solaris 10 ssh与tcp_wrappers的问题

xuguopeng

一台SOLARIS 10，版本5.10 Generic_139555-08

安装了TCP_WRAPPERS，现在发现一个问题：
如果/etc/hosts.deny中是ALL:ALLENY，那么ssh的时候就报
$ ssh dls00209@10.18.4.150
ssh_exchange_identification: Connection closed by remote host

如果注释了ALL:ALLENY，就正常可以使用ssh

/etc/hosts.allow中是
sshd:192.168.0.30:allow

要同时使用tcp_wrappers和ssh，到底该怎么办？？？

easybegin

在/etc/hosts.allow中写入sshd启动的绝对路径

比如：
/usr/local/bin/sshd:192.168.0.30:allow


solaris10可能路径是：
/usr/lib/ssh/sshd:192.168.0.30:allow

[ 本帖最后由 easybegin 于 2009-7-29 14:05 编辑 ]

ziggler

花了两个星期。
终于搞定ssh_exchange_identification: Connection closed by remote host

走了许多弯路。
写解决方法
主要是 /etc/hosts.allow 和 ／etc/hosts.deny问题 最好两个都设置一下。
因为有些系统是先load hosts.allow 再 load hosts.allow .有些相反。
hosts.allow:
ALL:ALL:allow sshd sshd1 sshd2:ALL:allow #ssh:0.0.0.0/0.0.0.0 sshd:192.168.1.:allow hosts.deny sshd[2760]:
# you should know that NFS uses portmap!
ALL:ALL EXCEPT 127.0.0.1ENY to ALL:ALL EXCEPT 127.0.0.1 AND 192.168.1.111ENY

完成后。重启sshd :
service sshd restart     /etc/init.d/sshd restart

如果还不行就查一下syslog

位置在 /var/log/syslog
在那可以看到为什么不行。再改一下。再测试一下。反正都要多试几种方法
....
....refused connect from ::ffff:192.168.*.*...
.........

上个星期去 google查的时候发再外国有位仁兄，超搞笑。他出现这个问题后。也搞了很久，但是还不行。然后他就不想理它了，出去玩。回来后就可以连接上了。于是我想我也把网线拔了。等了两天发现还是不行啊。所以说外国的经验还是不能照套的。

我在想，上baidu找一下吧，发现只有提问的。没有回答的。百度知道根本都没有这个问题。只能上google了，还好，找到了一些眉目，于是就尝试锁定hosts。全英对我没有什么问题，外语大学的嘛，找找看。设置一下，
发现sshd_conf是没问题的。
记得重点放要在hosts.allow和hosts.deny那。

并且log日志很重要的。所以我也看了大半天的网上日志资料。(用google查)

文章出处：http://www.diybl.com/course/6_sy ... s/200798/70589.html

xuguopeng

试过楼上说的了，不行，没效果

easybegin

原帖由 xuguopeng 于 2009-7-29 14:12 发表
试过楼上说的了，不行，没效果

估计是/etc/hosts.deny的优先级比/etc/hosts.allow高，所以在hosts.deny中定义了ALL:ALLENY后，即使在hosts.allow中允许也不行了。

直接把/etc/hosts.deny置为空，然后在 /etc/hosts.allow中写入允许登录的就可以了。

[ 本帖最后由 easybegin 于 2009-7-29 14:51 编辑 ]

xuguopeng

彻底郁闷了。。。。
在hosts.deny中写成 sshd:all:deny，hosts.allow中sshd:192.168.30:allow，也无法连接。
把hosts.deny清空，连接成功~~ 兴奋~~~~~
然后把hosts.allow清空，依然可以连接。。。。。。。我日~~~

我搞不清楚到底是hosts.allow优先还是hosts.deny优先了。。。。。。。。。。疯了

easybegin

查了一下，的确是hosts.deny优先

xuguopeng

迷糊了。。。。。

如果在hosts.deny中ALL:ALL EXCEPT 127.0.0.1 AND 192.168.0.30ENY 用ssh就可以连上了，貌似hosts.allow没什么用了。。。。。
但在hosts.allow中如果写
in.telnetd:192.168.0.11:allow
在192.168.0.11可以使用telnet连接，如果再加上sshd:192.168.0.11:allow，可以使用telnet但用ssh不行。。。。

这都什么啊~~~~~~~~~~~~~~~~~~~~~~~

xuguopeng

系统日志里有这样的错误

sshd[14753]: [ID 800047 auth.crit] fatal: matching cipher is not supported: aes256-cbc


这个是啥意思？

ziggler

http://forums.sun.com/thread.jspa?threadID=5393136