1 Temat przez firefox (edytowany przez firefox 2007-09-01 18:02:02)

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Temat: cachewanie kluczy RSA na ruterze ?

Mam nastepujacy problem.

Nie moge sie polaczyc do pewnego serwara przez SSH z poziomu putty pod windows XP
Problem zaczal wystepowac po zmianie portu, na ktorym chodzi SSH na tym serwerze, do ktorego chce sie polaczyc.

z poziomu rutera moge sie bez problemu polaczyc poleceniem : ssh root@jakis_serwer.pl -p 1022

w putty zmienilem ustawienie portu na 1022.

Wiem co jest przyczyna problemu (connection refused), ale nie wiem jak ominac problem.

Zauwazylem, ze najprawdopodobniej gdzies na ruterze zostala zapamietana informacja o starym kluczu RSA

Zrobilem nastepujacy test :

1.- podlaczylem modem bezposrednio do komputera i probowalem sie polaczyc z serwerem
   - program putty ostrzegl mnie, ze byc moze ktos chce sie podszyc, bo jest inny klucz
   - potwierdzilem nowy klucz i zalogowalem sie-przebieglo bez zarzutu

2. - podlaczylem modem z powrotem do rutera
    - program putty ostrzegl mnie, ze byc moze ktos chce sie podszyc, bo jest inny klucz
    - potwierdzilem zmiane klucza i znowu nie moge sie polaczyc.


co odpowiada za problem ?

chyba nie ustawienia firewall serwera, do ktorego chce sie polaczyc, skoro moge sie laczyc z linuksa przez SSH
moze problem powoduje dnsmasq ?? lub cos innego co zapisalo trwale informacje na flashu rutera ?

* jeszcze jedno pytanie:

Z tego co wiem dnsmasq trzyma informacje o DNSach w pamieci, czy mozna zatem jakos zapisac te informacje do pliku ? zeby miec w nim np. google.pl i obok IP serwera google

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

część 1: Z putty gdzie próbujesz się wbić w końcu i Cię nie wspuszcza? Na serwer z portem 1022 czy ruter?

część 2: Co znaczy co, chcesz na stałe zapisać? to /etc/hosts. Ale akurat dla google to kiepski pomysł, bo oni używają farmy serwerów i ip może się zmieniać. Jak natomiast chcesz zrzucić zawartość cache dnsmasq to on ma przełącznik to tego (-q); tradycyjnie manual do dnsmasq polecam.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez firefox

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

putty nie pozwala mi wejsc na pewien serwer, podczas gdy na komputerze klienckim jestem polaczony przez ruter.kiedy podlacze modem bezposrednio do komputera(bez udzialu rutera)moge wejsc na ten serwer. Co do dnsmasq, to wlasnie chodzilo mi o zrzucenie cache. dzieki !!

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

Ruter widzi to jako normalny strumień tcp i nie wie co jest w srodku (w sensie nie analizuje ruchu czy to ssh czy www, chyba ze specjalnie mu powiesz żeby to robił). A już na pewnie nie keszuje kluczy bo ich nie zna.

Dziwne jest to że jak podłączyłeś sie bezpośrednio to putty krzyczał o zmianie klucza, a jak zrobiłeś to poźniej przez ruter to też krzyczał (a już nie powinien). Nie używasz może czegoś (vpn? jakiś wpisów specjalnych na ruterze?)

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez firefox

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

dlaczego dziwne,ze "krzyczy" 2 raz ? wg mnie nie ma nic w tym dziwnego, bo za 1 razem byl sobie jakis klucz, nie dzialalo, podlaczylem modem bezposrednio, to odebral nowy klucz-zadzialalo moglem sie polaczyc.
Kiedy wrocilem do konfiguracji wyjsciowej(modem podlaczony do rutera) znowu chcial pobrac klucz(ten zapewne ten niedzialajacy), bo nie moglem sie polaczyc na ten serwer(connection refused)

Myslalem, ze to problem mojego komputera klienckiego WIN XP. Poszedlem jednak i sprawdzilem na 2 komputerze Win2003 server i okazalo sie, ze jest to samo.

VPN nie uzywam, bo udalo mi sie zmusic moja 1 wybredna karte wifi do dzialania w trybie WPA (okazalo sie, ze nalezalo wybrac WPA1 i TK-IP, bo WPA2 AES nie jest obslugiwana przez karte)

Co dziwnego innego moge miec ? uzywam Dynamic DNS, OpenDNS, Dns masq, firewall proste ustawienia.
hmm... dziwi mnie to zachowanie, pod linuksem dziala, a pod winda nie...

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

Dziwne bo: jak łączysz się z serwerem to za pierwszym razem masz pytanie o akceptację klucza. Później jeżeli klucz sie zgadza nie ma tego pytania.
Nie niezaleznie od tego jak się łączysz - modem, kabel, czy pomiędzy dodałeś jeszcze jednen ruter itd. Tylko z przypadku zmiany klucza (a to następuje tylko jak nowa instancja ssh powstaje) to pyta się ponownie/krzyczy że mu się klucz nie zgadza.

Wiec dlaczego po przejściu przez ruter ponownie poinformował Cię o zmianie klucza? (głupie pytanie, ale jesteś pewnien że łączysz się to tego zdalnego serwera a nie do rutera? Bo wszystko na to wskazuje).

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez firefox

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

na pewno lacze sie do zdalnego serwera, a nie do rutera smile
dodam, ze nie bylo problemu jak na tamtym serwerze SSH chodzil na 22 porcie.
dodam jeszcze, choc nie widze zwiazku, ze tamten serwer nasluchuje (SSH) na tym samym porcie, co moj ruter, czyli 1022. ale to chyba nie ma zwiazku...

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

A robisz po nazwie czy po ip? smile

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez firefox (edytowany przez firefox 2007-09-01 20:19:57)

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

po IP. Pomylka nie mozliwa z ruterem (zupelnie inna klasa IP)

po nazwie tez nie dziala, co ciekawe gdy dalem 1 raz po nazwie, to znowu napisal, ze otrzymal klucz.

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

To tak, bo inny wpis w known_hosts robi. No to nie wiem smile. Stawiał bym na coś oczywistego...

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez firefox

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

to moze zatem to sprawa mojego firewall ?
na ruterze przekierowuje SSH na zewnatrz by dzialalo w internecie na 1022

serwer, na ktory sie lacze dziala tez na 1022, moze wlasnie ten sam port i bledne ustawienie firewalla powoduje problem ?

* Nie chcac tworzyc nowego watku zapytam:

Uzywam matrix tunnel do  SSL, jak zrobic by SSL dzialal na zewnatrz, jesli przekierowalem http na inny port niz 80. wywalanie https://serwer:port powoduje blad.

czy to jest podobnie, jak z FTP, ze nie moge przekierowac, go na inny port w Open Wrt (i bez rekompilacji musi dzialac na standardowym 21)

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

Przyznałeś się. Jak to przekierowanie robisz? Zapewne to co idzie na 1022 jest bezwarunkowo na ruter kierowane zamiast w sieć.

Samo napsiane https powoduje odwołanie się do 443 wiec :port nie ma już sensu podawać. i przy ssl jest to 443 a nie 80. Co chcesz na co przekierować?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez firefox (edytowany przez firefox 2007-09-06 15:22:33)

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

juz wiem co bylo przyczyna domniemanego cachewania portow firewall big_smile (rzeczywiscie cos prostego)
nie wiem jak mam poprawic firewall, ale to juz 1/2 sukcesu,ze znam przyczyne.

serwer SSH (156.xxx.xxx.xxx) nasluchuje na porcie np. 1022 , na ktory chcialem sie polaczyc z domu (z lanu)
moj ruter tez jest widoczny w internecie i nasluchuje na tym samym porcie, co tamten serwer np.1022

w moim firewall mialem przekierowanie na zewnatrz :

iptables -I input_rule -p tcp -d 192.168.1.0 --dport 22 -j ACCEPT
iptables -t nat -p tcp -I PREROUTING -s 0/0 --dport 1022 -m state --state NEW -j DNAT --to 192.168.1.0:22

zeby moj ruter (SSH bylo widoczne z internetu na porcie 1022)

Wiem skad pochodzi ten klucz mylny RSA. w momencie kiedy probowalem sie laczyc z serwerem (156.xxx.xxx.xxx) na porcie 1022, to odzywal sie moj ruter nasluchujacy na porcie 1022 smile

pytanie, jakby nalezalo zmodyfikowac firewall, bym mogl po staremu widziec ruter w internecie, ale moglbym sie laczyc z komputerem 156.xxx.xxx.xxx , nasluchujacym na 1022 ?

14 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

No przecież napisałem że tak zrobiłeś.

iptables -t nat -p tcp -I PREROUTING -s 0/0  -d 192.168.1.0/32 --dport 1022 -m state --state NEW -j DNAT --to 192.168.1.0:22

zakładając ze ruter to 192.168.1.0

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

15 Odpowiedź przez firefox

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

chodzi o to, ze przy tej regule co napisalem nie moge sie polaczyc na serwer 156.xxx.xxx.xxx, a jak wylacze ta regule, to nagle moge sie polaczyc.

192.168.1.0 to IP rutera

Oba ruter (serwer SSH) i serwer, do ktorego chce sie polaczyc 156.xxx.xxx.xxx (serwer SSH) dzialaja na porcie 1022.

16 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

No napisałem, -d 192.168.1.0/32 Ci brakuje.

Teraz masz tak, ze jak docelowym portem jest 1022 to forwardujesz to na 192.168.1.0:22. A zmień tak, że jeżeli docelowym hostem jest 192.168.1.0 i docelowym portem jest 1022 to forwardujesz. I tylko wtedy.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

17 Odpowiedź przez firefox (edytowany przez firefox 2007-09-06 22:24:49)

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

przepraszam nie uwaznie czytalem smile

kurcze jeszcze cos nie gra...

dopisalem to i laczac sie do rutera z internetu mam 'connection refused'

nie wiedzialem, ze 32 to skrocony zapis maski podsieci
teraz juz wiem smile
http://pl.wikipedia.org/wiki/Maska_podsieci

wg powyzszego opisu dla maski 255.255.255.0 powinno byc 24, a nie 32

zmienilem na 24 i tez nie dziala sad

18 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

No i nie będzie działać. Jak łączysz się z internetu to adres rutera nie jest 192.168.1.x tylko inny, publiczny prawda?

Więc praca domowa:
1) jak zrobić, aby łącząc się z LAN do rutera (192.168.1.x) mapował porty
2) jak zrobić, aby łącząc się z WAN do rutera (XX.XX.XX.XX) mapował porty

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

19 Odpowiedź przez firefox

  • Zarejestrowany: 2007-07-26
  • Posty: 186

Odp: cachewanie kluczy RSA na ruterze ?

no dobra odrobilem zadanie domowe-przynajmniej po czesci smile

dziala po zmienieniu regulki na :
iptables -t nat -p tcp -I PREROUTING -s 0/0  -d xxx.xxx.xxx.xxx/32 --dport 1022 -m state --state NEW -j DNAT --to 192.168.1.0:22

gdzie xxx.xxx.xxx.xxx --> to zewnetrzne IP rutera. Dalem /32, bo ifconfig ppp0 podal maske 255.255.255.255

problem jednak jest tego typu, ze nie ma stalego IP (korzystam z Dynamic Dns)

widze, ze jedynym rozwiazaniem bedzie zmiana portu nasluchiwania SSH na moim ruterze lub na tym serwerze, do ktorego sie lacze.

no chyba, ze jest inny sposob ?

20 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,109

Odp: cachewanie kluczy RSA na ruterze ?

Możesz dwie zrobić: jedną dla adresu źrodłowego (-s) różnego od adresów w lan i wtedy ma robić DNAT'a, drugą dla adresów źródłowych z sieci lan i adresu docelowego rutera.

Ale zaczyna się już kombinowanie i w tym przypadku prościej jest po prostu zmieć port w ssh na ruterze.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona