Din motive, aș dori să activez conexiunile SSH pe un port suplimentar al mașinii mele. Este o mașină fizică (nu o VM), care rulează Devuan GNU/Linux Chimaera (~= Debian 11.0 fără systemd). Serverul SSH implicit (OpenSSH_8.4p1 Debian-5, OpenSSL 1.1.1k) rulează bine și acceptă deja conexiuni pe portul 22.
Am adăugat două Port intrări la mine /etc/sshd_config:
Portul 22
Portul 5123
și au repornit serviciul.
Ceea ce experimentez acum este că din cadrul aceleiași mașini, mă pot conecta la ambele porturi (ssh -p 5123 localhost lucrări); dar de la alte mașini de pe LAN, mă pot conecta doar la portul 22. Acesta este un LAN fizic (cabluri care rulează către un comutator), deci nu ar trebui să existe blocaje pe parcurs.
- Nu am găsit nicio mențiune despre o conexiune respinsă în
/var/log/auth.log.
- Am verificat
/etc/hosts.allow și /etc/hosts.deny - ambele sunt goale (cu excepția liniilor de comentarii).
- am incercat
iptables --list - toate mesele sunt goale.
Deci, ce ar putea bloca conexiunea pe portul 5123 de la alte mașini și cum o pot debloca?
Editați | ×: Informatii suplimentare:
# lsof -Pi :5410
COMANDA PID UTILIZATOR TIP FD DIMENSIUNEA DISPOZITIV/OPRIT NUME NOD
sshd 27566 root 3u IPv4 19305483 0t0 TCP *:5410 (ASCULTATE)
sshd 27566 root 4u IPv6 19305485 0t0 TCP *:5410 (ASCULTATE)
# iptables-salvare
# Avertisment: tabele iptables-legacy prezente, utilizați iptables-legacy-save pentru a le vedea
# iptables-legacy-save
# Generat de iptables-save v1.8.7 pe duminica 10 octombrie 09:30:15 2021
*filtru
:INPUT DROP [3837243:374065333]
: FORWARD DROP [0:0]
: ACCEPT IEȘIRE [8124295:583169789]
-A INPUT -m stare --stare INVALID -j DROP
-A INPUT -m stare --stare RELATED,STABLISHED -j ACCEPT
-A INTRARE -i lo -j ACCEPT
-A INTRARE -p icmp -j ACCEPT
-A INTRARE -p udp -m udp --dport 500 -j ACCEPT
-A INTRARE -p esp -j ACCEPT
-A INTRARE -p ah -j ACCEPT
-A INTRARE -p tcp -m tcp --dport 22 -j ACCEPT
-A FORWARD -m stare --stare INVALID -j DROP
-A FORWARD -m stare --stare RELATED,ESTABLISHED -j ACCEPT
-A IEȘIRE -m stare --stare RELATED,STABLISHED -j ACCEPT
COMMIT
# Finalizat duminică, 10 octombrie, 09:30:15 2021
Deci, se pare că există o regulă pentru acceptarea portului 22 ca intrare, dar nu există o astfel de regulă pentru portul 5123. Întrebarea rămâne totuși - care este cauza acestei situații?
# cat /etc/nftables.conf
#!/usr/sbin/nft -f
set de reguli de culoare
tabel inet filter {
intrare în lanț {
tip filtru cârlig prioritate de intrare 0;
}
lanț înainte {
tip filtru cârlig înainte prioritate 0;
}
ieșire în lanț {
tip filtru cârlig ieșire prioritate 0;
}
}
Pe Debian 11 și Devuan Chimaera, iptables este de fapt un link simbolic:
# readlink `care iptables`
/etc/alternatives/iptables
# readlink -f `care iptables`
/usr/sbin/xtables-nft-multi
