[Linux] SSH connectie extern problemen

[lavagiant]

Ik zit al geruime tijd met het volgende probleem en na het lezen van teveel andermans problemen ga ik toch ff een draadje openen.

Ik heb een Linux Slackware 10.2 server staan achter een router/adsl modem (adsl Planet Internet). Op die server heb ik verschillende services draaien. Twee ervan zijn de apache webserver en SSH.

Op de router heb ik de juiste poorten opengezet. Als ik de webserver probeer te benaderen gaat alles prima. Echter, SSH levert problemen.

Intern op het netwerk gaat alles prima (met Putty@Windows), geen enkel probleem.
Maar buiten de router (public) doet het volgende zich voor:

Ik probeer met Putty vauint Windows een connectie te maken (alle instellingen zijn juist). Er wordt mij gevraagd om een gebruikersnaam en wachtwoord zoals normaal.

Deze vul ik beide in, druk op enter en er gebeurd erg lang niets. Na een ruime tijd (~5/15 minuten) krijg ik de volgende foutmelding van Putty:

Network error: Software caused connection abort

Op een andere locatie heb ik exact dezelfde opstelling/configuratie en werken beide services zonder problemen achter een kabel modem en router met dezelfde poorten open.

Ik heb ook al geprobeerd om een hoger poortnummer voor SSH te gebruiken, maar ook dat lost het probleem niet op.

[Erkens]

Staat er nog iets nuttigs in je logs?
Het feit dat je je (username+)pass moet invoeren geeft aan dat er wel een verbinding gemaakt kan worden waardoor op dat punt firewalls en hosts.deny uitgesloten kunnen worden volgens mij.

[lavagiant]

Erkens schreef op donderdag 20 oktober 2005 @ 09:26:
Staat er nog iets nuttigs in je logs?

De Putty log:
Event Log: Looking up host "###########"
Event Log: Connecting to ######### port 22
Event Log: Server version: SSH-1.99-OpenSSH_4.2
Event Log: We claim version: SSH-2.0-PuTTY-Release-0.57
Event Log: Using SSH protocol version 2
Incoming packet type 20 / 0x14 (SSH2_MSG_KEXINIT)

Outgoing packet type 20 / 0x14 (SSH2_MSG_KEXINIT)

Event Log: Doing Diffie-Hellman group exchange
Outgoing packet type 30 / 0x1e (SSH2_MSG_KEX_DH_GEX_REQUEST)

Incoming packet type 31 / 0x1f (SSH2_MSG_KEX_DH_GEX_GROUP)

Event Log: Doing Diffie-Hellman key exchange
Outgoing packet type 32 / 0x20 (SSH2_MSG_KEX_DH_GEX_INIT)

Incoming packet type 33 / 0x21 (SSH2_MSG_KEX_DH_GEX_REPLY)

Event Log: Host key fingerprint is:
Event Log: ssh-rsa 2048 #############################################
Outgoing packet type 21 / 0x15 (SSH2_MSG_NEWKEYS)
Incoming packet type 21 / 0x15 (SSH2_MSG_NEWKEYS)
Event Log: Initialised AES-256 client->server encryption
Event Log: Initialised AES-256 server->client encryption
Event Log: Initialised HMAC-SHA1 client->server MAC algorithm
Event Log: Initialised HMAC-SHA1 server->client MAC algorithm
Outgoing packet type 5 / 0x05 (SSH2_MSG_SERVICE_REQUEST)

Incoming packet type 6 / 0x06 (SSH2_MSG_SERVICE_ACCEPT)

Outgoing packet type 50 / 0x32 (SSH2_MSG_USERAUTH_REQUEST)

Incoming packet type 51 / 0x33 (SSH2_MSG_USERAUTH_FAILURE)
Outgoing packet type 50 / 0x32 (SSH2_MSG_USERAUTH_REQUEST)
Incoming packet type 51 / 0x33 (SSH2_MSG_USERAUTH_FAILURE)
Outgoing packet type 50 / 0x32 (SSH2_MSG_USERAUTH_REQUEST)
Outgoing packet type 2 / 0x02 (SSH2_MSG_IGNORE)
Event Log: Sent password
Incoming packet type 52 / 0x34 (SSH2_MSG_USERAUTH_SUCCESS)
Event Log: Access granted
Incoming packet type 91 / 0x5b (SSH2_MSG_CHANNEL_OPEN_CONFIRMATION)
Event Log: Opened channel for session
Outgoing packet type 98 / 0x62 (SSH2_MSG_CHANNEL_REQUEST)
Incoming packet type 99 / 0x63 (SSH2_MSG_CHANNEL_SUCCESS)
Event Log: Allocated pty (ospeed 38400bps, ispeed 38400bps)
Outgoing packet type 98 / 0x62 (SSH2_MSG_CHANNEL_REQUEST)

[Erkens]

dat ziet er redelijk normaal uit imo
maar ik bedoelde meer de server logs

[Verwijderd]

Staat je dns wel goed? ssh doet een extra reverse-dns check nadat je bent ingelogt, en als die niet lukt, of je ssh server kan de dns server niet bereiken, dan kunnen dit soort dingen optreden.

[lavagiant]

Omdat ik nu dus niet bij de server kan (want SSH werkt remote niet ) kon ik niet bij de server logs. Vandaar dat ik die van Putty even nam.

Hoe zou ik de dns kunnen controleren? De webserver werkt wel normaal, dus verw8 zelf niet dat het daaraan zal liggen...

Edit:
Er draait ook een mailserver op en die levert de mail probleemloos af (dns ok!?)

[ Voor 15% gewijzigd door lavagiant op 20-10-2005 10:41 ]

[lavagiant]

Erkens schreef op donderdag 20 oktober 2005 @ 10:27:
dat ziet er redelijk normaal uit imo
maar ik bedoelde meer de server logs

Oct 20 10:20:11 server3 sshd[28462]: Accepted password for ###### from ######### port 20117 ssh2

Dat staat er dus in de log. DNS lijkt me in orde, kan hier naar bijv. tweakers.net prima pingen vanuit de server.

Iemand een id?

[Erkens]

En verder helemaal niks Vaag
Heb je dit al sinds de installatie? of heb je onlangs wat veranderd (wat dan ook)

[lavagiant]

Erkens schreef op donderdag 20 oktober 2005 @ 15:31:
En verder helemaal niks Vaag
Heb je dit al sinds de installatie? of heb je onlangs wat veranderd (wat dan ook)

Sterker nog, de server had dit probleem al langer. Gister volledig nieuwe installatie uitgevoerd met de veronderstelling dat het daarna in orde zou zijn. Maar niet dus. IPtables zijn leeg (default policy ACCEPT), dus daar kan het ook niet aan liggen.

Edit:
Oow ja, als iemand remote met ssh probeert in te loggen dan gaat dat ook prima. Als ik het commando users geef staat die er netjes bij na het inloggen. Maar de weg terug gaat dus op 1 of andere manier fout.

[ Voor 19% gewijzigd door lavagiant op 20-10-2005 15:42 ]

[Erkens]

Klopt je route table wel? hoewel ik het vaag zou vinden want verkeer komt wel terug

post anders eens je sshd.conf (commentaar mag je eruit knippen, dat kennen we wel )

[kenneth]

lavagiant schreef op donderdag 20 oktober 2005 @ 15:22:
Dat staat er dus in de log. DNS lijkt me in orde, kan hier naar bijv. tweakers.net prima pingen vanuit de server.

Dat gewone lookups werken, is geen garantie dat een reverse lookup werkt.

[Erkens]

kenneth schreef op donderdag 20 oktober 2005 @ 15:49:
[...]


Dat gewone lookups werken, is geen garantie dat een reverse lookup werkt.

maar wordt die eventuele DNS check niet gedaan _voor_ het daadwerkelijk inloggen?
daarnaast heb ik nog nooit last gehad hiervan (draai ook slack10.2) en connect regelmatig via IP's waar geen reverse DNS entry is

[ Voor 20% gewijzigd door Erkens op 20-10-2005 15:52 ]

[lavagiant]

Route:

Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
localnet * 255.0.0.0 U 0 0 0 eth0
loopback * 255.0.0.0 U 0 0 0 lo
default 10.0.0.1 0.0.0.0 UG 1 0 0 eth0

Lijkt te kloppen, router is 10.0.0.1

Mijn sshd_config is default, onderaan staat het volgende, de rest is alles commentaar:

# override default of no subsystems
Subsystem sftp /usr/libexec/sftp-server


@ Kenneth:
Als jij suggesties hebt om de reverse-lookup te testen...

[ Voor 7% gewijzigd door lavagiant op 20-10-2005 15:53 ]

[kenneth]

code:

[kenneth@bridge:~] host www.freebsd.org
www.freebsd.org has address 216.136.204.117
[kenneth@bridge:~] host 216.136.204.117
117.204.136.216.in-addr.arpa domain name pointer www.freebsd.org.

[lavagiant]

code:

peter@server3:~# host slackware.com
slackware.com has address 64.57.102.34
peter@server3:~# host 64.57.102.34
34.102.57.64.in-addr.arpa domain name pointer slackware.com.

[ Voor 6% gewijzigd door lavagiant op 20-10-2005 16:14 ]

[Erkens]

en dan nu naar de bak waarvandaan je wilde connecten
of was dat 64.57.102.34

[lavagiant]

code:

peter@server3:~# host 193.43.####
Host #######.in-addr.arpa not found: 3(NXDOMAIN)

H,mmm, en nu?

[ Voor 4% gewijzigd door lavagiant op 20-10-2005 16:24 ]

[lavagiant]

kick

[Erkens]

Maar je zei dat het wel werkte vanuit een andere locatie? (behalve lokaal) Dan is het volgens mij geen server config die fout zit maar iets client side, wellicht een slechte firewall oid?

[lavagiant]

Het werkt WEL lokaal. Buiten de router (public) werkt het NIET. Dus ik ben nog geen stap verder dan gister