Por que recebo erros quando uso o console SSH baseado em navegador para acessar minha instância do Lightsail?

Breve descrição

Você recebe uma das seguintes mensagens de erro:

• "Your instance encountered an error and has closed the connection. Try again or contact customer support. UPSTREAM_ERROR [515]"
• "An error occurred and we were unable to connect or stay connected to your instance. If this instance has just started up, try again in a minute or two. UPSTREAM_NOT_FOUND [519]"
• "Login failed. If this instance has just started up, try again in a minute or two. CLIENT_UNAUTHORIZED [769]"

Os erros "UPSTREAM_ERROR [515]" e "UPSTREAM_NOT_FOUND [519]" ocorrem quando não é possível se conectar à sua instância do Lightsail por meio do console SSH.

Os seguintes motivos podem causar problemas de conexão:

• A inicialização de uma instância falhou, uma verificação de status falhou ou os recursos de CPU ou memória estão sendo usados em excesso.
• Um firewall no nível do sistema operacional (SO) bloqueia o acesso à porta SSH.
• A porta SSH 22 não é a configuração de porta padrão.
• O serviço SSH está inativo.

Você recebo o erro "CLIENT_UNAUTHORIZED [769]" quando existe um problema de autenticação SSH na sua instância do Lightsail.

Os seguintes motivos podem causar problemas de autenticação:

• Você configurou incorretamente a chave /etc/ssh/lightsail_instance_ca.pub do sistema do Lightsail.
• Você não usou a configuração SSH necessária ao fazer upgrade de versão da sua instância do Ubuntu para 20.04 ou posterior.

Resolução

Verifique a integridade e o status da sua instância

Veja as métricas da sua instância para verificar se há falhas na verificação do status do sistema ou da instância.

Se houver falhas na verificação do status do sistema, interrompa e reinicie a instância para migrá-la para um hardware íntegro.

Aviso: o endereço IP público da instância muda sempre que você a interrompe e executa. Se você não quiser que o endereço mude, atribua um endereço IP estático antes de interromper a instância.

Se a verificação do status da instância falhar, um problema no nível do sistema operacional pode ter causado erros de inicialização. Ou os recursos da instância podem estar sendo usados em excesso. Para obter mais informações, consulte Como solucionar problemas comuns que fazem com que minha instância do Lightsail pare de responder?

Resolva problemas de firewall

Se um firewall no nível do sistema operacional, como iptables ou Uncomplicated Firewall (UFW), bloquear o acesso, realize uma das seguintes ações:

• Se você tiver acesso SSH por meio de um terminal ou PuTTY, remova as regras de negação do firewall e do arquivo /etc/hosts.deny. Em instâncias do cPanel, use o console do Web Host Manager (WHM) para remover as regras de firewall.
• Se você não tiver acesso SSH, crie uma nova instância e adicione um script de execução que desative o firewall e o arquivo /etc/hosts.deny.

Para usar um script de execução para desativar firewalls no nível do sistema operacional, faça o seguinte:

1. Abra o console do Lightsail.

2. Crie um snapshot manual da instância.

3. Crie uma nova instância a partir do snapshot.
   Observação: selecione a mesma Zona de disponibilidade da instância anterior.

4. Clique em Adicionar script de execução e, em seguida, adicione o seguinte script:

   sudo ufw disable
   sudo iptables -F
   sudo mv /etc/hosts.deny /etc/hosts.deny_backup
   sudo touch /etc/hosts.deny
   sudo systemctl enable sshd
   sudo systemctl restart sshd

   Observação: o script de exemplo anterior desativa o firewall UFW, libera todas as cadeias Iptable ou regras de firewall e desativa o arquivo /etc/hosts.deny renomeando-o.

5. Selecione um novo plano de instância ou use o mesmo plano da instância anterior.

6. Insira um nome para a instância e depois clique em Criar instância.

Depois que a nova instância começar a ser executada, aguarde de 10 a 15 minutos e tente se conectar a ela usando o console SSH baseado em navegador.

Observação: se a instância anterior tinha um endereço IP estático, atribua-o na nova instância. Clique na guia Rede no console do Lightsail, separe o endereço IP estático e, em seguida, anexe-o à nova instância.

Resolva problemas de serviço SSH

Se o serviço SSH não estiver em execução ou ativo na instância, a conexão SSH falhará e você receberá o erro "UPSTREAM_NOT_FOUND [519]". Para solucionar o problema, configure o Gerenciador de sessões, um recurso do AWS Systems Manager na sua instância do Lightsail. Em seguida, acesse a instância sem o serviço SSH para resolver o problema.

Conclua as etapas a seguir:

1. Analise um dos seguintes arquivos de log de autenticação SSH para verificar se há mensagens de erro ou tentativas de autenticação malsucedidas:
   Arquivo de log do Ubuntu:
   /var/log/auth.log
   Arquivo de log do Amazon Linux:
   /var/log/secure

2. Se o arquivo mostrar uma mensagem de erro, realize uma das seguintes ações:
   Se for uma mensagem "Invalid user" ou "Failed password", verifique a configuração da sua chave SSH no arquivo /etc/ssh/sshd_config.
   Se for uma mensagem "Connection refused", execute o seguinte comando para confirmar se o serviço SSH está em execução:

   sudo systemctl status sshd

   Se for uma mensagem "Permission denied", execute o seguinte comando para verificar as permissões no seu diretório SSH e nos arquivos-chave:

   sudo chmod 700 ~/.ssh
   sudo chmod 600 ~/.ssh/authorized_keys

3. Se não houver mensagens de erro, execute o seguinte comando para testar e reiniciar a configuração SSH:

   sudo sshd -t
   sudo systemctl restart sshd

Restaure a chave do sistema do Lightsail

Se a chave /etc**/ssh/lightsail_instance_ca.pub** estiver ausente, conclua as seguintes etapas:

1. Se você tiver acesso SSH por meio de um terminal ou PuTTY, execute o seguinte comando para verificar a chave ssh-rsa:

   sudo cat /var/lib/cloud/instance/user-data.txt | grep ^ssh-rsa

2. Realize uma das ações a seguir:
   Se a chave existir, execute o seguinte comando para restaurá-la:

   sudo sh -c "cat /var/lib/cloud/instance/user-data.txt | grep ^ssh-rsa > /etc/ssh/lightsail_instance_ca.pub"
       sudo sh -c "echo >> /etc/ssh/sshd_config"
       sudo sh -c "echo 'TrustedUserCAKeys /etc/ssh/lightsail_instance_ca.pub' >> /etc/ssh/sshd_config"
       sudo systemctl restart sshd

   Se você não obtiver uma chave ssh-rsa ou não for possível usar o SSH para se conectar à instância, crie um snapshot da instância. Quando você executa uma nova instância a partir do snapshot, a chave do sistema do Lightsail é adicionada automaticamente ao servidor.

Configure o SSH para Ubuntu 20.04 ou posterior

Se você fez upgrade da sua versão anterior da instância do Ubuntu para 20.04, deve permitir manualmente que as autoridades de certificação (CAs) usem a chave ssh-rsa para assinar certificados. Se você criou uma instância para executar o Ubuntu versão 20.04 ou posterior, as CAs podem usar o algoritmo ssh-rsa por padrão.

Para permitir as CAs manualmente, siga estas etapas:

1. Conecte-se à instância usando um cliente SSH, como o terminal ou a aplicação PuTTY.

2. Abra o arquivo de configuração SSH /etc/ssh/sshd_config.

3. Adicione parâmetros de CA ao arquivo, dependendo da versão da sua instância do Ubuntu.

   Ubuntu 20.04:
   Execute o comando a seguir para adicionar a linha de parâmetros CASignatureAlgorithms ao arquivo sshd_config:

   sudo vi /etc/ssh/sshd_config
   cat /etc/ssh/sshd_config | egrep "CASignature"
   CASignatureAlgorithms ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

   Ubuntu 22.04:
   Execute o comando a seguir para adicionar as linhas de parâmetros CASignatureAlgorithms e PubkeyAcceptedAlgorithms ao arquivo sshd_config:

   sudo vi /etc/ssh/sshd_config
   cat /etc/ssh/sshd_config | egrep "CASignature|PubkeyAccepted"
   CASignatureAlgorithms ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa
   PubkeyAcceptedAlgorithms +ssh-rsa-cert-v01@openssh.com,ssh-rsa

4. Execute o comando a seguir para validar o conteúdo do arquivo de configuração sshd:

   sudo sshd -T

5. Execute o comando a seguir para reiniciar o serviço sshd:

   sudo systemctl restart sshd  
   

Informações relacionadas

O que é o Amazon Lightsail?

Conecte-se e gerencie sua instância do Lightsail