Empêcher la connexion SSH perdue après la connexion au VPN sur la machine serveur

J'ai rencontré un problème que je ne peux pas résoudre. Lorsque je suis connecté à un VPS sur SSH et que j'essaie d'établir une connexion VPN sur ce VPS, la connexion SSH entre VPS et ma machine est perdue. Je suppose que c'est parce que le routage a été modifié par les paramètres VPN. Comment éviter ça?

Vous devez ajouter une route-nopulloption (et la supprimer redirect-gatewaysi elle existe) au fichier de configuration de votre client OpenVPN sur votre VPS.

De cette façon, la connexion à un serveur VPN ne modifiera aucun itinéraire sur votre VPS, vous pourrez donc définir vous-même ceux dont vous avez besoin.

Prenons le scénario suivant:

1. votre VPS possède une interface Ethernet unique, configurée avec l'adresse IP 4.3.2.1/24;
2. votre VPS peut accéder à Internet via une passerelle par défaut 4.3.2.254
3. votre VPS n'a pas encore activé de connexion OpenVPN; il n'y a donc pas d' interface tun active

Dans un tel scénario, à partir de votre machine (supposons que votre machine soit 9.8.7.6/24 avec def-gw 9.8.7.254), vous pouvez réussir à établir une connexion SSH vers 4.3.2.1. Par conséquent, les deux hôtes 4.3.2.1 et 9.8.7.6 peuvent réussir à se rejoindre.

Maintenant, avec une telle connexion SSH établie, supposons:

4. vous lancez une connexion OpenVPN depuis votre VPS 4.3.2.1;
5. en tant que telle, une nouvelle interface tun0 sera configurée de façon dynamique (supposons qu'elle se verra attribuer une IP 10.10.10.2, avec un PTP 10.10.10.1).

À ce stade:

• SI aucun itinéraire ne sera poussé du serveur OpenVPN distant vers votre VPS local, alors rien ne changera en termes de routage, et votre connexion SSH survivra sans aucun problème. Dans ce cas, le seul trafic traversant le VPN est celui dirigé vers le serveur OpenVPN distant (10.10.10.1);

• SI le serveur OpenVPN distant repoussera une route, et surtout si la passerelle par défaut VPS sera remplacée par 10.10.10.1 (point de terminaison OpenVPN distant), ALORS vous rencontrez des problèmes. Dans ce cas, vous tunnelisez TOUT le trafic IP sortant (à l'exception d'OpenVPN lui-même) dans le VPN.

Dans ce deuxième cas (en remplaçant def-gw juste après avoir établi la connexion VPN), votre précédente connexion SSH "se bloquera", en raison du routage asymétrique:

• Le trafic de votre machine (9.8.7.6) vers VPS (4.3.2.1) passera par le chemin précédent, jamais modifié;
• Trafic de VPS (4.3.2.1) vers votre machine (9.8.7.6):
  • sans VPN (donc, initialement) a été acheminé via la passerelle 4.3.2.254;
  • après l'établissement de la liaison VPN, avec le remplacement def-gw associé, est acheminé via le VPN (10.10.10.1).

En d'autres termes: dès que la liaison VPN est établie, votre itinéraire de retour de VPS à votre machine va changer et ... ce n'est pas une bonne chose (plusieurs périphériques réseau, le long du chemin de retour, pourraient reconnaître une telle asymétrie chemin et simplement déposer des paquets).

En outre, il est fort probable que votre serveur OpenVPN distant agisse comme une boîte NAT: tout le trafic provenant du VPN sera NATté avec l'adresse IP publique du serveur OpenVPN distant. Si cela est vrai, les choses ne sont plus ... "pas bonnes", mais certainement "mauvaises", comme pour votre connexion SSH: le trafic de retour, en plus de reprendre un itinéraire différent, revient sur votre machine avec une IP source différente (celle de l'interface publique du serveur VPN).

Comment résoudre ce problème?

Assez facilement, en effet.

Demander simplement à votre serveur VPS de ne pas acheminer le trafic vers votre machine via le VPN, mais plutôt de s'appuyer sur l'itinéraire précédent . Cela devrait être aussi simple que d'ajouter, avant de démarrer OpenVPN:

     route add -host 9.8.7.6 gw 4.3.2.254

où:

• 9.8.7.6 est l'adresse IP publique de votre machine
• 4.3.2.254 est la passerelle par défaut d'origine de votre VPS.

PS: en fournissant une question beaucoup plus détaillée, vous auriez obtenu une réponse beaucoup plus rapide :-)

Cela peut aider:

mettre TCPKeepAlive=yesdans votre/etc/ssh/sshd_config

De

man sshd_config | less +/'^ *TCPKeepAlive'

TCPKeepAlive

Spécifie si le système doit envoyer des messages TCP keepalive de l'autre côté. S'ils sont envoyés, la mort de la connexion ou le crash de l'une des machines sera correctement constaté. Cependant, cela signifie que les connexions seront interrompues si l'itinéraire est temporairement interrompu, et certaines personnes le trouvent ennuyeux. D'un autre côté, si les keepalives TCP ne sont pas envoyés, les sessions peuvent se bloquer indéfiniment sur le serveur, laissant des utilisateurs `` fantômes '' et consommant des ressources de serveur.

La valeur par défaut est yes'' (to send TCP keepalive messages), and the server will notice if the network goes down or the client host crashes. This avoids infinitely hanging sessions. To disable TCP keepalive messages, the value should be set tonon ''.

J'ai eu ce problème et j'ai essayé toutes les solutions recommandées, et pourtant, mon problème n'a pas été résolu!

Après de nombreuses tentatives de solutions, j'ai utilisé la screencommande. (mon client VPN est cisco-any-connect).

$ screen -R VPN
$ openconnect -b "your server"

Après avoir fourni vos informations d'identification, appuyez immédiatement sur ctrl + a + d et revenez à votre session.

Personnellement, je préfère que toutes les connexions à SSH soient acheminées via VPN. En cas de connexion ssh active avant l'établissement du VPN, il doit se reconnecter en raison de la modification de l'itinéraire.

Je recommande d'utiliser autossh Sous votre configuration client ssh il suffit d'ajouter.ssh/config

Host *
   ServerAliveInterval 300
   ServerAliveCountMax 2
   BatchMode yes

• BatchMode signifie reconnexion automatique
• ServerAlive signifie Keeping Alive

Une fois après la connexion VPN, ssh se déconnecte car, le trafic ssh du serveur passe par le serveur VPN. Donc, pour éviter cela, exécutez la commande suivante avant de connecter VPN.

route add -host your-machine-public-ip gw Server-gatway-ip dev eth0

your-machine-public-ip: IP de votre machine d'où vous faites SSH. Server-gatway-ip: IP Gatway / routeur de ce serveur

La commande ci-dessus redirigera le trafic via la passerelle donnée et non via le serveur VPN.