Помогите настроить ssh !!

[mawa]

Народ, подскажите пожалуйста! Не могу по ssh подключиться к себе на ПК(Ubuntu 11.10) с другого ПК не по LAN и не по WAN (хотя пинги есть).

Код: [Выделить]

$ ssh -V
OpenSSH_5.8p1 Debian-7ubuntu1, OpenSSL 1.0.0e 6 Sep 2011


Код: [Выделить]

/etc/ssh$ sudo netstat -tulpn | grep 22
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      2543/sshd       
tcp        0      0 127.0.0.1:5433          0.0.0.0:*               LISTEN      2206/postgres   
tcp6       0      0 :::22                   :::*                    LISTEN      2543/sshd


Код: [Выделить]

:/etc/ssh$ sudo ufw status
Состояние: неактивен


При подключении пишет - Network error: connection timed out

[ArcFi]

На обеих машинах:

Код: [Выделить]

sudo iptables-save
На сервере:

Код: [Выделить]

service ssh status
nmap -sV localhost
На клиенте:

Код: [Выделить]

tracepath SERVER
nmap -sV SERVER
Все выхлопы сюда.

[mawa]

sudo iptables-save (server)

Код: [Выделить]

$ sudo iptables-save
# Generated by iptables-save v1.4.10 on Fri Jan 13 13:57:10 2012
*nat
:PREROUTING ACCEPT [239880:13911573]
:INPUT ACCEPT [33:1980]
:OUTPUT ACCEPT [38492:2415083]
:POSTROUTING ACCEPT [301:12089]
-A POSTROUTING -o eth2 -j MASQUERADE
COMMIT
# Completed on Fri Jan 13 13:57:10 2012
# Generated by iptables-save v1.4.10 on Fri Jan 13 13:57:10 2012
*mangle
:PREROUTING ACCEPT [2835363:2495200075]
:INPUT ACCEPT [1702212:2102222413]
:FORWARD ACCEPT [1128781:392691609]
:OUTPUT ACCEPT [1039557:137921612]
:POSTROUTING ACCEPT [2168206:530639927]
COMMIT
# Completed on Fri Jan 13 13:57:10 2012
# Generated by iptables-save v1.4.10 on Fri Jan 13 13:57:10 2012
*filter                                                                                                                                                           
:INPUT DROP [316:44421]
:FORWARD DROP [1:56]
:OUTPUT DROP [0:0]
:INBOUND - [0:0]
:LOG_FILTER - [0:0]
:LSI - [0:0]
:LSO - [0:0]
:OUTBOUND - [0:0]
-A INPUT -s 109.86.2.2/32 -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -s 109.86.2.2/32 -p udp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m limit --limit 10/sec -j ACCEPT
-A INPUT -d 255.255.255.255/32 -i eth2 -j DROP
-A INPUT -d 178.150.215.255/32 -j DROP
-A INPUT -s 224.0.0.0/8 -j DROP
-A INPUT -d 224.0.0.0/8 -j DROP
-A INPUT -s 255.255.255.255/32 -j DROP
-A INPUT -d 0.0.0.0/32 -j DROP
-A INPUT -m state --state INVALID -j DROP
-A INPUT -f -m limit --limit 10/min -j LSI
-A INPUT -i eth2 -j INBOUND
-A INPUT -d 192.168.56.10/32 -i eth1 -j INBOUND
-A INPUT -d 178.150.215.112/32 -i eth1 -j INBOUND
-A INPUT -d 192.168.56.0/32 -i eth1 -j INBOUND
-A INPUT -j LOG_FILTER
-A INPUT -j LOG --log-prefix "Unknown Input" --log-level 6
-A FORWARD -p icmp -m limit --limit 10/sec -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -i eth1 -j OUTBOUND
-A FORWARD -d 192.168.56.0/24 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.56.0/24 -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j LOG_FILTER
-A FORWARD -j LOG --log-prefix "Unknown Forward" --log-level 6
-A OUTPUT -s 178.150.215.112/32 -d 109.86.2.2/32 -p tcp -m tcp --dport 53 -j ACCEPT
-A OUTPUT -s 178.150.215.112/32 -d 109.86.2.2/32 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -s 224.0.0.0/8 -j DROP
-A OUTPUT -d 224.0.0.0/8 -j DROP
-A OUTPUT -s 255.255.255.255/32 -j DROP
-A OUTPUT -d 0.0.0.0/32 -j DROP
-A OUTPUT -m state --state INVALID -j DROP
-A OUTPUT -o eth2 -j OUTBOUND
-A OUTPUT -o eth1 -j OUTBOUND
-A OUTPUT -j LOG_FILTER
-A OUTPUT -j LOG --log-prefix "Unknown Output" --log-level 6
-A INBOUND -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INBOUND -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INBOUND -j LSI
-A LSI -j LOG_FILTER
-A LSI -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j LOG --log-prefix "Inbound " --log-level 6
-A LSI -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
-A LSI -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j LOG --log-prefix "Inbound " --log-level 6
-A LSI -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -j DROP
-A LSI -p icmp -m icmp --icmp-type 8 -m limit --limit 1/sec -j LOG --log-prefix "Inbound " --log-level 6
-A LSI -p icmp -m icmp --icmp-type 8 -j DROP
-A LSI -m limit --limit 5/sec -j LOG --log-prefix "Inbound " --log-level 6
-A LSI -j DROP
-A LSO -j LOG_FILTER
-A LSO -m limit --limit 5/sec -j LOG --log-prefix "Outbound " --log-level 6
-A LSO -j REJECT --reject-with icmp-port-unreachable
-A OUTBOUND -p icmp -j ACCEPT
-A OUTBOUND -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTBOUND -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTBOUND -j ACCEPT
COMMIT
# Completed on Fri Jan 13 13:57:10 2012


Код: [Выделить]

$ service ssh status
ssh start/running, process 2543

nmap -sV localhost

Код: [Выделить]

$ nmap -sV localhost

Starting Nmap 5.21 ( http://nmap.org ) at 2012-01-13 13:59 EET
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00056s latency).
Not shown: 995 closed ports
PORT     STATE SERVICE    VERSION
22/tcp   open  ssh        OpenSSH 5.8p1 Debian 7ubuntu1 (protocol 2.0)
631/tcp  open  ipp        CUPS 1.4
3306/tcp open  mysql      MySQL 5.1.58-1ubuntu1
5432/tcp open  postgresql PostgreSQL DB
8000/tcp open  http-alt?
1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at http://www.insecure.org/cgi-bin/servicefp-submit.cgi :
SF-Port8000-TCP:V=5.21%I=7%D=1/13%Time=4F101CBC%P=i686-pc-linux-gnu%r(GetR
SF:equest,C34,"HTTP/1\.0\x20200\x20OK\r\nDate:\x20Fri,\x2013\x20Jan\x20201
SF:2\x2011:59:56\x20GMT\r\nServer:\x20WSGIServer/0\.1\x20Python/2\.7\.2\+\
SF:r\nVary:\x20Cookie\r\nContent-Type:\x20text/html;\x20charset=utf-8\r\nS
SF:et-Cookie:\x20\x20csrftoken=d2de4ac171fef56accbb6bb60edda629;\x20expire
SF:s=Fri,\x2011-Jan-2013\x2011:59:56\x20GMT;\x20Max-Age=31449600;\x20Path=
SF:/\r\n\r\n<html>\n\t<head>\n\t\t<title>My\x20test-site</title>\n\t</head
SF:>\n\t<body>\n<!--\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x
SF:20\xd0\xa5\xd0\x98\xd0\x94\xd0\x95\xd0\xa0\x20\x20\x20\x20\x20\x20\x20\
SF:x20\x20\x20\x20\x20\x20\x20\x20\x20-->\n\t\t<table\x20width=\"100%\"\x2
SF:0border='0'>\n\t\t\t<tr\x20height=\"50\">\n\t\t\t\t<td\x20colspan=3\x20
SF:\x20align='center'>\n\t\t\t\x20\t\t<h2>Welcome\x20to\x20my\x20portal\x2
SF:0:\)\x20</h2>\n\t\t\t\x20\t</td>\n\t\t\t</tr>\n\t\t\t<tr\x20width=\"100
SF:%\">\n\t\t\t\t<td\x20width=\"10%\"\x20>\n\t\t\t\t</td>\n\t\t\t\t<td\x20
SF:bgcolor=\"#11FF11\"\x20\x20border=\"0\"\x20bordercolor=\"000000\"\x20wi
SF:dth=\"80%\"\x20height=\"172\">\n\t\t\t\t\t<table\x20border='1'\x20width
SF:=\"100%\"\x20height=\"100%\">\t\t\t\t\n\t\t\t\t\t\t\t<tr\x20width=\"100
SF:%\"\x20align='right'>\t\t\t\t\t\n\t\t\t\t\t\t\t\t<td\x20width=\"20%\">\
SF:n\t\t\t\t\t\t\t\t\t<link\x20rel=\"stylesheet\"\x20href=\"/static/css/st
SF:yle\.css\"\x20/>\x20\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t<img\x20src
SF:=\"/static/img/log")%r(FourOhFourRequest,B46,"HTTP/1\.0\x20404\x20NOT\x
SF:20FOUND\r\nDate:\x20Fri,\x2013\x20Jan\x202012\x2012:00:01\x20GMT\r\nSer
SF:ver:\x20WSGIServer/0\.1\x20Python/2\.7\.2\+\r\nContent-Type:\x20text/ht
SF:ml\r\n\r\n\n<!DOCTYPE\x20HTML\x20PUBLIC\x20\"-//W3C//DTD\x20HTML\x204\.
SF:01\x20Transitional//EN\"\x20\"http://www\.w3\.org/TR/html4/loose\.dtd\"
SF:>\n<html\x20lang=\"en\">\n<head>\n\x20\x20<meta\x20http-equiv=\"content
SF:-type\"\x20content=\"text/html;\x20charset=utf-8\">\n\x20\x20<title>Pag
SF:e\x20not\x20found\x20at\x20/nice\x20ports,/Trinity\.txt\.bak</title>\n\
SF:x20\x20<meta\x20name=\"robots\"\x20content=\"NONE,NOARCHIVE\">\n\x20\x2
SF:0<style\x20type=\"text/css\">\n\x20\x20\x20\x20html\x20\*\x20{\x20paddi
SF:ng:0;\x20margin:0;\x20}\n\x20\x20\x20\x20body\x20\*\x20{\x20padding:10p
SF:x\x2020px;\x20}\n\x20\x20\x20\x20body\x20\*\x20\*\x20{\x20padding:0;\x2
SF:0}\n\x20\x20\x20\x20body\x20{\x20font:small\x20sans-serif;\x20backgroun
SF:d:#eee;\x20}\n\x20\x20\x20\x20body>div\x20{\x20border-bottom:1px\x20sol
SF:id\x20#ddd;\x20}\n\x20\x20\x20\x20h1\x20{\x20font-weight:normal;\x20mar
SF:gin-bottom:\.4em;\x20}\n\x20\x20\x20\x20h1\x20span\x20{\x20font-size:60
SF:%;\x20color:#666;\x20font-weight:normal;\x20}\n\x20\x20\x20\x20table\x2
SF:0{\x20border:none;\x20border-collapse:\x20collapse;\x20width:100%;\x20}
SF:\n\x20\x20\x20\x20td,\x20th\x20{\x20vertical-align:top;\x20padding:2px\
SF:x203px;\x20}\n\x20\x20\x20\x20th\x20{");
Service Info: OS: Linux

Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 71.32 seconds
_____________________________КЛИЕНТ______________________________________________

Код: [Выделить]

max@ubuntumax:~$ tracepath 178.150.215.112
 1:  ubuntumax.local                                       0.178ms pmtu 1500
 1:  PRINTER.router                                        0.855ms
 1:  PRINTER.router                                        0.826ms
 2:  no reply
 3:  193.200.32.113                                       38.408ms
 4:  telemost-ua.ua-kiev.datagroup.ua                     45.268ms asymm  5
 5:  bagg1-v771-h3c2.kiev.datagroup.ua                    45.697ms
 6:  dtel-ix.ett.com.ua                                   44.196ms asymm  7
 7:  80.93.125.145.ett.ua                                100.530ms asymm  8
 8:  no reply
 9:  no reply
....
20: no reply
^C


Код: [Выделить]

max@ubuntumax:~$ nmap -sV 178.150.215.112

Starting Nmap 5.21 ( http://nmap.org ) at 2012-01-13 14:00 EET
Note: Host seems down. If it is really up, but blocking our ping probes, try -PN
Nmap done: 1 IP address (0 hosts up) scanned in 3.18 seconds
max@ubuntumax:~$ nmap -PN 178.150.215.112

Starting Nmap 5.21 ( http://nmap.org ) at 2012-01-13 14:00 EET

max@ubuntumax:~$ ping 178.150.215.112
PING 178.150.215.112 (178.150.215.112) 56(84) bytes of data.
64 bytes from 178.150.215.112: icmp_req=1 ttl=56 time=44.7 ms
64 bytes from 178.150.215.112: icmp_req=2 ttl=56 time=50.6 ms
64 bytes from 178.150.215.112: icmp_req=3 ttl=56 time=46.0 ms


Пользователь решил продолжить мысль 13 Января 2012, 16:09:25:а в локалке, на ПК стоит Wind7 через putty выдаёт - Network error: connection timed out.

[ttys]

Код: [Выделить]

cat /etc/ssh/sshd_config
cat /etc/hosts.allow

[meinung]

mawa, по  умолчанию  все работает  через WAN в  этом  то и  была  для  меня  проблема...  мне  наоборот  пришлось запечатывать ссх  со стороны WAN   сбейте  конфиг на дефольный  и все   должно работать.  с тем  условием  что  iptables  не блокирует  работу демона

[mawa]

Код: [Выделить]

cat /etc/ssh/sshd_config
cat /etc/hosts.allow

Код: [Выделить]

$ cat /etc/ssh/sshd_config
# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 768

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
PermitRootLogin yes
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile     %h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*

Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes


-----------------------------------------

Код: [Выделить]

$ cat /etc/hosts.allow
# /etc/hosts.allow: list of hosts that are allowed to access the system.
#                   See the manual pages hosts_access(5) and hosts_options(5).
#
# Example:    ALL: LOCAL @some_netgroup
#             ALL: .foobar.edu EXCEPT terminalserver.foobar.edu
#
# If you're going to protect the portmapper use the name "portmap" for the
# daemon name. Remember that you can only use the keyword "ALL" and IP
# addresses (NOT host or domain names) for the portmapper, as well as for
# rpc.mountd (the NFS mount daemon). See portmap(8) and rpc.mountd(8)
# for further information.
#


Пользователь решил продолжить мысль 14 Января 2012, 12:39:40:

mawa, по  умолчанию  все работает  через WAN в  этом  то и  была  для  меня  проблема...  мне  наоборот  пришлось запечатывать ссх  со стороны WAN   сбейте  конфиг на дефольный  и все   должно работать.  с тем  условием  что  iptables  не блокирует  работу демона

Мне главное, чтоб через WAN ssh работал ;-)

[honeybeer]

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

[ttys]

Код: [Выделить]

PasswordAuthentication yes #если поставить "no" то зайти можно будет только по ключу
я бы для начала фаер вообще вырубил а после настройки уже включил.
хост на который пытаешься зайти знает путь к тебе?

Код: [Выделить]

netstat -nr

[meinung]

mawa,
ttys,
ifconfig -a  неплохо было бы увидеть
Пользователь решил продолжить мысль 14 Января 2012, 16:52:49:honeybeer,у меня ссх  на 83 порту

[honeybeer]

honeybeer,у меня ссх  на 83 порту

рад вашим успехам
мой пост был адресован mawa, у него порт не открыт

[mawa]

mawa,
ttys,
ifconfig -a  неплохо было бы увидеть
Пользователь решил продолжить мысль 14 Января 2012, 16:52:49:honeybeer,у меня ссх  на 83 порту

Код: [Выделить]

ifconfig -a
eth1      Link encap:Ethernet  HWaddr 00:17:3f:d0:f0:30 
          inet addr:192.168.56.10  Bcast:192.168.56.0  Mask:255.255.255.0
          inet6 addr: fe80::217:3fff:fed0:f030/64 Scope:Link
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:17574680 errors:0 dropped:0 overruns:0 frame:0
          TX packets:15727370 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:358265821 (358.2 MB)  TX bytes:1602197294 (1.6 GB)
          Interrupt:18 Base address:0x2c00

eth2      Link encap:Ethernet  HWaddr 00:1d:60:b9:56:c4 
          inet addr:178.150.215.112  Bcast:178.150.215.255  Mask:255.255.255.0
          inet6 addr: fe80::21d:60ff:feb9:56c4/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:21462894 errors:0 dropped:4989 overruns:0 frame:0
          TX packets:18833970 errors:0 dropped:0 overruns:0 carrier:2
          collisions:0 txqueuelen:1000
          RX bytes:1184763559 (1.1 GB)  TX bytes:455374382 (455.3 MB)

lo        Link encap:Локальная петля (Loopback) 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:12448 errors:0 dropped:0 overruns:0 frame:0
          TX packets:12448 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:1939398 (1.9 MB)  TX bytes:1939398 (1.9 MB)



[Гарри Кашпировский]

sudo iptables-save (server)

Код: [Выделить]

$ sudo iptables-save


Вот все, что там есть - убирайте.

[meinung]

mawa,

Код: [Выделить]

-A INPUT -d 178.150.215.255/32 -j DROP откуда  у вас столько правил  в системе ?  вы их сами писали ?
напишите 

Код: [Выделить]

sudo iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT доступ   должен появиться.  какая у вас стоит операционка?

[mawa]

mawa,

Код: [Выделить]

-A INPUT -d 178.150.215.255/32 -j DROP откуда  у вас столько правил  в системе ?  вы их сами писали ?
напишите 

Код: [Выделить]

sudo iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT доступ   должен появиться.  какая у вас стоит операционка?

Всё равно не работает
Ubuntu 11.10
Пользователь решил продолжить мысль 14 Января 2012, 22:04:39:

sudo iptables-save (server)

Код: [Выделить]

$ sudo iptables-save


Вот все, что там есть - убирайте.

Если выполнить

Код: [Выделить]

iptables -F то инет сразу же пропадает.

[Гарри Кашпировский]

Если выполнить

Код: [Выделить]

iptables -Fто инет сразу же пропадает.

Логично. А потом добавить правило
iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE
Всё будет доступно.
А вообще это вот сюда http://www.opennet.ru/docs/RUS/iptables/
И не читайте до обеда советских газет старайтесь не использовать сторонние программы для составления правил в цепочках iptables/netfilter, если не понимаете как они работают.