Login SSH via IPv6 com sucesso ao usar IPv4 para o mesmo host gera "Permissão negada"

Question 1

Depois que as coisas ficaram cada vez mais estranhas (veja o tópico de comentários na minha pergunta), finalmente descobri. Comecemos pelo princípio: o processo de autenticaçãofezfalha em pam_access.so, porém não devido a alguma configuração incorreta, /etc/security/access.confconforme sugerido.

Para entender o porquê, devemos observar a configuração desta caixa em particular: ela atua como um roteador para IPv4 que passa nativamente pelo link PPP e IPv6 que passa por um túnel 6 em 4. Além disso, esta caixa atua como um resolvedor recursivo de DNS, e aqui está ficando interessante. Eu configurei o resolvedor de forma que as pesquisas reversas IPv4 sejam resolvidas recursivamente começando com os servidores raiz IPv4 e as pesquisas reversas IPv6 comecem com os servidores raiz IPv6. Esta configuração funcionou quando a instalei pela primeira vez.

Agora meu ISP entra em cena e as pessoas que não entendem como funcionam os ataques de amplificação de DNS. Para resumir uma longa história: tenho certeza de que meu ISP mexe aleatoriamente com pacotes DNS recebidos, ou seja, algumas coisas devem ser resolvidas por meio de seus próprios resolvedores já há algum tempo, enquanto resolve outros endereços DNS recursivamente em seus próprios trabalhos – o oficial o motivo é mitigar ataques de amplificação de DNS, mas eles estão fazendo isso errado então^1.

Como eu não queria mudar muito minha configuração, apenas joguei os resolvedores DNS do meu ISP no final do meu resolvedor DNS local como encaminhamento não recursivo, portanto, se a tentativa de resolução recursiva expirar, ele tentará os resolvedores do meu ISP. Isso funciona até agora. Mas quando configurei isso cometi um pequeno erro: entrei nos resolvedores DNS do ISP para trabalhar apenas em hosts dentro do meu escopo local, ou seja, 192.168.0.0/16, mas esqueci do localhost, também conhecido como meu roteador, que é o host que tentei SSH em, para o qual o resolvedornãoleve em consideração os resolvedores do ISP.

pam_access.so tenta uma pesquisa reversa no endereço dos pares; e isso fecha o círculo: como para a pesquisa reversa IPv6, os servidores raiz DNS IPv6 seriam acessados, os pacotes passariam pelo túnel 6 em 4 sem que meu ISP mexesse com eles, obtendo uma resposta. Mas a pesquisa reversa do IPv4 não seria feita por mim mesmo nos resolvedores do ISP, o que não receberia resposta e, em última análise, reportaria um NXHOST (ou seria executado em um tempo limite). De qualquer forma, pam_access.so não verá algo que goste e apenas dirá "você não deve passar".

Depois de consertar a configuração do resolvedor, tudo agora funciona perfeitamente novamente.Mas eu realmente tenho que pisar no pé do meu ISP agora…

Como eu resolvi isso? Bem, aumentando a verbosidade do registro, estudando intensamente /var/log/everythingpara ver em que ordem as coisas se desenrolavam. Quando vi meu resolvedor registrando as tentativas de pesquisa reversa, eu sabia o que estava acontecendo.

1: do ponto de vista da mitigação da amplificação de DNS, isso é um absurdo completo, porque eu testei e os pacotes DNS de saída passaram perfeitamente – no entanto, esses são os pacotes que eles devem filtrar. Na verdade, todo ISP do cliente final deve descartar todos os pacotes UDP cujo endereço de remetente não corresponda ao de seus clientes

Answer