WCM Forum - SSH Problem

WCM Forum (http://www.wcm.at/forum/index.php)

- Linux, UNIX, Open Source (http://www.wcm.at/forum/forumdisplay.php?f=13)

- - SSH Problem (http://www.wcm.at/forum/showthread.php?t=170022)

Hallo,

ich hab unter der IP 194.208.223.90 einen Debian-Server, auf dem auch SSH läuft.
Aus dem lokalem Netz komme ich (auch mit der öffentlichen IP) ohne Probleme auf den Server aber nicht aus dem Internet.
Eigentlich müssten alle Ports korrekt weitergeleitet sein, nmap liefert nämlich:

Code:

Starting nmap 3.75 ( http://www.insecure.org/nmap/ ) at 2005-06-28 18:51 UTC

Interesting ports on 194-208-223-090.TELE.NET (194.208.223.90):

(The 1649 ports scanned but not shown below are in state: closed)

PORT     STATE    SERVICE

20/tcp   filtered ftp-data

21/tcp   filtered ftp

22/tcp   open     ssh

25/tcp   filtered smtp

80/tcp   open     http

110/tcp  filtered pop3

137/tcp  filtered netbios-ns

138/tcp  filtered netbios-dgm

139/tcp  filtered netbios-ssn

143/tcp  filtered imap

443/tcp  filtered https

465/tcp  filtered smtps

993/tcp  filtered imaps

8080/tcp open     http-proxy

Ich weiß einfach nicht warum ich nicht drauf komm...

Meine sshd_config:

Code:

# Package generated configuration file

# See the sshd(8) manpage for details



# What ports, IPs and protocols we listen for

Port 22

# Use these options to restrict which interfaces/protocols sshd will bind to

#ListenAddress ::

ListenAddress 194.208.223.90

Protocol 2

# HostKeys for protocol version 2

HostKey /etc/ssh/ssh_host_rsa_key

HostKey /etc/ssh/ssh_host_dsa_key

#Privilege Separation is turned on for security

UsePrivilegeSeparation yes



# Lifetime and size of ephemeral version 1 server key

KeyRegenerationInterval 3600

ServerKeyBits 768



# Logging

SyslogFacility AUTH

LogLevel INFO

# Authentication:

LoginGraceTime 600

PermitRootLogin no

StrictModes yes



RSAAuthentication yes

PubkeyAuthentication yes

#AuthorizedKeysFile     %h/.ssh/authorized_keys



# Don't read the user's ~/.rhosts and ~/.shosts files

IgnoreRhosts yes

# For this to work you will also need host keys in /etc/ssh_known_hosts

RhostsRSAAuthentication no

# similar for protocol version 2

HostbasedAuthentication no

# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication

#IgnoreUserKnownHosts yes



# To enable empty passwords, change to yes (NOT RECOMMENDED)

PermitEmptyPasswords no



# Change to no to disable s/key passwords

#ChallengeResponseAuthentication yes





# Change to yes to  enable tunnelled clear text passwords

PasswordAuthentication yes





# To change Kerberos options

#KerberosAuthentication no

#KerberosOrLocalPasswd yes

#AFSTokenPassing no

#KerberosTicketCleanup no



# Kerberos TGT Passing does only work with the AFS kaserver

#KerberosTgtPassing yes



X11Forwarding no

X11DisplayOffset 10

PrintMotd no

PrintLastLog yes

KeepAlive yes

#UseLogin no



#MaxStartups 10:30:60

#Banner /etc/issue.net ubsystem       sftp    /usr/lib/sftp-server



UsePAM yes

Hat jemand eine Idee?

TIA, Nestrus

also ich hab mal nen portscan der ersten 5000 ports gemacht bei dir:

Zitat:

* + 194.208.223.90
|___ 80 World Wide Web HTTP
|___ HTTP/1.1 200 OK..Date: Sun, 17 Jul 2005 14:16:23 GMT..Server: Apache/1.3.33 (Debian GNU/Linux) PHP/4.3.10-10 mod_ssl/2.8.22 Ope

sonst is nix offen.

Port 22 ist definitiv closed.

ev. blockt dein Provider Port 22 ?

Weil du "lokales Netz" ansprichst bist du scheinbar hinter einem Router.

Bist dir ganz sicher, dass du den Port 22 auch am Router richtig weitergeleitet hast ?

So, jetzt habe ich es endlich geschafft mal einen Termin auszumachen um zum Server zu kommen.
Eigentlich hoffte ich, dass ich nur vergaß sshd in die startup-scripte einzutragen da es mal einen Stromausfall gab und kurz davor hab ich noch im lokalen Netz ssh benutzt und es ging. (Übrigens konnte ich mich jetzt auch vergewissern, dass am Router alles richtig weitergeleitet wird.)

Allerdings liegt es nicht daran:

Code:

#ssh -ddd

debug2: read_server_config: filename /etc/ssh/sshd_config

debug1: sshd version OpenSSH_3.8.1p1 Debian-8.sarge.4

debug1: Bind to port 22 on 194.208.223.90.

Bind to port 22 on 194.208.223.90 failed: Cannot assign requested address.

Cannot bind any address.

Sonst sollte wirklich alles passen, hab beim Provider Port 22 öffnen lassen und wie gesagt wird es am Router weitergeleitet...

ListenAdress 194.x.x.x, falls in der Config eingestellt, mal rauskommentieren.

Denn ich glaub mal, ssh sollte auf die interne Adresse (die im Netzwerk) lauschen.

Vielleicht, falls durch einfaches Rauskommentieren trotzdem der Dienst versagt wird, ListenAdress xx.xx.xx.xx (die interne IP angeben, also die IP, die der Rechner im Netzwerk hat).

Oh stimmt, das ist wohl wirklich falsch, danke.
Ich hoffe, ich kann morgen mal kurz an den Server, dann probiere ich das aus.

Jetzt geht es im LAN wieder (hab ich dort mal die IP verändert oder warum gings mal und dann nicht mehr?) vom Internet aus aber immer noch nicht, ich bin mir jetzt aber ganz sicher dass der Provider den Port doch blockt (auch wenn uns was anderes versichert wurde), da es im Netz zwischen Router und Modem auch noch geht. (Liegt also definitv am Modem oder irgendwo dahinter.)

Zitat:

Original geschrieben von Nestrus da es im Netz zwischen Router und Modem auch noch geht.[/b]

Wie hast Du das getestet? Meiner Meinung nach zeigt das momentan nur, daß die Linux-Gurke nur eingehende Anfragen vom internen Netz zuläßt. Vielleicht läuft ja noch eine Firewall auf der Debian Maschine. Das sollte mit einem "ps aux | grep iptables" rauszufinden sein.

Bekommst Du eigentlich immer noch die Fehlermeldung mit dem "Cannot bind to Port"? Damit Dein System nicht ganz so einfach zu finden ist, könntest Du SSH auf einem anderen Port laufen lassen.

Das Modem ist eigentlich auch ein Router und hat mehrere LAN-Ports. An einem hänt der Netgear-Router und das eigentliche (C-Klasse) LAN dahinter. Ich hab einfach meinen Laptop an einen Port dort angesteckt. Wenn ich dann von dort aus (A-Klasse) mich mit dem Router per SSH connecten will, dann komme ich auf den Server im C-Klasse Netz, was ja der Beweis ist dass es korrekt geroutet wird und dass man sich auch aus dem Netz in dem auch das Modem hängt, also von der Internet-Seite des Routers her, connecten kann.
So passt dann doch alles auch firewalltechnisch, oder?

Nein, die Fehlermeldung war weil ich dort die öffentliche IP und nicht die interne stehen hatte. Da keine Neztwerkkarte diese IP hat, ging das natürlich nicht.

Sobald SSH geht, kümmere ich mich um die Sicherheit, also anderer Port, nur noch mit key usw.

Naja, wenn der Debian-Server nur Eingänge von 192.168. erlaubt, dann ist es ihm ja egal an welchem Router der hängt... Damit hast Du noch nicht bewiesen, daß die Anfrage von aussen wegen Dir geht.

Ausserdem hat ja auch das Modem eine interne und externe Seite.

Ganz abgesehen davon, daß Du mir meine Frage bezüglich Linux-Firewall noch nicht beantwortet hast.

Als ich im anderen Netz war hatte mein Laptop ja auch keien 192.168 IP sonder 10.0.0.x, aber es wird ja dann vom Router (der im LAN 192.168.0.1) hat weitergeleitet, also kommt es immer von der IP, oder?

Dass das Modem zwei Seiten hat ist schon klar, aber das kann ich nicht konfigurieren, das ist der Job des Providers. (Es gäbe sogar ein Webinterface, aber ich glaube kaum dass man uns sagt, wie das Passwort geht.)

Ich kann jetzt leider nicht nachschauen, aber ich bin mir sehr sicher, dass zur Zeit keine Firewall läuft, das wollte ich -wenn überhaupt- machen wenn SSH läuft. Da aber eh alle Ports außer die von uns benötigten ( :D ) zu sind, ist eine Firewall in meinen Augen eh nicht unbedingt notwendig.

Zitat:

Original geschrieben von Nestrus
Als ich im anderen Netz war hatte mein Laptop ja auch keien 192.168 IP sonder 10.0.0.x, aber es wird ja dann vom Router (der im LAN 192.168.0.1) hat weitergeleitet, also kommt es immer von der IP, oder?

So wie ich das verstehe, sieht der Debian Server in diesem Fall nur den Router. Dieser spiegelt dem eine 192er Nummer vor.

Zitat:

Original geschrieben von Nestrus Ich kann jetzt leider nicht nachschauen, aber ich bin mir sehr sicher, dass zur Zeit keine Firewall läuft, das wollte ich -wenn überhaupt- machen wenn SSH läuft. Da aber eh alle Ports außer die von uns benötigten ( :D ) zu sind, ist eine Firewall in meinen Augen eh nicht unbedingt notwendig.

Bei vielen Linux Distributionen wird die Firewall standardmäßig installiert - daher war das eine Vermutung von mir.

Zitat:

Original geschrieben von Juro
So wie ich das verstehe, sieht der Debian Server in diesem Fall nur den Router. Dieser spiegelt dem eine 192er Nummer vor.

Also ist es gleich als wenn ich vom Internet her - also direkt vom Modem - kommen würde, oder sehe ich das falsch?

Zitat:

Original geschrieben von Juro
Bei vielen Linux Distributionen wird die Firewall standardmäßig installiert - daher war das eine Vermutung von mir.

Ich bin mir jetzt auch nicht mehr ganz sicher und dachte auch daran... verwende auf jeden Fall Debian.