SSH via linux não funciona atras de Sonicwall, mas com putty funciona (LINUX|WINDOWS)

[Ernander (Nander)]

Como todos aqui trabalham com Shell, muitas vezes precisamos acesasr outros servidores que estão na internet. Mas o que tem isso de mais? Muitos vão perguntar.

O fato é que me deparei com um fato inusitado. Sou ADM de vários Firewalls de GEN5 e GEN6 da Sonicwall e também temos linux espalhados pelo Brasil. O fato é que eu conseguia fazer ssh para todas as localidades normalmente, mas depois que colocamos um SonicWall em nossa rede só conseguia fazer SSH para maquinas atras de SonicWall.

Pesquisando vi que isso ocorre com vários Firewalls que tem Inspeção profunda de pacotes ( DEEP PACKET INSPECTION ) ou simplesmente DPI-SSL.

Estranho é que emulando o putty no Wine funciona e em máquinas RUINDOWS tb funciona Blza (via putty).

Chega de Blá blá blá, ta aí abaixo a solução. Espero ser útil a vocês.

SSH via linux não funciona atras de Sonicwall, mas com putty funciona (LINUX|WINDOWS)

Sintomas:

Com máquinas linux atrás do SonicWall a conexão de SSH não é estabelecida. Testes com telnet retornam conexão.


Curiosidade:

SSH entre linux atras de SonicWall's funcionan perfeitamente, e em conexões via PUTTY funcionam onde o bash ( terminal) não consegue conectar, também funciona no linux se emular um o Putty via Wine.


Motivo:

Não há um motivo aparente, várias pessoas em vários fóruns reportam os mesmo problema atras de firewalls com PAcket Inspection. Mas comprovadamente é um problema com um dos pacotes de "handshake" que reduz o tamanho do pacote de lista de cifras / HostKeyAlgorithms a um tamanho menor que o padão.


Solução:

Adicionar / Modificar as linhas em negrito do arquivo /etc/ssh/ssh_config:

Host *
SendEnv LANG LC_*
HashKnownHosts yes
GSSAPIAuthentication yes
GSSAPIDelegateCredentials no
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc
HostKeyAlgorithms ssh-rsa,ssh-dss
MACs hmac-md5,hmac-sha1,hmac-ripemd160

FONTE: http://superuser.com/questions/568891/ssh-works-in-putty-but-not-terminal
http://www.held.org.il/blog/2011/05/the-myterious-case-of-broken-ssh-client-connection-reset-by-peer/

Att

Ernander Marcus Lataliza Rosendo

Certified SonicWall Security Professional
Certified SonicWall Security Administrator