรณีที่สองนี้ (แทนที่ def-gw ทันทีหลังจากสร้างการเชื่อมต่อ VPN) การเชื่อมต่อ SSH ก่อนหน้าของคุณจะ "หยุด" เนื่องจากการกำหนดเส้นทางแบบอสมมาตร:

• การรับส่งข้อมูลจากเครื่องของคุณ (9.8.7.6) ไปยัง VPS (4.3.2.1) จะไหลผ่านเส้นทางก่อนหน้าไม่เคยเปลี่ยนเส้นทาง
• การรับส่งข้อมูลจาก VPS (4.3.2.1) ไปยังเครื่องของคุณ (9.8.7.6):
  • หากไม่มี VPN (ตอนแรก) จะถูกส่งผ่านเกตเวย์ 4.3.2.254
  • หลังจากการสร้างลิงก์ VPN พร้อมการเปลี่ยน def-gw ที่เกี่ยวข้องแล้วจะถูกส่งผ่าน VPN (10.10.10.1)

กล่าวอีกนัยหนึ่ง: ทันทีที่มีการสร้างลิงก์ VPN เส้นทางการส่งคืนของคุณจาก VPS ไปยังเครื่องของคุณกำลังจะเปลี่ยนและ ... มันไม่ได้เป็นสิ่งที่ดี เส้นทางและเพียงวางแพ็กเก็ต)

นอกจากนี้มีโอกาสสูงที่เซิร์ฟเวอร์ OpenVPN ระยะไกลของคุณทำหน้าที่เป็น NAT-box: ทราฟฟิกทั้งหมดที่มาจาก VPN จะถูก NATted ด้วย IP-Address สาธารณะของ OpenVPN Server ระยะไกล หากสิ่งนี้เป็นจริงมากกว่าสิ่งไม่มีอีกแล้ว ... "ไม่ดี" แต่แน่นอนว่า "ไม่ดี" สำหรับการเชื่อมต่อ SSH ของคุณ: ส่งคืนการรับส่งข้อมูลนอกเหนือจากการกลับไปตามเส้นทางอื่นกำลังกลับมาที่เครื่องของคุณด้วย IP ต้นทางอื่น (หนึ่งในอินเตอร์เฟสสาธารณะของเซิร์ฟเวอร์ VPN)

วิธีแก้ปัญหานี้

ค่อนข้างง่ายอย่างแน่นอน

เพียงแค่สั่งให้เซิร์ฟเวอร์ VPS ของคุณไม่กำหนดเส้นทางการรับส่งข้อมูลไปยังเครื่องของคุณตาม VPN แต่ให้ใช้เส้นทางก่อนหน้าแทน มันควรจะง่ายพอ ๆ กับการเพิ่มก่อนเริ่ม OpenVPN:

     route add -host 9.8.7.6 gw 4.3.2.254

ที่อยู่:

• 9.8.7.6 เป็นที่อยู่ IP สาธารณะของเครื่องของคุณ
• 4.3.2.254 เป็นเกตเวย์เริ่มต้นดั้งเดิมของ VPS ของคุณ

ป.ล. : โดยการให้คำถามที่ละเอียดมากขึ้นคุณจะได้คำตอบที่รวดเร็วกว่า :-)

สิ่งนี้สามารถช่วย:

ใส่TCPKeepAlive=yesในของคุณ/etc/ssh/sshd_config

จาก

man sshd_config | less +/'^ *TCPKeepAlive'

TCPKeepAlive

ระบุว่าระบบควรส่งข้อความ TCP keepalive ไปอีกด้านหนึ่งหรือไม่ หากพวกเขาถูกส่งตายของการเชื่อมต่อหรือความผิดพลาดของหนึ่งในเครื่องจะสังเกตเห็นได้อย่างถูกต้อง อย่างไรก็ตามนี่หมายความว่าการเชื่อมต่อจะตายหากเส้นทางหยุดชั่วคราวและบางคนพบว่ามันน่ารำคาญ ในทางตรงกันข้ามถ้า TCP keepalives ไม่ถูกส่งเซสชันอาจค้างบนเซิร์ฟเวอร์โดยไม่มีกำหนดปล่อยผู้ใช้ `` ghost '' และใช้ทรัพยากรเซิร์ฟเวอร์

ค่าเริ่มต้นคือyes'' (to send TCP keepalive messages), and the server will notice if the network goes down or the client host crashes. This avoids infinitely hanging sessions. To disable TCP keepalive messages, the value should be set to''

ฉันมีปัญหานี้และลองวิธีแก้ปัญหาที่แนะนำทั้งหมดและยังคงปัญหาของฉันไม่ได้รับการแก้ไข!

หลังจากการแก้ปัญหาด้วยความพยายามหลายครั้งฉันใช้screenคำสั่ง (ไคลเอนต์ VPN ของฉันคือ cisco-any-connect)

$ screen -R VPN
$ openconnect -b "your server"

หลังจากให้ข้อมูลประจำตัวของคุณกด ctrl + a + d ทันทีและกลับสู่เซสชันของคุณ

โดยส่วนตัวแล้วฉันต้องการเชื่อมต่อกับ SSH ทั้งหมดเพื่อกำหนดเส้นทางผ่าน VPN ในกรณีของการเชื่อมต่อ ssh ที่ใช้งานอยู่ก่อนที่ VPN จะถูกสร้างขึ้นมันจะต้องทำการเชื่อมต่อใหม่เนื่องจากการเปลี่ยนเส้นทาง

ฉันแนะนำให้ใช้autossh ภายใต้การกำหนดค่าไคลเอนต์ ssh ของคุณเพียงแค่เพิ่ม.ssh/config

Host *
   ServerAliveInterval 300
   ServerAliveCountMax 2
   BatchMode yes

• BatchModeย่อมาจากการเชื่อมต่ออัตโนมัติ
• ServerAliveย่อมาจาก Keeping Alive

หลังจากเชื่อมต่อ VPN แล้วการยกเลิกการเชื่อมต่อ ssh จะเกิดขึ้นเนื่องจากปริมาณการใช้งาน ssh จากเซิร์ฟเวอร์ไปยังเซิร์ฟเวอร์ VPN ดังนั้นเพื่อหลีกเลี่ยงปัญหานี้ให้รันคำสั่งต่อไปนี้ก่อนเชื่อมต่อ VPN

เพิ่มเส้นทาง - โฮสต์ - เครื่องของคุณ - สาธารณะ - ip gw เซิร์ฟเวอร์ - gatway-ip dev eth0

your-machine-public-ip: IP ของเครื่องของคุณจากที่ที่คุณกำลังทำ SSH Server-gatway-ip: IP ของ Gatway / เราเตอร์ของเซิร์ฟเวอร์นั้น

คำสั่งดังกล่าวจะเปลี่ยนเส้นทางการรับส่งข้อมูลผ่านเกตเวย์ที่กำหนดไม่ใช่ผ่านเซิร์ฟเวอร์ VPN