Chuyển tới nội dung chính

Danh mục: linux

Khắc Phục Lỗi Không Đăng Nhập Được SSH

Tổng Quan​

SSH (Secure Shell) là một giao thức mạng mã hóa được sử dụng để vận hành các dịch vụ mạng một cách an toàn qua một mạng không an toàn. Nó cung cấp một kênh bảo mật để truy cập từ xa vào máy chủ Linux, thực hiện các lệnh, và truyền tải file. Khả năng đăng nhập SSH bị lỗi có thể gây gián đoạn nghiêm trọng đến việc quản lý và vận hành hệ thống.

Bài viết này sẽ cung cấp một hướng dẫn chi tiết từng bước để chẩn đoán và khắc phục các vấn đề phổ biến khiến bạn không thể đăng nhập SSH vào máy chủ Linux.

Metadata:

  • Thời gian thực hiện: 30-60 phút (tùy thuộc vào độ phức tạp của sự cố)
  • Độ khó: Trung bình
  • Yêu cầu: Kiến thức cơ bản về dòng lệnh Linux (CLI), quyền sudo trên máy chủ (nếu cần truy cập console).

Yêu Cầu Hệ Thống​

Để thực hiện hướng dẫn này, bạn cần:

  • Cấu hình tối thiểu:
    • Một máy chủ Linux (Ubuntu, CentOS, Debian, RHEL, v.v.) với dịch vụ SSH (sshd) đã được cài đặt.
    • Một máy tính client có cài đặt SSH client (thường có sẵn trên Linux/macOS, hoặc PuTTY/WSL trên Windows).
    • Quyền truy cập console/VNC/web-based console vào máy chủ (rất quan trọng nếu SSH hoàn toàn không hoạt động).
  • Cấu hình khuyến nghị:
    • Truy cập console/VNC/web-based console để có thể thực hiện các lệnh trực tiếp trên máy chủ.
    • Công cụ ssh-keygen để tạo và quản lý khóa SSH.
    • Công cụ scp hoặc sftp để truyền file (nếu cần khôi phục cấu hình).

Các Bước Thực Hiện Chi Tiết​

Hãy cùng đi qua các bước chẩn đoán và khắc phục lỗi SSH một cách có hệ thống.

Bước 1: Kiểm Tra Kết Nối Mạng và Trạng Thái Máy Chủ 🌐​

Trước tiên, hãy đảm bảo rằng máy chủ của bạn đang hoạt động và có thể truy cập được qua mạng.

  1. Kiểm tra trạng thái máy chủ: Đảm bảo máy chủ của bạn đang chạy. Nếu là máy ảo, hãy kiểm tra bảng điều khiển của nhà cung cấp dịch vụ.

  2. Kiểm tra kết nối mạng từ client: Sử dụng lệnh ping để kiểm tra xem máy client có thể tiếp cận địa chỉ IP hoặc hostname của máy chủ hay không.

    ping your_server_ip_or_hostname
    • Nếu ping không thành công, có thể có vấn đề về mạng (cáp, router, cấu hình IP) hoặc máy chủ đang tắt.
    • Nếu ping thành công nhưng vẫn không SSH được, hãy tiếp tục.

  3. Kiểm tra cổng SSH đang mở: Mặc định, SSH sử dụng cổng 22. Bạn có thể kiểm tra xem cổng này có đang mở trên máy chủ từ phía client hay không bằng nc (netcat) hoặc telnet.

    # Sử dụng netcat
    nc -vz your_server_ip_or_hostname 22

    # Hoặc sử dụng telnet (nếu nc không có sẵn)
    telnet your_server_ip_or_hostname 22
    • Nếu bạn nhận được thông báo "Connection refused" hoặc "No route to host", có thể dịch vụ SSH không chạy, tường lửa chặn, hoặc cổng SSH đã bị đổi.
    • Nếu bạn thấy "Connection successful" hoặc "Connected to...", thì cổng đang mở và bạn cần kiểm tra các bước tiếp theo.

Bước 2: Kiểm Tra Dịch Vụ SSH (sshd) Trên Máy Chủ ⚙️​

Nếu bạn có thể truy cập máy chủ qua console (trực tiếp hoặc qua VNC/web console), đây là bước quan trọng nhất.

  1. Kiểm tra trạng thái dịch vụ sshd: Sử dụng systemctl (trên các hệ thống sử dụng systemd như Ubuntu 16.04+, CentOS 7+, Debian 8+) hoặc service để kiểm tra trạng thái dịch vụ SSH.

    # Trên hệ thống sử dụng systemd
    sudo systemctl status sshd

    # Trên các hệ thống cũ hơn hoặc thay thế
    sudo service ssh status
    • Nếu trạng thái là inactive (dead) hoặc failed, dịch vụ SSH không chạy.
    • Nếu trạng thái là active (running), dịch vụ đang chạy nhưng có thể có vấn đề cấu hình.

  2. Khởi động lại dịch vụ sshd: Nếu dịch vụ không chạy hoặc bạn muốn áp dụng các thay đổi cấu hình, hãy khởi động lại nó.

    # Khởi động lại dịch vụ SSH
    sudo systemctl restart sshd

    # Hoặc nếu bạn muốn bật và khởi động
    sudo systemctl enable sshd
    sudo systemctl start sshd

  3. Kiểm tra logs của SSH: Logs là nơi tốt nhất để tìm hiểu lý do tại sao SSH không hoạt động.

    # Trên Ubuntu/Debian
    tail -f /var/log/auth.log
    journalctl -u sshd --since "10 minutes ago" # Xem logs 10 phút gần nhất

    # Trên CentOS/RHEL
    tail -f /var/log/secure
    journalctl -u sshd --since "10 minutes ago"

    💡 Mẹo: Cố gắng đăng nhập SSH từ client trong khi đang theo dõi logs trên server. Bạn sẽ thấy các thông báo lỗi cụ thể (ví dụ: "Authentication failed", "Permission denied", "No more authentication methods available").

Bước 3: Kiểm Tra Cấu Hình Tường Lửa (Firewall) 🔒​

Tường lửa là một nguyên nhân phổ biến khiến SSH không thể kết nối, ngay cả khi dịch vụ sshd đang chạy.

  1. Kiểm tra ufw (Uncomplicated Firewall) trên Ubuntu/Debian:

    sudo ufw status verbose
    • Nếu ufw đang active và không có quy tắc cho phép SSH (cổng 22 hoặc cổng tùy chỉnh của bạn), hãy thêm nó.
    sudo ufw allow OpenSSH         # Cho phép SSH trên cổng mặc định 22
    # Hoặc nếu bạn dùng cổng tùy chỉnh (ví dụ: 2222)
    sudo ufw allow 2222/tcp
    sudo ufw reload                # Tải lại tường lửa để áp dụng thay đổi

    ⚠️ Cảnh báo: Nếu bạn không có quyền truy cập console, hãy đảm bảo quy tắc tường lửa mới không khóa bạn hoàn toàn khỏi máy chủ.

  2. Kiểm tra firewalld trên CentOS/RHEL:

    sudo firewall-cmd --list-all
    • Kiểm tra xem ssh có trong danh sách services hoặc cổng SSH có được liệt kê trong ports của zone đang hoạt động hay không.
    # Cho phép dịch vụ SSH (cổng 22 mặc định)
    sudo firewall-cmd --permanent --add-service=ssh
    # Hoặc nếu bạn dùng cổng tùy chỉnh (ví dụ: 2222)
    sudo firewall-cmd --permanent --add-port=2222/tcp
    sudo firewall-cmd --reload    # Tải lại tường lửa để áp dụng thay đổi

  3. Kiểm tra iptables (nếu không dùng ufw hoặc firewalld):

    sudo iptables -L -n -v
    • Tìm các quy tắc REJECT hoặc DROP cho cổng 22 (hoặc cổng SSH của bạn). Nếu có, bạn cần chỉnh sửa hoặc xóa chúng. Việc quản lý iptables trực tiếp phức tạp hơn và thường được thực hiện thông qua các script hoặc công cụ quản lý tường lửa cấp cao hơn.

Bước 4: Kiểm Tra Cấu Hình SSH Server (sshd_config) ⚙️​

File /etc/ssh/sshd_config chứa tất cả các cài đặt cho dịch vụ SSH server. Cấu hình sai ở đây là một nguyên nhân rất phổ biến gây lỗi đăng nhập.

  1. Mở file cấu hình:

    sudo nano /etc/ssh/sshd_config
    # Hoặc sử dụng trình soạn thảo văn bản yêu thích của bạn (vi, vim)

  2. Kiểm tra các cài đặt quan trọng:

    • Port: Đảm bảo rằng đây là cổng bạn đang cố gắng kết nối đến. Nếu nó khác 22, bạn phải chỉ định cổng đó khi kết nối từ client (ssh -p YOUR_PORT user@host). 
      Port 22
    • PermitRootLogin: Nếu bạn đang cố gắng đăng nhập với user root, cài đặt này phải là yes hoặc prohibit-password (nếu chỉ dùng key). Để bảo mật, khuyến nghị đặt là no hoặc prohibit-password. 
      PermitRootLogin no
    • PasswordAuthentication: Nếu bạn đang cố gắng đăng nhập bằng mật khẩu, cài đặt này phải là yes. 
      PasswordAuthentication yes
    • PubkeyAuthentication: Nếu bạn đang sử dụng khóa SSH (SSH keys), cài đặt này phải là yes. 
      PubkeyAuthentication yes
    • AllowUsers, AllowGroups, DenyUsers, DenyGroups: Kiểm tra xem tài khoản của bạn có bị chặn bởi các quy tắc này hay không. Ví dụ: AllowUsers your_username.
    • UsePAM: Thường nên là yes để cho phép các mô-đun xác thực cắm được (PAM) hoạt động, bao gồm xác thực mật khẩu. 
      UsePAM yes
    • ChallengeResponseAuthentication: Thường là no. Nếu bạn đang gặp vấn đề với xác thực mật khẩu, hãy kiểm tra nó.

  3. Lưu và Khởi động lại sshd: Sau khi thực hiện bất kỳ thay đổi nào trong sshd_config, bạn phải lưu file và khởi động lại dịch vụ SSH để các thay đổi có hiệu lực.

    sudo systemctl restart sshd

    ⚠️ Cảnh báo: Luôn kiểm tra kỹ các thay đổi trong sshd_config trước khi lưu và khởi động lại. Một cấu hình sai có thể khóa bạn khỏi máy chủ. Bạn có thể dùng sudo sshd -t để kiểm tra cú pháp của file cấu hình trước khi khởi động lại.

Bước 5: Kiểm Tra Quyền Hạn (Permissions) và Khóa SSH 🔑​

Các vấn đề về quyền hạn file hoặc khóa SSH không đúng là nguyên nhân phổ biến của lỗi "Permission denied".

  1. Nếu sử dụng khóa SSH (Public Key Authentication):

    • Trên máy client:

      • Đảm bảo khóa riêng tư của bạn (~/.ssh/id_rsa hoặc tương tự) có quyền 600 (chỉ chủ sở hữu đọc/ghi). 
        chmod 600 ~/.ssh/id_rsa
      • Đảm bảo thư mục ~/.ssh có quyền 700. 
        chmod 700 ~/.ssh
      • Sử dụng ssh -v user@host để xem quá trình debug chi tiết. Điều này sẽ hiển thị các nỗ lực xác thực và bất kỳ lỗi nào liên quan đến khóa SSH.

    • Trên máy chủ (đăng nhập qua console):

      • Kiểm tra thư mục .ssh của người dùng: Nó phải có quyền 700 (chỉ chủ sở hữu có quyền đọc, ghi, thực thi). 
        sudo chmod 700 /home/your_username/.ssh
      • Kiểm tra file authorized_keys: Nó phải có quyền 600 (chỉ chủ sở hữu có quyền đọc, ghi). 
        sudo chmod 600 /home/your_username/.ssh/authorized_keys
      • Kiểm tra quyền sở hữu: Thư mục .ssh và file authorized_keys phải thuộc sở hữu của người dùng mà bạn đang cố gắng đăng nhập. 
        sudo chown your_username:your_username /home/your_username/.ssh
        sudo chown your_username:your_username /home/your_username/.ssh/authorized_keys
      • Kiểm tra nội dung file authorized_keys: Đảm bảo khóa công khai (public key) của bạn được dán chính xác trên một dòng duy nhất.

  2. Nếu sử dụng mật khẩu (Password Authentication):

    • Kiểm tra mật khẩu: Đảm bảo bạn đang nhập đúng mật khẩu. Thử đăng nhập trực tiếp qua console để xác nhận mật khẩu hợp lệ.
    • Kiểm tra tài khoản người dùng:
      • Tài khoản có bị khóa không? (sudo passwd -S your_username)
      • Tài khoản có hết hạn không?
      • Tài khoản có bị vô hiệu hóa trong /etc/passwd hoặc /etc/shadow không?
    • Kiểm tra PAM (Pluggable Authentication Modules): Đôi khi các mô-đun PAM bị cấu hình sai (trong /etc/pam.d/sshd) có thể gây ra lỗi xác thực mật khẩu. Kiểm tra các log để biết thêm chi tiết.

Bước 6: Kiểm Tra Dung Lượng Đĩa và Tài Nguyên 📊​

Đôi khi, việc hết dung lượng đĩa hoặc tài nguyên hệ thống quá tải có thể gây ra các lỗi không mong muốn, bao gồm cả việc không thể đăng nhập SSH.

  1. Kiểm tra dung lượng đĩa:

    df -h
    • Kiểm tra xem có phân vùng nào đạt 100% dung lượng sử dụng hay không, đặc biệt là phân vùng /var (nơi chứa logs) hoặc /home.

  2. Kiểm tra tài nguyên RAM và CPU:

    free -h         # Kiểm tra RAM
    top             # Hoặc htop để kiểm tra CPU và các tiến trình đang chạy
    • Nếu máy chủ đang chạy quá nhiều tiến trình hoặc hết RAM, dịch vụ SSH có thể không phản hồi hoặc bị chậm.

Bước 7: Kiểm Tra SELinux (trên CentOS/RHEL) 🔒​

Trên các hệ thống dựa trên RHEL (CentOS, Fedora, Rocky Linux, AlmaLinux), SELinux có thể chặn SSH ngay cả khi tường lửa đã mở và cấu hình sshd_config là đúng.

  1. Kiểm tra trạng thái SELinux:

    sestatus
    • Nếu SELinux đang ở chế độ enforcing, nó có thể là nguyên nhân.

  2. Tạm thời vô hiệu hóa SELinux (chỉ để kiểm tra):

    sudo setenforce 0
    • Thử đăng nhập SSH lại. Nếu thành công, SELinux là thủ phạm.
    • Quan trọng: Sau khi kiểm tra, hãy bật lại SELinux bằng sudo setenforce 1 và tìm cách cấu hình nó đúng cách thay vì tắt hoàn toàn.

  3. Khôi phục ngữ cảnh SELinux cho file SSH:

    sudo restorecon -Rv /home/your_username/.ssh
    • Lệnh này đảm bảo các file trong thư mục .ssh có ngữ cảnh SELinux chính xác.

  4. Kiểm tra logs của SELinux:

    sudo ausearch -c sshd | audit2allow -M mypol
    sudo semodule -i mypol.pp
    • Lệnh này sẽ tạo một policy tùy chỉnh để cho phép các hoạt động bị SELinux chặn liên quan đến SSH.

Troubleshooting hoặc Các Vấn Đề Thường Gặp​

  • "Permission denied (publickey, password).":

    • Kiểm tra lại quyền hạn của .ssh và authorized_keys trên server (Bước 5).
    • Kiểm tra sshd_config cho PasswordAuthentication hoặc PubkeyAuthentication (Bước 4).
    • Kiểm tra AllowUsers/DenyUsers trong sshd_config.
    • Nếu dùng mật khẩu, đảm bảo mật khẩu đúng và tài khoản không bị khóa.

  • "Connection refused.":

    • Dịch vụ sshd không chạy (Bước 2).
    • Tường lửa chặn kết nối (Bước 3).
    • Cổng SSH bị đổi nhưng client không chỉ định đúng cổng.

  • "No supported authentication methods available.":

    • Cấu hình sshd_config không cho phép phương thức xác thực mà bạn đang cố gắng sử dụng (ví dụ: PasswordAuthentication no nhưng bạn cố gắng dùng mật khẩu).
    • Khóa SSH trên client không khớp với bất kỳ khóa nào trong authorized_keys trên server.

  • SSH Client treo (hanging) hoặc chậm:

    • Vấn đề kết nối mạng không ổn định.
    • DNS lookup bị chậm hoặc lỗi (thử kết nối bằng IP thay vì hostname, hoặc tắt UseDNS no trong sshd_config).
    • Hệ thống server quá tải tài nguyên (CPU, RAM, I/O) (Bước 6).

  • Sử dụng ssh -v để debug client-side: Đây là công cụ mạnh mẽ nhất để chẩn đoán từ phía client. Lệnh này sẽ in ra chi tiết quá trình bắt tay (handshake) và xác thực.

    ssh -v your_username@your_server_ip_or_hostname
    • Bạn sẽ thấy các thông báo như "Authentications that can continue:", "Offering public key:", "debug1: send_pubkey_test: no mutual signature algorithm", v.v. Các thông báo này rất hữu ích để xác định chính xác điểm lỗi.

  • Kiểm tra logs trên server: Luôn luôn kiểm tra /var/log/auth.log (Debian/Ubuntu) hoặc /var/log/secure (CentOS/RHEL) trên server trong khi cố gắng đăng nhập. Các thông báo lỗi ở đó thường rất rõ ràng.

Kết Luận​

Việc khắc phục lỗi SSH không đăng nhập được có thể là một quá trình phức tạp, đòi hỏi sự kiên nhẫn và phương pháp tiếp cận có hệ thống. Bằng cách làm theo các bước từ kiểm tra kết nối mạng, trạng thái dịch vụ, cấu hình tường lửa, file sshd_config, quyền hạn file, đến kiểm tra tài nguyên hệ thống và SELinux, bạn có thể xác định và giải quyết hầu hết các nguyên nhân gốc rễ của vấn đề.

Best Practices​

Để giảm thiểu khả năng gặp lỗi SSH trong tương lai và tăng cường bảo mật:

  • Sử dụng khóa SSH (SSH Keys): Luôn ưu tiên xác thực bằng khóa SSH thay vì mật khẩu. Khóa SSH an toàn hơn và tiện lợi hơn.
  • Đổi cổng SSH mặc định: Thay vì sử dụng cổng 22, hãy cấu hình SSH trên một cổng khác (Port YOUR_CUSTOM_PORT trong sshd_config) để giảm thiểu các cuộc tấn công quét cổng tự động.
  • Tắt PermitRootLogin: Không cho phép đăng nhập trực tiếp bằng tài khoản root. Thay vào đó, đăng nhập bằng một tài khoản người dùng thông thường và sử dụng sudo khi cần quyền quản trị.
  • Giới hạn người dùng/nhóm: Sử dụng AllowUsers hoặc AllowGroups trong sshd_config để chỉ cho phép các tài khoản được phép truy cập SSH.
  • Cập nhật hệ thống thường xuyên: Đảm bảo hệ điều hành và các gói phần mềm (bao gồm openssh-server) luôn được cập nhật để vá các lỗ hổng bảo mật.
  • Sử dụng Fail2Ban: Cài đặt và cấu hình Fail2Ban để tự động chặn các địa chỉ IP có hành vi đăng nhập thất bại liên tục.

Tài Liệu Tham Khảo​

  • man sshd_config: Tài liệu hướng dẫn chi tiết về file cấu hình SSH server.
  • man ssh: Tài liệu hướng dẫn về SSH client.
  • Tài liệu chính thức của bản phân phối Linux bạn đang sử dụng (ví dụ: Ubuntu Docs, Red Hat Documentation).