Pourquoi ssh se bloque-t-il après "debug1 : loaded 3 keys" ?

C'est un symptôme que j'ai observé à intervalles réguliers, et je parierais qu'il est causé par l'un des sauts entre votre serveur en nuage et le réseau de l'utilisateur qui filtre les messages ICMP sans discernement, ce qui fait échouer la découverte du MTU du chemin ; l'échange de clés est la première partie du protocole SSH où il est probable que de grands segments TCP soient envoyés sur le socket, et le plus susceptible de déclencher le problème.

Il y a deux façons simples d'isoler le problème : essayez d'effectuer des échanges importants via un autre protocole entre les mêmes hôtes (par exemple, téléchargez un fichier via un formulaire web), ou forcez artificiellement le MTU sur l'hôte de l'utilisateur à une valeur suffisamment petite pour s'adapter à tout MTU plausible sur le réseau (~300b). Si le problème apparaît lors d'autres transferts importants et disparaît avec le MTU plus petit, alors vous avez trouvé le coupable.

(La raison pour laquelle cela se produit est que lorsqu'un paquet IP dont le drapeau DF (don't fragment) est activé est transmis et ne passe pas par un saut, le saut répondra par un message ICMP ; et le filtrage de ces messages ICMP est une mauvaise configuration commune aux administrateurs réseau inexpérimentés ou trop paranoïaques - ainsi l'hôte émetteur ne sait jamais que le MTU du chemin est plus petit qu'il ne le pense et les paquets disparaissent simplement dans l'éther).

La mauvaise nouvelle est qu'il ne s'agit pas d'un problème qui peut être résolu au niveau de l'un ou l'autre des points d'extrémité en général, mais au niveau du saut où le filtrage inapproprié a lieu. Vous pouvez contourner le problème en configurant manuellement les MTU, mais il s'agit d'une solution peu pratique et, au mieux, fragile.

Pouvons-nous éliminer le pare-feu de manière plus concluante en désactivant le port ssh dans la liste de contrôle d'accès ec2 et voir à quoi ressemble la sortie de débogage ? Je pense que vous avez raison mais il serait intéressant de voir la différence.

Avez-vous d'autres contrôles d'accès du côté de l'instance ? Liste noire / liste blanche SSH ?

Je sais qu'il s'agit d'un très vieux fil, mais il n'a pas reçu de réponse satisfaisante (IMHO). Je suis arrivé ici en cherchant sur Google, d'autres le feront peut-être aussi.

J'ai résolu ce problème en vérifiant la configuration du réseau. Mon client SSH avait un masque de réseau obsolète, /24 au lieu de /22. J'ai mis à jour la configuration, redémarré le réseau, et tout allait bien.