IPv6 での成功した SSH ログインと IPv4 を使用する同じホストの同時ログインに成功すると、結果に「Permission Denied」と表示されます。

Question 1

状況がますます奇妙になった後（私の質問のコメントスレッドを参照）、ついにそれを見つけました。最初にすべきこと：認証プロセスしたpam_access.soは失敗しますが、/etc/security/access.conf提案されたいくつかの構成エラーのため失敗しません。

その理由を理解するには、このボックスの設定を具体的に調べる必要があります。このボックスはルーターとして機能し、IPv4（デフォルトではPPPリンク経由）とIPv6（6in4トンネル経由）に接続されます。このボックスはDNS再帰リゾルバとしても機能し、これが興味深い部分です。 IPv4 リバースルックアップは IPv4 ルートサーバーで開始して再帰的に検証し、IPv6 リバースルックアップは IPv6 ルートサーバーで開始して繰り返しチェックするようにリゾルバを設定しました。この設定は、最初にインストールしたときに実際に機能しました。

今私のISPが登場し、人々はDNS増幅攻撃がどのように機能するのか理解していません。簡単に言えば、私のISPは着信DNSパケットをランダムに扱うと確信しています。つまり、一部は現在独自のリゾルバによってしばらく解決されなければなりませんが、他のDNSアドレスは自分で再帰的に確認する必要があります。正式な理由はDNS増幅を軽減することです。攻撃しますが、彼らは間違っています^ 1。

設定を大幅に変更したくないので、ISPのDNSリゾルバをローカルDNSリゾルバの最後に非再帰的な転送として配置しました。したがって、再帰確認の試行がタイムアウトした場合、ISP の検証者を試みます。これまではこれがうまくいきます。しかし、構成するときに小さな間違いをしました。 ISPのDNSリゾルバーを入力して、ローカルスコープ（192.168.0.0/16など）のホストでのみ機能させるようにしましたが、ルーターのlocalhostを忘れました。私はSSHで接続したいホストであり、リゾルバーいいえISPの確認者を検討してください。

pam_access.so はピアアドレスのリバースルックアップを試みます。これでループが終了します。 IPv6リバースルックアップの場合、DNS IPv6ルートサーバーにアクセスされるため、パケットはISPの干渉なしに6in4トンネルを通過して応答を取得します。ただし、IPv4リバースルックアップはISPのリゾルバを介して直接実行されず、応答を受信せず、最終的にNXHOSTを報告します（またはタイムアウト）。それにもかかわらず、pam_access.soは気に入ったものを見ることができず、「合格できません」と言うだけです。

そのパーサー構成を変更した後、すべてが再び魅力のように機能します。しかし、今ISPに対処する必要があります...

どうやって解決したのか？さて、ログの冗長さを残酷に研究して、/var/log/everythingイベントが展開される順序を理解してください。私はパーサーがリバースルックアップの試みを記録するのを見て、何が起こっているのかを知りました。

1: DNS 増幅緩和の観点から見ると、これは完全に言えないことです。発信DNSパケットが正しく通過するかどうかをテストしたからです。ただし、これはフィルタリングする必要があるパケットです。実際、すべてのエンドカスタマーISPは、送信者アドレスが顧客のアドレスと一致しないすべてのUDPパケットを破棄する必要があります。

Answer

状況がますます奇妙になった後（私の質問のコメントスレッドを参照）、ついにそれを見つけました。最初にすべきこと：認証プロセスしたpam_access.soは失敗しますが、/etc/security/access.conf提案されたいくつかの構成エラーのため失敗しません。

その理由を理解するには、このボックスの設定を具体的に調べる必要があります。このボックスはルーターとして機能し、IPv4（デフォルトではPPPリンク経由）とIPv6（6in4トンネル経由）に接続されます。このボックスはDNS再帰リゾルバとしても機能し、これが興味深い部分です。 IPv4 リバースルックアップは IPv4 ルートサーバーで開始して再帰的に検証し、IPv6 リバースルックアップは IPv6 ルートサーバーで開始して繰り返しチェックするようにリゾルバを設定しました。この設定は、最初にインストールしたときに実際に機能しました。

今私のISPが登場し、人々はDNS増幅攻撃がどのように機能するのか理解していません。簡単に言えば、私のISPは着信DNSパケットをランダムに扱うと確信しています。つまり、一部は現在独自のリゾルバによってしばらく解決されなければなりませんが、他のDNSアドレスは自分で再帰的に確認する必要があります。正式な理由はDNS増幅を軽減することです。攻撃しますが、彼らは間違っています^ 1。

設定を大幅に変更したくないので、ISPのDNSリゾルバをローカルDNSリゾルバの最後に非再帰的な転送として配置しました。したがって、再帰確認の試行がタイムアウトした場合、ISP の検証者を試みます。これまではこれがうまくいきます。しかし、構成するときに小さな間違いをしました。 ISPのDNSリゾルバーを入力して、ローカルスコープ（192.168.0.0/16など）のホストでのみ機能させるようにしましたが、ルーターのlocalhostを忘れました。私はSSHで接続したいホストであり、リゾルバーいいえISPの確認者を検討してください。

pam_access.so はピアアドレスのリバースルックアップを試みます。これでループが終了します。 IPv6リバースルックアップの場合、DNS IPv6ルートサーバーにアクセスされるため、パケットはISPの干渉なしに6in4トンネルを通過して応答を取得します。ただし、IPv4リバースルックアップはISPのリゾルバを介して直接実行されず、応答を受信せず、最終的にNXHOSTを報告します（またはタイムアウト）。それにもかかわらず、pam_access.soは気に入ったものを見ることができず、「合格できません」と言うだけです。

そのパーサー構成を変更した後、すべてが再び魅力のように機能します。しかし、今ISPに対処する必要があります...

どうやって解決したのか？さて、ログの冗長さを残酷に研究して、/var/log/everythingイベントが展開される順序を理解してください。私はパーサーがリバースルックアップの試みを記録するのを見て、何が起こっているのかを知りました。

1: DNS 増幅緩和の観点から見ると、これは完全に言えないことです。発信DNSパケットが正しく通過するかどうかをテストしたからです。ただし、これはフィルタリングする必要があるパケットです。実際、すべてのエンドカスタマーISPは、送信者アドレスが顧客のアドレスと一致しないすべてのUDPパケットを破棄する必要があります。

Question 2

サーバーのsshd構成は、この種の問題が発生した場合に実行できる最も興味深い作業の1つです。一般的にあります/etc/ssh/sshd_config。

構成ファイルに次のセクションがある可能性があります。

Match Address 10.*.*.*,192.168.0.*
    PasswordAuthentication no

これらのサブネットに関連するいくつかの規則があります（Addressファイルの規則は異なる可能性があります）。 IPv4アドレスが唯一の一致アドレスである場合（IPv6とは対照的に）、これらの規則はIPv4アドレスにのみ適用され、一致の規則は一致するIPアドレスにのみ適用されます。したがって、sshd には、IPv4 と IPv6 を介して接続するかどうかに応じて異なるルールがあります。

ですべてを設定することはできませんが、Match違いを作成するのに十分です。

AllowAgentForwarding, AllowTcpForwarding, AuthorizedKeysFile,
AuthorizedPrincipalsFile, Banner, ChrootDirectory, ForceCommand,
GatewayPorts, GSSAPIAuthentication, HostbasedAuthentication,
HostbasedUsesNameFromPacketOnly, KbdInteractiveAuthentication,
KerberosAuthentication, MaxAuthTries, MaxSessions,
PasswordAuthentication, PermitEmptyPasswords, PermitOpen,
PermitRootLogin, PermitTunnel, PubkeyAuthentication,
RhostsRSAAuthentication, RSAAuthentication, X11DisplayOffset,
X11Forwarding, X11UseLocalHost

Answer

サーバーのsshd構成は、この種の問題が発生した場合に実行できる最も興味深い作業の1つです。一般的にあります/etc/ssh/sshd_config。

構成ファイルに次のセクションがある可能性があります。

Match Address 10.*.*.*,192.168.0.*
    PasswordAuthentication no

これらのサブネットに関連するいくつかの規則があります（Addressファイルの規則は異なる可能性があります）。 IPv4アドレスが唯一の一致アドレスである場合（IPv6とは対照的に）、これらの規則はIPv4アドレスにのみ適用され、一致の規則は一致するIPアドレスにのみ適用されます。したがって、sshd には、IPv4 と IPv6 を介して接続するかどうかに応じて異なるルールがあります。

ですべてを設定することはできませんが、Match違いを作成するのに十分です。

AllowAgentForwarding, AllowTcpForwarding, AuthorizedKeysFile,
AuthorizedPrincipalsFile, Banner, ChrootDirectory, ForceCommand,
GatewayPorts, GSSAPIAuthentication, HostbasedAuthentication,
HostbasedUsesNameFromPacketOnly, KbdInteractiveAuthentication,
KerberosAuthentication, MaxAuthTries, MaxSessions,
PasswordAuthentication, PermitEmptyPasswords, PermitOpen,
PermitRootLogin, PermitTunnel, PubkeyAuthentication,
RhostsRSAAuthentication, RSAAuthentication, X11DisplayOffset,
X11Forwarding, X11UseLocalHost

Question 3

私も同じ問題がありました。iptablesそしてIP6テーブル、その後、問題を解決しました。

Answer

私も同じ問題がありました。iptablesそしてIP6テーブル、その後、問題を解決しました。

IPv6 での成功した SSH ログインと IPv4 を使用する同じホストの同時ログインに成功すると、結果に「Permission Denied」と表示されます。

修正する

アップデート2

アップデート3

答え1

答え2

答え3

関連情報