Bastionhost:Server connection issues

Se o teste de conectividade falhar

Verifique os itens abaixo na ordem apresentada:

1. Porta do servidor fora do padrão. Caso o servidor utilize uma porta não padrão, atualize-a na página Assets. Para mais informações, consulte Modify the service port of a host.

2. Regras do grupo de segurança. Verifique se o grupo de segurança permite tráfego proveniente do IP de saída do Bastionhost, exibido na lista de instâncias no console do Bastionhost. Para saber como adicionar uma regra de grupo de segurança, consulte Manage security group rules.

3. Políticas de segurança no lado do servidor. Confirme se nenhuma política no servidor bloqueia o acesso do Bastionhost. Inspecione:

   • ACLs de rede

   • Grupos de segurança

   • Cloud Firewall

   • Firewalls internos (iptables, Windows Firewall)

4. Controle de acesso baseado em host. Assegure-se de que os arquivos /etc/hosts.allow e /etc/hosts.deny no servidor não bloqueiem a instância do Bastionhost.

5. Políticas do Cloud Firewall. Valide se as políticas do Cloud Firewall não impedem o acesso à instância do Bastionhost. Para mais detalhes, consulte Best practices for access policies in a joint deployment of Cloud Firewall and Bastionhost.

6. Conectividade de rede interna. Quando a instância do Bastionhost não alcançar o servidor pela rede interna, verifique o caminho de rede. Consulte Best practices for hybrid O&M scenarios para orientações adicionais.

7. Conflito de endereços IP. Certifique-se de que o IP do servidor não entra em conflito com o IP de saída do Bastionhost ou com o IP resolvido a partir do endpoint interno. Conflitos impedem que os dados do servidor cheguem ao Bastionhost.

8. IP público em rede privada. Se o servidor utilizar um IP público dentro de uma rede privada, ajuste as configurações de rede conforme descrito em Bastionhost configurations.

9. Tempo limite em grupo de segurança avançado. Caso a conexão com uma instância ECS expire e a configuração de rede pareça correta, verifique se a instância pertence a um grupo de segurança avançado. Esses grupos podem ter políticas que restringem conexões do Bastionhost. Tente alterar a instância para um grupo de segurança básico e teste a conectividade SSH a partir de outra instância no mesmo grupo para determinar se o tipo de grupo de segurança causa o problema.

10. Proxy no cliente ou acesso público desativado. Se uma conexão SSH ao Bastionhost retornar "Connection closed" ou "Operation timed out", verifique se há algum proxy ativado na máquina local e desative-o. Além disso, confirme se o acesso público está habilitado no console do Bastionhost — caso contrário, as conexões podem expirar ou ser interrompidas.

Se o teste de conectividade for bem-sucedido

1. Tente se conectar diretamente ao servidor, ignorando a instância do Bastionhost.

   • Se a conexão direta também falhar, o problema reside no servidor. Solucione a conexão de protocolo do servidor:

     • Methods to troubleshoot failures to remotely connect to a Windows instance

     • Troubleshooting guide for failures to remotely log on to a Linux instance using SSH

2. Caso a conexão direta funcione, mas o acesso via Bastionhost não, analise as mensagens de erro em Common Bastionhost O&M errors.

Problemas de autenticação

O que fazer se ocorrer um erro de verificação de senha para uma nova conta de host?

Sintoma 1: A verificação expira ou falha

Causa

Geralmente, o tempo limite de verificação ocorre devido à inacessibilidade da rede.

Solução

Teste a conectividade entre a instância do Bastionhost e o ativo usando Network diagnostics.

• Se a conectividade estiver anormal, a rede entre a instância do Bastionhost e o host pode estar indisponível. Para mais informações, consulte What do I do if I fail to access a server through Bastionhost?

• Se a conectividade estiver normal, mas a verificação ainda falhar, pode haver atraso na sincronização de rede. Salve a senha da conta no Bastionhost e tente novamente a operação de O&M. Consulte Configure a host account para mais detalhes.

Sintoma 2: A verificação falha devido a senha incorreta

Causa

A senha da conta inserida no Bastionhost não corresponde à senha definida no ativo.

Solução

• Confirme se a senha registrada no Bastionhost é idêntica àquela configurada no ativo. Para mais informações, consulte Configure a host account.

• Se você redefiniu a senha de uma instância ECS online no ECS console e a O&M do Bastionhost ainda reporta falha na verificação de senha ou senha incorreta, execute um teste de conexão direta seguindo as etapas abaixo:

  1. Adicione temporariamente uma regra de entrada ao security group da instância ECS para permitir que seu endereço IP local acesse todas as portas. Utilize essa regra apenas para solução de problemas e exclua-a após concluir a verificação.

  2. Ignore o Bastionhost e use o novo nome de usuário e senha para estabelecer uma conexão remota direta com o servidor. Esse teste confirma se a nova senha entrou em vigor e se a rede está acessível.

  3. Caso o teste de conexão direta ainda resulte em falha de logon remoto, verifique a política de senhas ou o status do sistema dentro do servidor.

  4. Após obter sucesso na conexão direta, atualize a senha da conta do host no Bastionhost console e tente novamente a O&M.

• Ao realizar O&M em um host Linux, verifique se a conta root ou a autenticação por senha estão desabilitadas no arquivo sshd_config.

O que fazer se eu não conseguir acessar um servidor pelo Bastionhost usando autenticação por chave?

Nota

Este problema ocorre apenas em instâncias do Bastionhost executando versões anteriores à V3.2.38.

Sintoma

A autenticação por chave falha ao tentar acessar um servidor pelo Bastionhost.

Causa

Em alguns sistemas operacionais (Rocky 9, Ubuntu 22.04+), o OpenSSH 8.7 e versões posteriores desabilitam o algoritmo ssh-rsa por padrão, o que causa falha na autenticação por chave via Bastionhost.

Solução

Habilite o algoritmo ssh-rsa no arquivo sshd_config do servidor:

1. Abra o sshd_config.

   systemctl restart sshd

2. Adicione as linhas a seguir e salve o arquivo.

   systemctl restart sshd

3. Reinicie o serviço sshd.

   systemctl restart sshd

O que fazer se o Bastionhost informar que um ativo não está protegido pelo Security Center, mas o Security Center mostrar o ativo como protegido?

Esse aviso geralmente resulta de cache ou atraso na sincronização de status. No console do Bastionhost, clique em Refresh na página que exibe o aviso para eliminar a inconsistência entre os dois status de proteção.

O aviso não afeta as operações normais de O&M nem as capacidades de proteção de segurança. Nenhuma configuração adicional é necessária.

Problemas de conta e sessão

Por que os hosts não aparecem na página de O&M?

Sintoma

Nenhum host é exibido na O&M page após o logon no Bastionhost.

Causa A: Permissões ausentes

O usuário do Resource Access Management (RAM) não possui permissões concedidas sobre o host.

Solução: Grant the RAM user permissions on the host.

Causa B: Sessão de usuário incorreta

Você não fez logon com o usuário RAM correto.

Solução: Faça logon no console do Bastionhost com o usuário RAM que possui permissões sobre o host.

Por que uma conta EMPTY é exibida após o logon no Bastionhost?

Sintoma

Após fazer logon no Bastionhost, uma conta rotulada como EMPTY aparece na tela.

Causa

Isso ocorre quando a opção Unauthorized Asset Accounts Are Allowed está habilitada nas Configurações do Sistema e um usuário tem permissão sobre um ativo, mas não sobre suas contas de host.

Solução

Grant the user permissions on a host account.