OpenWrt SSH连接卡在SSH2_MSG_KEX_ECDH_REPLY问题的分析与解决

在OpenWrt 24.10.0-rc6和rc7版本中，部分用户报告了一个影响SSH连接的严重问题。当尝试通过SSH连接到远程服务器时，客户端会卡在"expecting SSH2_MSG_KEX_ECDH_REPLY"状态，导致连接失败。这个问题在之前的rc5版本中并未出现。

问题现象

用户在使用新版OpenWrt时发现，标准的SSH连接命令无法正常工作。通过调试发现，连接过程在密钥交换阶段停滞不前，具体表现为等待SSH2_MSG_KEX_ECDH_REPLY消息时出现超时。

根本原因分析

经过技术调查，这个问题与IPv6防火墙规则配置有关。OpenWrt的默认防火墙设置中，缺少了对某些关键ICMPv6消息类型的放行，特别是：

1. fragmentation-needed（分片需求）
2. certification-path-solicitation-message（证书路径请求消息）
3. certification-path-advertisement-message（证书路径通告消息）

这些ICMPv6消息类型对于IPv6网络的正常运作至关重要。当它们被防火墙阻止时，会影响SSH连接过程中的关键网络通信，特别是在使用某些密钥交换算法时。

解决方案

临时解决方案

对于需要立即恢复SSH连接的用户，可以使用以下命令强制指定密钥交换算法：

ssh -l 用户名 服务器地址 -o KexAlgorithms=curve25519-sha256

这个方法通过强制使用curve25519-sha256算法绕过问题，但只是临时解决方案。

永久解决方案

要彻底解决这个问题，需要修改OpenWrt的防火墙规则，添加必要的ICMPv6消息类型放行规则。具体步骤如下：

1. 删除现有的ICMPv6相关规则
2. 重新创建包含完整ICMPv6消息类型的规则

对于输入方向的ICMPv6流量，应添加以下规则：

uci add firewall rule
uci set firewall.@rule[-1].name='Allow-ICMPv6-Input'
uci set firewall.@rule[-1].src='wan'
uci set firewall.@rule[-1].proto='icmp'
uci set firewall.@rule[-1].limit='1000/sec'
uci set firewall.@rule[-1].family='ipv6'
uci set firewall.@rule[-1].target='ACCEPT'
uci add_list firewall.@rule[-1].icmp_type='bad-header'
uci add_list firewall.@rule[-1].icmp_type='certification-path-solicitation-message'
uci add_list firewall.@rule[-1].icmp_type='certification-path-advertisement-message'
uci add_list firewall.@rule[-1].icmp_type='destination-unreachable'
uci add_list firewall.@rule[-1].icmp_type='echo-reply'
uci add_list firewall.@rule[-1].icmp_type='echo-request'
uci add_list firewall.@rule[-1].icmp_type='fragmentation-needed'
uci add_list firewall.@rule[-1].icmp_type='neighbour-advertisement'
uci add_list firewall.@rule[-1].icmp_type='neighbour-solicitation'
uci add_list firewall.@rule[-1].icmp_type='packet-too-big'
uci add_list firewall.@rule[-1].icmp_type='router-advertisement'
uci add_list firewall.@rule[-1].icmp_type='router-solicitation'
uci add_list firewall.@rule[-1].icmp_type='time-exceeded'
uci add_list firewall.@rule[-1].icmp_type='unknown-header-type'

对于转发方向的ICMPv6流量，应添加类似的规则：

uci add firewall rule
uci set firewall.@rule[-1].name='Allow-ICMPv6-Forward'
uci set firewall.@rule[-1].src='wan'
uci set firewall.@rule[-1].dest='*'
uci set firewall.@rule[-1].proto='icmp'
uci set firewall.@rule[-1].limit='1000/sec'
uci set firewall.@rule[-1].family='ipv6'
uci set firewall.@rule[-1].target='ACCEPT'
uci add_list firewall.@rule[-1].icmp_type='bad-header'
uci add_list firewall.@rule[-1].icmp_type='certification-path-solicitation-message'
uci add_list firewall.@rule[-1].icmp_type='certification-path-advertisement-message'
uci add_list firewall.@rule[-1].icmp_type='destination-unreachable'
uci add_list firewall.@rule[-1].icmp_type='echo-reply'
uci add_list firewall.@rule[-1].icmp_type='echo-request'
uci add_list firewall.@rule[-1].icmp_type='fragmentation-needed'
uci add_list firewall.@rule[-1].icmp_type='packet-too-big'
uci add_list firewall.@rule[-1].icmp_type='time-exceeded'
uci add_list firewall.@rule[-1].icmp_type='unknown-header-type'

技术建议

从网络安全和功能完整性的角度考虑，OpenWrt的默认防火墙配置应该包含对关键ICMPv6消息类型的放行。这些消息类型不仅是SSH连接所必需的，也是IPv6网络正常运作的基础。建议在未来的OpenWrt版本中更新默认防火墙规则，以避免类似问题的发生。

对于普通用户而言，理解ICMPv6消息类型的重要性很有必要。虽然出于安全考虑，防火墙通常会限制ICMP流量，但对于IPv6网络，某些ICMPv6消息是维持网络功能所必需的，应该谨慎处理而不是简单地全部阻止。