MaxSessions, MaxStartups neu gofrestru: pa derfyn SSH i’w ddewis

Anaml y caiff gwasanaethau twnnel sy’n addo un ddyfais i bob tanysgrifiwr yr addewid hwnnw gan MaxSessions, ac mae’r prawf cyntaf yn aml yn profi hynny. Mae’r tanysgrifiwr yn agor ail broses ssh, mae’r sesiwn gyntaf yn parhau i redeg, ac mae’r ddau dwnnel yn cario traffig. Mae pob opsiwn cyfluniad yn cyfrif rhywbeth gwahanol, ac nid oes yr un ohonynt yn cyfrif dyfeisiau. Enwi’r addewid yn gyntaf sy’n gwneud y dewis rhyngddynt yn amlwg.

Beth mae pob opsiwn yn ei gyfrif mewn gwirionedd

Mae MaxSessions yn cyfyngu ar nifer y sesiynau agored a gludir gan un cysylltiad rhwydwaith dilys. Mae sesiwn yma yn golygu shell, cais exec, is-system fel SFTP, neu sianel debyg wedi’i hamlblethu o fewn un cludiant SSH. Mae ail alwad ssh yn agor ail gludiant, yn dilysu eto ac yn cael ei ganiatâd ei hun. Nid yw cyfrif sesiynau’r cysylltiad cyntaf yn berthnasol iddo.

Mae MaxStartups yn cyfyngu ar gysylltiadau cyfredol nad ydynt wedi’u dilysu eto, wedi’u mynegi fel trothwy cychwyn, cyfradd a throthwy llawn. Mae’n bodoli fel na all ffrwydrad o ysgydwadau llaw hanner-agored ddihysbyddu adnoddau’r daemon cyn dilysu. Unwaith y bydd cleient yn dilysu, mae’r cysylltiad hwnnw’n peidio â chyfrif yn erbyn MaxStartups ac yn dod yn sesiwn rhywun. Nid oedd erioed yn gwota fesul defnyddiwr, ac nid yw ei godi’n caniatáu i danysgrifiwr wneud mwy.

Nid yw rheol cofrestru dyfais yn opsiwn sshd o gwbl. Mae’n perthyn i ba bynnag system sy’n cyhoeddi cymwysterau ac yn olrhain pa ddyfais sy’n eu dal, sy’n golygu bod angen cofrestriad, rhestr a dirymu yn lle rhifydd. Mae cymysgu’r gofyniad hwnnw i gyfluniad sshd yn fan lle mae’r rhan fwyaf o’r cynlluniau hyn yn aros.

Ble mae MaxSessions yn peidio â bod yn gwota

Mae bloc Match User yn newid pa werthoedd cyfluniad sy’n berthnasol i’r defnyddiwr hwnnw, felly dyma’r man naturiol i osod MaxSessions mwy caeth ar gyfer cyfrif gwasanaeth. Yr hyn na all ei wneud yw agregu ar draws cysylltiadau, oherwydd mae’r opsiwn yn cael ei werthuso fesul cludiant. Mae dau gludiant yn cael eu terfyn eu hunain, ac mae’r defnyddiwr yn gorffen gyda dwywaith cymaint ag y mae’r bloc yn ei ganiatáu.

Mae anfon ymlaen yn syndod ar wahân. Nid oes angen sianel sesiwn ar anfon TCP ymlaen, felly gall MaxSessions 0 wahardd shellau ac is-systemau tra’n caniatáu twneli -L a -R o hyd. Nid yw gwasanaeth sy’n anfon ymlaen yn unig ac yn trin cyfrif y sesiynau fel ei gwota twnnel yn mesur unrhyw beth o gwbl. Mae’r ymddygiad hwnnw wedi’i ddogfennu yn nghyfeirlyfr cyfluniad gweinydd OpenSSH, ac mae’n werth ei ddarllen cyn cynllunio o amgylch enw opsiwn.

Dympwch y cyfluniad effeithiol yn hytrach na’r ffeil rybych chi’n meddwl sydd wedi’i llwytho. Mae cynwysiadau a chyfeiriadau drop-in yn aml yn golygu nad y gwerth sydd mewn grym yw’r gwerth y gwnaethoch ei olygu.

Mae MaxStartups yn gwarchod y daemon, nid y tanysgrifiwr

Mae’r ffurf dair rhan o MaxStartups yn disgrifio faint o gysylltiadau heb eu dilysu a all fodoli cyn i’r daemon ddechrau gollwng canran o rai newydd. Mae ei ffurf diofyn yn bodoli oherwydd bod cysylltiad SSH heb ei ddilysu yn rhad i’w agor ac yn gostus i’w gadw. Mae’n rheolaeth amddiffyn adnoddau i’r gweinydd, ac mae’n berthnasol i bawb ar unwaith.

Mae ei godi yn ystod storm fewngofnodi yn cyfnewid amddiffyniad y daemon am dderbyniad, sydd weithiau’n gyfnewid cywir ac bob amser yn un bwriadol. Nid yw’n gwneud dim i’r tanysgrifiwr sy’n dymuno ail dwnnel, oherwydd mae’r twnnel cyntaf eisoes wedi’i ddilysu. Mae drysu’r ddau yn arwain at newid sy’n trwsio’r symptom anghywir ac yn gwanhau’r gweinydd ar yr un pryd.

Pan fydd mewngofnodiadau’n cael eu gwrthod mewn ffrwydradau, edrychwch yng nghofnod y daemon am y neges cyn dilysu cyn cyffwrdd ag unrhyw un o’r naill opsiwn neu’r llall. Mae’r neges yn enwi pa warchodwr a daniodd, ac nid yw’r gwarchodwyr yn gyfnewidiol.

Mae angen cyflwr a rennir ar slot fesul defnyddiwr

Mae gwir bolisi un cludiant actif yn gofyn am archeb a gedwir yn rhywle y tu allan i sshd. Rhaid i’r cam derbyn hawlio slot y cyfrif yn atomig, ei ryddhau pan fydd y cysylltiad yn cau, caniatáu iddo ddod i ben pan fydd cleient yn diflannu heb gau, a phenderfynu a yw ymgais newydd yn cael ei gwrthod neu’n disodli’r hen un. Mae’r penderfyniad olaf hwnnw’n benderfyniad cynnyrch, nid yn fanylyn technegol, oherwydd mae disodli twnnel actif yn datgysylltu rhywun.

Rhaid i bob gweinydd sy’n derbyn y cyfrif rannu’r archeb hefyd. Mae dau westai â chyfrifwyr lleol annibynnol yn gorfodi dau derfyn ar wahân, ac mae tanysgrifiwr sy’n ailgysylltu trwy’r llidiart arall yn cael ail slot am ddim. Mae pa bynnag beth sy’n storio’r cyflwr angen ei ymddygiad methiant ei hun, gan na chaiff storfa na ellir ei chyrraedd gloi pob tanysgrifiwr allan.

Ar gyfer addewid un ddyfais, cyhoeddwch gymhwyster ar wahân ar gyfer pob dyfais gofrestredig a rheolwch gofrestriad a dirymu ar y haen honno. Mae allwedd breifat wedi’i chopïo yn dal i ddilysu o unrhyw le, felly nid yw cyhoeddi un allwedd i bob defnyddiwr yn dystiolaeth o faint o beiriannau sy’n ei chadw.

Profwch y polisi gyda dau gysylltiad go iawn

Ysgrifennwch y profion derbyn fel gorchmynion cyn i chi ysgrifennu’r polisi. Y pum achos yw ail gludiant yn cael ei agor tra bo’r cyntaf yn actif, sianeli lluosog o fewn un cludiant, cleient sy’n anfon porthladdoedd ymlaen yn unig, ailgysylltiad ar ôl i gyswllt ddisgyn, a’r un cyfrif yn cyrraedd llidiart arall.

Darllenwch y terfynau effeithiol yn gyntaf, yna agorwch y cysylltiadau y dylai’r polisi eu gwrthod. Mae dwy hanner y prawf hwnnw’n bwysig, ac nid yw’r naill yn cymryd lle’r llall.

sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]

Rhedwch orchymyn y twnnel ddwywaith mewn dau derfynfa a chyfrifwch y cysylltiadau a sefydlwyd ar borth 22. Os yw’r ddau yn cario traffig tra bod eich polisi’n honni un cludiant actif, y polisi yw dogfennaeth yn hytrach na gorfodaeth. Trwsiwch y bwlch hwnnw yn y haen dderbyn, nid trwy ostwng MaxSessions a gobeithio y bydd yr ail gludiant yn sylwi.