月份：2017年8月

1. 背景

linode的vps在某些网络下访问比较慢，甚至还有丢包的情况。但是从国内的服务器ping过去，一切正常。之前听说过ssh端口转发及隧道特性，于是考虑在通过正常的国内服务器去登录vps。

2. 传统做法

先登录稳定服务器，然后在上面再通过ssh登录到目标机器。虽然简单直接，但这样的缺点也显而易见，证书管理不方便。

3. SSH隧道方式

这里是基于稳定服务器将vps的端口转发到了本地。

• step1 先登录稳定服务器
  ssh -L 36000:VPS-IP:22 稳定服务器IP
  这里通过稳定服务器，将VPS的22端口转发到了本地的36000端口

• step2 登录本地端口
  ssh -p 36000 localhost
  由于是转发，这里之前在VPS上配置的证书依然可以使用，只是换了一个端口和IP而已。

4. 其他使用场景

本地端口转发还有一个比较实用的场景，就是可以将服务器的内网端口转发到本地。比如，有些开发同学习惯通过本地的IDE连接远程的mysql，这样将数据库的远程访问权限打开有一定安全隐患。体验下另外一种方式：

# 先将远程服务器的192.168.2.110:3307端口映射到本地33070
ssh -L 33070:192.168.2.110:3307 跳板机IP

#登录本地33070端口，注意将host指定为127.0.0.1
mysql -P 33070 -h127.0.0.1 -uusername -p'password'

5. 其他转发方式

除了将远程端口转发到本地(Local Forwarding)，还有两种方式：

• 动态端口转发(Dynamic Forwarding)
  ssh -D [bind_addr]:port user@server
  适合代理方式

• 远程端口转发(Remote Forwarding)
  ssh -R [bind_addr]:port:host:hostport user@server
  相当于将host:hostport映射到了server:port上

小L有一个hostigation 256d KVM小鸡在吃灰，今天没事拿出来折腾，看到后台居然有windows2008的系统可以安装，就手贱点了reinstall，安装不成功，显示初始化什么失败之类的。然后再后台面板看到最新出来的debian9的ROM，就挂载了重新安装，经过一番折腾终于安装成功，但是悲催的发现在本地的ssh下居然root用户无法登录，另外一个受限账户可以登录，未远程通过VNC却都可以登录。然后百度了一圈，网络上的解决方案都是针对debian8及以下的系统解决方案，按照这个方案修改做如下修改：

vi /etc.ssh/sshd_config

把文本中的

#PermitRootLogin no

前的“#”去掉”no”改成“yes”

然而，debian9的配置文件中并没有这段代码！仔细查看后把

#PermitRootLogin prohibit-password

改成

PermitRootLogin yes

并reboot后解决。

ssh登陆Linux服务器的时候，如果出现了Host key verification failed的错误，需要清空下本地ip密码记录。

出现这个错误，我只在mac下遇到过，win系统并没有。

具体方法，直接用命令也行：

cd ~/.ssh

rm known_hosts

就好了，然后退回来继续链接登录。

一、场景描述

ssh连接服务器，发现连接失败，但是对应服务器的ip能够ping通。

场景：

[root@yl-web ~]# ssh [email protected]
ssh_exchange_identification: read: Connection reset by peer
[root@yl-web ~]# ping 10.1.101.35
PING 10.1.101.35 (10.1.101.35) 56(84) bytes of data.
64 bytes from 10.1.101.35: icmp_seq=1 ttl=64 time=0.587 ms
64 bytes from 10.1.101.35: icmp_seq=2 ttl=64 time=0.722 ms
64 bytes from 10.1.101.35: icmp_seq=3 ttl=64 time=0.475 ms

ping是一个网络层的协议，只是表面网络在3层是通的；

ssh是应用层协议，具体还是从主机上找原因。

二、排错

1、ssh -v

用ssh -v去连有问题的服务器，会有比较详细的调试信息在屏幕上输出，可以帮助判断是哪一步出了问题。

主要是看是客户端还是服务器的问题。如果是客户端的问题，应该log中有写。如果是没有什么有用信息，就可能是服务器端出问题了。

[root@yl-web ~]# ssh -v [email protected]
OpenSSH_6.6.1, OpenSSL 1.0.1e-fips 11 Feb 2013
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 56: Applying options for *
debug1: Connecting to 10.1.101.35 [10.1.101.35] port 22.
debug1: Connection established.
debug1: permanently_set_uid: 0/0
debug1: identity file /root/.ssh/id_rsa type -1
debug1: identity file /root/.ssh/id_rsa-cert type -1
debug1: identity file /root/.ssh/id_dsa type -1
debug1: identity file /root/.ssh/id_dsa-cert type -1
debug1: identity file /root/.ssh/id_ecdsa type -1
debug1: identity file /root/.ssh/id_ecdsa-cert type -1
debug1: identity file /root/.ssh/id_ed25519 type -1
debug1: identity file /root/.ssh/id_ed25519-cert type -1
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_6.6.1
ssh_exchange_identification: read: Connection reset by peer

2、连接服务器

现在看起来是服务器出问题了，虽然不能ssh到服务器，但一般来说主机会提供一些方法比去让你连接，比如通过物理终端连进去，具体情况具体对待了，总之就是要连接到服务器上。

3、写一个排错弯路，但也是有用的

如果有debug1: Connection refused by tcp wrapper之类的log可参考这一步。

就是说你的客户端ip可能被服务器给禁掉了，fail2ban或者其他的程序可能把你的客户端ip扔到/etc/hosts.deny中了。

通过vi /etc/hosts.allow查看

加上一行sshd: ALL。

然后重启ssh。

#service sshd restart

如果问题真的出在ip被禁，这样重启之后应该就ok了。

客户端重新ssh试一下：

[root@yl-web ~]# ssh -v [email protected]
OpenSSH_6.6.1, OpenSSL 1.0.1e-fips 11 Feb 2013
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 56: Applying options for *
debug1: Connecting to 10.1.101.35 [10.1.101.35] port 22.
debug1: connect to address 10.1.101.35 port 22: Connection refused
ssh: connect to host 10.1.101.35 port 22: Connection refused

说明我的问题不在这里。

4、两条有用的命令

在服务器上执行下面命令可以显示ssh的所有 log。

centos系统如下：

#service sshd stop
#/usr/sbin/sshd -d

如果是ubuntu可能命令是：

sudo service ssh stop ，sudo /usr/sbin/sshd -d。

问题出现了： /var/empty/sshd must be owned by root and not group or world-writable。

是权限的问题了，查看一下。

我的权限变成777了，而sshd这个目录

正常情况该目录的权限应该是：

[root@yl-web ~]# ll /var/empty/
total 0
drwx--x--x. 2 root root 6 May 13 03:41 sshd

修改权限：

改好权限后重启sshd服务【service sshd restart】。客户端再ssh就ok，大功告成了。

5、命令简介

至此问题已解决，但是/usr/sbin/sshd -d又是什么意思呢？

man sshd看一下这两个参数。

     -D      When this option is specified, sshd will not detach and does not become a daemon.  This allows easy monitoring of sshd.

     -d      Debug mode.  The server sends verbose debug output to standard error, and does not put itself in the background.  The server also will not fork and will only process one connection.  This
             option is only intended for debugging for the server.  Multiple -d options increase the debugging level.  Maximum is 3.

-d是debug模式，服务器会向屏幕输出详细的debug信息，服务器只能有一个ssh链接。

三、题外话

虽然问题解决了，回想一下为什么会出这个问题？因为我昨天在解决一个日志权限的问题时，暴力的将每层目录权限都设置成777，想试探一下是否是目录读写权限的问题，然后再缩小权限，结果影响到了ssh登录。

想想解决一个问题若不能知道原理，很容易放大问题，甚至出现新bug。写代码需谨慎，排错需谨慎，知其然不知其所以然很重要。