# Openssh-server kex\_exchange\_identification: read: Connection reset by peer

**URL:** <https://www.debian-fr.org/t/openssh-server-kex-exchange-identification-read-connection-reset-by-peer/91449>\
**Category:** Support Debian\
**Created:** [Août 18, 2025, 8:14 UTC](https://www.debian-fr.org/t/openssh-server-kex-exchange-identification-read-connection-reset-by-peer/91449 "2025-08-18T08:14:36Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Août 18, 2025, 8:14 UTC](https://www.debian-fr.org/t/openssh-server-kex-exchange-identification-read-connection-reset-by-peer/91449/1 "2025-08-18T08:14:37Z")

</div>

Bonjour,

Depuis le passage avec Trixie, j’ai systématiquement une erreur de connexion sur toutes mes machines à destination de toutes les machines depuis le passage sous Trixie, alors que mes configuration marchaient très bien depuis des années.

Il semble que dans Trixie il y ait eu une modification d’importance.

(et non rien à voir avec hosts.allow ou hosts.deny qui sont vides).  
J’ai configuré mon réseau en exception avec l’option  
`PerSourcePenaltyExemptList <mon-reseau-en-CIDR>`

Dans la connexion l’erreur est:  
`kex_exchange_identification: read: Connection reset by peer`

Dans les logs du serveur:  
`fatal: rexec of /usr/lib/openssh/sshd-session failed: Permission denied`

j’ai trouvé, c’est apparmor qui bloque sshd-session.

Ne reste plus qu’à modifier la configuration de apparmor.

Comme solution:

```auto
cp /usr/share/apparmor/extra-profiles/usr.sbin.sshd /etc/apparmor.d/
aa-complain /usr/sbin/sshd

```

Si on veut garder en mode `enforce`, il faut modifier le profile; peut-être avec quelque chose du genre:

```auto
/usr/lib/openssh/sshd-session PUxr,
/usr/lib/openssh/sshd-session-cleanup PUxr,

```

Mais je ne suis pas certain de la qualité de la règle.

---

<div class="post-metadata">

**Author:** ![vbreton](https://www.debian-fr.org/user_avatar/www.debian-fr.org/vbreton/32/11400_2.png) [@vbreton](https://www.debian-fr.org/u/vbreton)\
**Post date:** [Août 19, 2025, 8:04 UTC](https://www.debian-fr.org/t/openssh-server-kex-exchange-identification-read-connection-reset-by-peer/91449/2 "2025-08-19T08:04:12Z")

</div>

Bonjour @zargos,  
Dès la lecture du premier paragraphe, j’ai pensé à ssh. Ce que semble confirmer les dernières lignes de votre message.  
Par expérience, les différences de versions d’OpenSSH peuvent nécessiter de régénérer les clefs à partir de la version la plus récente.  
J"envisage d’installer prochainement Trixie sur une VM et j’en profiterai pour faire des essais avec OpenSSH.

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Août 19, 2025, 9:29 UTC](https://www.debian-fr.org/t/openssh-server-kex-exchange-identification-read-connection-reset-by-peer/91449/3 "2025-08-19T09:29:48Z")

</div>

Comme c’est une installation nouvelle, les clefs sont regénérées de facto.  
Après avoir cherché sur le net, il apparait quye la novuelle version d’OpenSSH inclu les paramètres de penalité. je n’ai pas pu encore regarder de près ce que cela implique, mais j’ai pu utiliser l’option qui permet d’exempter mon réseau local. Mais pour les accès non locaux ça reste encore un problème.

Pour ssh-session c’était du à apparmor et le problème est réglé.