Ha az SSH-kapcsolat meghiúsul egy Cisco Catalyst 9200, 9200L, 9300, 9300L vagy 9500 eszközön, akkor a teljes konfiguráció módosítása helyett a pontos hibaüzenettel kezdje. A leggyorsabb hibaelhárítási mód a felügyeleti elérhetőség, az SSH szolgáltatás állapota, az RSA-kulcsok, a VTY-beállítások, a hitelesítés és a hozzáférési korlátozások ellenőrzése ebben a sorrendben.
Ez az útmutató az SSH hibákra összpontosít a konfiguráció, az IOS XE frissítése vagy a felügyeleti hálózat módosítása után. Nem helyettesíti az alapvető Cisco SSH beállítási útmutatót, és a Catalyst 1300 kapcsolókat nem szabad ugyanazzal az IOS XE parancssorozattal diagnosztizálni.
Kezdje a hibaüzenettel
A pontos kliensüzenet segít meghatározni, hol kezdjük. Az SSH folyamat különböző szakaszaiban időtúllépés, elutasított kapcsolat és hitelesítési hiba fordulhat elő.
| Ügyfélüzenet | Mit jelent általában | Első ellenőrzések |
|---|---|---|
| kapcsolódás elutasítva | A gazdagép elérhető, de a 22-es TCP-port nem fogadja a munkamenetet. | SSH állapot, RSA kulcsok, VTY átvitel |
| Kapcsolat időtúllépés | Az ügyfél nem tudja befejezni a felügyeleti felülethez vezető elérési utat. | VLAN, útválasztás, VRF, ACL, tűzfal |
| Nincs útvonal a házigazdához | A kliensnek nincs használható útvonala a célállomáshoz. | Alapértelmezett átjáró, útválasztási tábla, felügyeleti alhálózat |
| Engedély megtagadva | Az SSH szolgáltatás válaszol, de a hitelesítés sikertelen. | Felhasználónév, AAA, jelszó, bejelentkezési mód |
| Gazdagépkulcs- vagy titkosítási hiba | A kliens és a switch nem tudnak megegyezni az SSH paraméterekben. | IOS XE kiadás, SSH verzió, kliensalgoritmusok |
Egy switch válaszolhat a Ping parancsra úgy, hogy továbbra is elutasítja az SSH-t. A ping csak azt erősíti meg, hogy valamilyen IP-forgalom eléri az eszközt; nem bizonyítja, hogy az SSH-kiszolgáló engedélyezve van, vagy hogy a 22-es TCP-port engedélyezett.
Az SSH módosítása előtt erősítse meg a felügyeleti útvonalat
Ha a hiba időtúllépés, akkor a kulcsok újragenerálása helyett a felügyeleti útvonallal kezdje. Ellenőrizze, hogy a felügyeleti SVI vagy a felügyeleti felület megfelelően van-e konfigurálva és működik-e.
- A felügyeleti SVI vagy a felügyeleti interfész a várt IP-címet használja?
- Működik a felület?
- A kliens a megfelelő felügyeleti VLAN-ban van?
- Elérhető az alapértelmezett átjáró vagy útvonal?
- A switch használ egy felügyeleti VRF-et?
- Blokkolja a 22-es TCP-portot egy upstream tűzfal vagy ACL?
- A kliens a megfelelő címre csatlakozik?
Használja a következő parancsokat a konzolról vagy egy másik működő felügyeleti munkamenetből:
A felügyeleti felületnek a várt címmel és működőképes állapottal kell rendelkeznie. Ha az SVI nem működik, az RSA-kulcsok vagy a VTY-vonalak ellenőrzése nem oldja meg a problémát.
Egy másik alhálózatban lévő kliens esetén ellenőrizze a teljes elérési utat mindkét irányban. A tűzfal engedélyezheti az ICMP-t, miközben blokkolja a TCP/22-t, ami sikeres pinget eredményezhet, de SSH időtúllépést.
Ellenőrizze az SSH szolgáltatást és az RSA kulcsokat
Az elérhetőség megerősítése után ellenőrizze magát az SSH szolgáltatást:
Az show ip ssh A parancs megjeleníti az SSH verzióját és paramétereit, például a hitelesítési időkorlátot és az újrapróbálkozások számát. show ssh parancs megjeleníti az aktív SSH szerverkapcsolatokat.
Egy olyan üzenet, amely azt jelzi, hogy jelenleg nincsenek futó SSH-munkamenetek, nem feltétlenül jelenti azt, hogy az SSH le van tiltva. Egyszerűen csak azt jelentheti, hogy az adott pillanatban nincs aktív munkamenet. Használat show ip ssh a szolgáltatás állapotának és verziójának ellenőrzéséhez.
Ha az SSH le van tiltva, ellenőrizze, hogy az eszköz rendelkezik-e használható RSA kulcspárral. A Cisco szerint az IOS XE SSH szerverhez RSA kulcsgenerálás szükséges. A jelenlegi Cisco Secure Shell konfigurációs útmutató az SSH verzióválasztását és az RSA kulcskövetelményeket is elmagyarázza.
Egy alapvető IOS XE referenciakonfiguráció a következőket tartalmazhatja:
Ez egy hibaelhárítási útmutató, nem univerzális másolás-beillesztés konfiguráció. A pontos kulcsméretnek, hitelesítési modellnek és parancsszintaxisnak meg kell egyeznie a kapcsoló modelljével, az IOS XE kiadásával és a biztonsági házirenddel.
VTY és hitelesítési beállítások ellenőrzése
Ha az SSH szolgáltatás engedélyezve van, de a kliens továbbra is fogadja a Connection refused vagy azonnal lecsatlakozik, ellenőrizze a VTY konfigurációját:
Egy helyi hitelesítési példa így nézhet ki:
Ha a VTY vonalak csak Telnet-et engedélyeznek, vagy nem engedélyezik az SSH-t, a switch elutasíthatja az SSH-t, még akkor is, ha a felügyeleti IP-cím elérhető.
Gyakori hitelesítési problémák
- RSA kulcsokat soha nem generáltak.
ip ssh version 2hiányzik vagy nem egyezik az ügyféllel.- A VTY vonalak nem engedélyezik az SSH-t.
login localhiányzik, ha helyi hitelesítés van érvényben.- A konfigurált felhasználónév hiányzik, vagy helytelen jogosultsággal rendelkezik.
- Egy AAA szerver nem érhető el.
- A VTY hozzáférési osztály blokkolja a kliens forráscímét.
Azt is ellenőrizd, hogy a VTY vonalakhoz van-e hozzáférési osztály beállítva:
Egy VTY hozzáférési osztály csak bizonyos forrás-alhálózatokat vagy felügyeleti gazdagépeket engedélyezhet. Ez olyan helyzetet teremthet, amelyben az SSH az egyik hálózatról működik, de egy másikról nem.
Ha a switch központosított AAA-t használ, ellenőrizze a hitelesítési módszert és a TACACS+ vagy RADIUS szerverek elérhetőségét, mielőtt módosítaná a helyi felhasználónév konfigurációját. Az AAA-beállítások cseréje kiesés esetén eltávolíthatja a fennmaradó működő hozzáférési útvonalat.
SSH hibaelhárítása IOS XE frissítés után
Egy IOS XE frissítés nem mindig jelenti azt, hogy az SSH konfiguráció eltávolításra került. A frissítés azonban különbségeket hozhat létre a kulcsokban, algoritmusokban, felügyeleti felületekben, VRF-ekben, AAA viselkedésben vagy örökölt konfigurációban.
Hasonlítsa össze a frissítés előtti és utáni kimeneteket a következők esetében:
Frissítés utáni ellenőrzések
- Győződjön meg arról, hogy a felügyeleti IP-cím továbbra is konfigurálva van a várt interfészen.
- Győződjön meg arról, hogy az RSA host kulcs még létezik.
- Győződjön meg arról, hogy az SSH 2-es verziója engedélyezve van.
- Ellenőrizd, hogy a VTY vonalak továbbra is engedélyezik-e az SSH-t.
- Győződjön meg arról, hogy az AAA metódusok listája és a szerver elérhetősége változatlan.
- Ellenőrizze, hogy a kliens nem támogatott kulcscsere, titkosítás vagy host-key algoritmus miatt utasítja-e el a váltást.
- Győződjön meg arról, hogy a kliens a megfelelő felügyeleti VRF-et használja, amikor egyet konfigurál.
Kerüld el azt a feltételezést, hogy maga a frissítés a kiváltó ok. A változtatások elvégzése előtt hasonlítsd össze a tényleges konfigurációt és a kliens hibáját.
Katalizátor 9200, 9300, 9500 és C1300 oszcilloszkóp
Ez a hibaelhárítási megközelítés IOS XE-t futtató Cisco Catalyst platformokhoz készült, beleértve a C9200-24P-E, C9200-48P-E, C9200L hozzáférési kapcsolókat, a C9300 és C9300L kapcsolókat, a C9500-16X és a C9500-24Y4C kapcsolókat.
A kapcsoló fizikai szerepe nem változtatja meg az alapvető hibaelhárítási sorrendet, de az elérhető felügyeleti felületek, a VRF kialakítása, a szoftververzió és a platformspecifikus parancsok eltérhetnek.
A Catalyst 1300 egy külön eset
Ne alkalmazza közvetlenül az ebben az útmutatóban található IOS XE parancsokat a Cisco Catalyst 1300 eszközre. A Catalyst 1300 eltérő szoftver- és felügyeleti kialakítást használ, webes felhasználói felülettel és platformspecifikus parancssori felülettel.
Ha az eszköz egy C1300, először ellenőrizze a pontos modellt és a szoftverfelületet. Használja a megfelelő Catalyst 1300 adminisztrációs és parancssori felületének dokumentációját ahelyett, hogy feltételezné, hogy a C9200 vagy C9300 parancsai érvényesek.
Konfigurációs felülvizsgálathoz küldendő információk
Ha a probléma helyben nem oldható meg, készítse elő a következő információkat:
- Pontos kapcsolómodell és SKU
- iOS XE verzió
- Hibaüzenet az SSH klienstől
- Forrás IP-cím és cél IP-cím kezelés
- A Ping sikeres-e
- Kimenet innen
show ip ssh - Kimenet innen
show ssh - A VTY konfiguráció kimenete
- Felügyeleti felület vagy SVI állapot
- Hogy a kapcsoló AAA-t vagy felügyeleti VRF-et használ-e
- A probléma frissítés vagy konfigurációmódosítás után jelentkezett-e
Küldd el a modellt, az IOS XE verzióját, a hibaüzenetet és a parancs kimenetét áttekintésre.
Gyakran ismételt kérdések
Ez általában azt jelenti, hogy a cél IP-cím elérhető, de az SSH-kapcsolat nem elfogadott. show ip ssh, RSA kulcsok, VTY átviteli beállítások és hozzáférési korlátozások.
Az időtúllépés általában azt jelzi, hogy az ügyfél nem tudja befejezni a felügyeleti útvonalat. A kapcsolat elutasítva állapot általában azt jelzi, hogy a gazdagépet elérték, de egyetlen SSH szolgáltatás sem fogadta el a TCP-kapcsolatot. Vizsgálja meg a két hibát külön-külön.
futás show ip ssh a konzolról vagy egy másik működő felügyeleti munkamenetből. A kimenetnek azonosítania kell az engedélyezett SSH-verziót és a hitelesítési paramétereket, amikor a szolgáltatás aktív.
Lehetővé teszi az SSH-kapcsolatokat a kiválasztott VTY-vonalakon. Nem helyettesíti az elérhető adminisztrációs IP-cím, az RSA-kulcsok, a hitelesítés vagy a megfelelő VTY-hozzáférési korlátozások szükségességét.
Lehetséges okok lehetnek a megváltozott felügyeleti felület, hiányzó vagy megváltozott RSA kulcsok, VTY konfigurációs eltérések, AAA változások, VRF változások, vagy az új SSH paraméterek és a kliens közötti inkompatibilitás. A switch módosítása előtt hasonlítsa össze a konfigurációt és a kliens hibáját.
Nem közvetlenül. A Catalyst 1300 más platformot és felügyeleti modellt használ. Használja a saját adminisztrációs és parancssori felületének dokumentációját ahelyett, hogy feltételezné, hogy az IOS XE parancsok érvényesek.
Végső elvihető
Az SSH hibaelhárítása gyorsabbá válik, ha a hibaüzenetet diagnosztikai hibaként, és nem általános konfigurációs hibaként kezeljük.
Kezdje az adminisztrációs útvonallal egy időtúllépést keresve. Ellenőrizze az SSH szolgáltatást, az RSA kulcsokat és a VTY vonalakat elutasított kapcsolatok szempontjából. Ellenőrizze a felhasználóneveket, az AAA-t és a hozzáférési korlátozásokat, amikor a switch hitelesítési kérdést jelenít meg, de elutasítja a bejelentkezést.
Konfigurációspecifikus áttekintéshez küldje el a pontos modellt, az IOS XE verzióját, a klienshibát és a vonatkozó parancskimenetet a következőn keresztül: Cisco kapcsoló érdeklődési oldala.