Cegah koneksi SSH hilang setelah masuk ke VPN di mesin server

Saya menemukan masalah yang tidak bisa saya tangani. Ketika saya masuk ke VPS melalui SSH dan mencoba untuk membuat sambungan VPN pada VPS itu, koneksi SSH antara VPS dan mesin saya hilang. Saya berasumsi itu karena perutean diubah oleh pengaturan VPN. Bagaimana cara mencegahnya?

Anda perlu menambahkan route-nopullopsi (dan menghapus redirect-gatewayjika ada) ke file konfigurasi klien OpenVPN Anda di VPS Anda.

Dengan cara itu menghubungkan ke server VPN tidak akan mengubah rute pada VPS Anda, sehingga Anda akan dapat mengatur yang Anda butuhkan sendiri.

Mari pertimbangkan skenario berikut:

1. VPS Anda memiliki antarmuka ethernet tunggal, yang dikonfigurasi dengan alamat IP 4.3.2.1/24;
2. VPS Anda dapat mengakses Internet melalui gateway default 4.3.2.254
3. VPS Anda telah tidak belum diaktifkan koneksi OpenVPN; karenanya tidak ada antarmuka tun aktif

Dalam skenario seperti itu, dari mesin Anda (misalkan mesin Anda 9.8.7.6/24 dengan def-gw 9.8.7.254), Anda dapat berhasil membuat koneksi SSH ke 4.3.2.1. Oleh karena itu kedua host 4.3.2.1 dan 9.8.7.6 dapat berhasil mencapai satu sama lain.

Sekarang, dengan koneksi SSH dibuat, mari kita anggap:

4. Anda meluncurkan koneksi OpenVPN dari VPS 4.3.2.1 Anda;
5. dengan demikian, antarmuka tun0 baru akan dikonfigurasikan secara dinamis (misalkan akan diberi IP 10.10.10.2, dengan PTP 10.10.10.1).

Di panggung ini:

• JIKA tidak ada rute yang akan didorong dari server OpenVPN jauh ke VPS lokal Anda, maka tidak ada yang akan berubah dalam hal perutean, dan koneksi SSH Anda akan bertahan tanpa masalah sama sekali. Dalam hal ini, satu-satunya lalu lintas yang melintasi VPN adalah yang diarahkan ke OpenVPN Server jarak jauh (10.10.10.1);

• JIKA server OpenVPN jarak jauh akan mendorong kembali beberapa rute, dan terutama jika VPS default-gateway akan diganti dengan 10.10.10.1 (titik akhir OpenVPN jarak jauh), MAKA Anda mengalami masalah. Dalam hal ini Anda melakukan tunneling SEMUA lalu lintas IP keluar (dengan pengecualian OpenVPN sendiri) di dalam VPN.

Dalam kasus kedua ini (mengganti def-gw tepat setelah membuat koneksi VPN), koneksi SSH Anda sebelumnya akan "hang", karena perutean asimetris:

• Lalu lintas dari mesin Anda (9.8.7.6) ke VPS (4.3.2.1) akan mengalir melalui jalur yang sebelumnya, tidak pernah diubah;
• Lalu lintas dari VPS (4.3.2.1) ke mesin Anda (9.8.7.6):
  • tanpa VPN (karenanya, pada awalnya) dialihkan melalui gateway 4.3.2.254;
  • setelah pembentukan tautan VPN, dengan penggantian def-gw terkait, dialihkan melalui VPN (10.10.10.1).

Dengan kata lain: segera setelah tautan VPN dibuat, rute kembali Anda dari VPS ke mesin Anda akan berubah dan ... ini bukan hal yang baik (beberapa perangkat jaringan, di sepanjang jalur pengembalian, mungkin mengenali asimetris seperti itu) path dan cukup jatuhkan paket).

Selain itu, kemungkinan besar bahwa server OpenVPN remote Anda bertindak sebagai kotak-NAT: semua lalu lintas yang berasal dari VPN akan disatukan dengan alamat IP publik Server OpenVPN jarak jauh. Jika ini benar, maka tidak ada lagi ... "tidak baik", tapi pasti "buruk", seperti untuk koneksi SSH Anda: kembalikan lalu lintas, selain untuk kembali ke rute yang berbeda, akan kembali ke mesin Anda dengan IP sumber yang berbeda (salah satu antarmuka publik dari server VPN).

Bagaimana cara mengatasi masalah ini?

Cukup mudah, memang.

Cukup menginstruksikan server VPS Anda untuk tidak merutekan lalu lintas ke mesin Anda di sepanjang VPN, tetapi, sebaliknya, mengandalkan rute sebelumnya . Seharusnya semudah menambahkan, sebelum memulai OpenVPN:

     route add -host 9.8.7.6 gw 4.3.2.254

dimana:

• 9.8.7.6 adalah alamat IP publik mesin Anda
• 4.3.2.254 adalah gateway default asli VPS Anda.

PS: dengan memberikan pertanyaan yang jauh lebih detail, Anda akan mendapat jawaban yang jauh lebih cepat :-)

Ini dapat membantu:

dimasukkan ke TCPKeepAlive=yesdalam/etc/ssh/sshd_config

Dari

man sshd_config | less +/'^ *TCPKeepAlive'

TCPKeepAlive

Menentukan apakah sistem harus mengirim pesan keepalive TCP ke sisi lain. Jika dikirim, kematian koneksi atau kerusakan salah satu mesin akan diperhatikan dengan benar. Namun, ini berarti koneksi akan mati jika rute turun sementara, dan beberapa orang merasa terganggu. Di sisi lain, jika TCP keepalives tidak dikirim, sesi dapat menggantung tanpa batas di server, meninggalkan pengguna "hantu" dan menghabiskan sumber daya server.

Standarnya adalah yes'' (to send TCP keepalive messages), and the server will notice if the network goes down or the client host crashes. This avoids infinitely hanging sessions. To disable TCP keepalive messages, the value should be set to''.

Saya memiliki masalah ini dan mencoba semua solusi yang direkomendasikan, dan masih, masalah saya tidak terpecahkan!

Setelah banyak mencoba solusi, saya menggunakan screenperintah. (Klien VPN saya adalah cisco-any-connect).

$ screen -R VPN
$ openconnect -b "your server"

Setelah memberikan kredensial Anda, tekan ctrl + a + d segera dan kembali ke sesi Anda.

Secara pribadi saya lebih suka semua koneksi ke SSH dialihkan melalui VPN. Dalam hal koneksi ssh aktif sebelum VPN dibuat, ia harus terhubung kembali karena rutenya berubah.

Saya sarankan untuk menggunakan autossh Di bawah konfigurasi klien ssh Anda, tambahkan saja.ssh/config

Host *
   ServerAliveInterval 300
   ServerAliveCountMax 2
   BatchMode yes

• BatchMode adalah singkatan dari auto-reconnect
• ServerAlive adalah singkatan dari Keeping Alive

Setelah menghubungkan VPN, ssh terputus karena, ssh lalu lintas dari server melalui server VPN. Jadi untuk menghindari ini jalankan perintah berikut sebelum menghubungkan VPN.

rute tambahkan -hosting mesin-Anda-publik-ip gw Server-gatway-ip dev eth0

your-machine-public-ip: IP mesin Anda dari tempat Anda melakukan SSH. Server-gatway-ip: IP Gatway / router dari server itu

Perintah di atas akan mengarahkan lalu lintas melalui gateway yang diberikan bukan melalui Server VPN.