MaxSessions, MaxStartups või seadme registreerimine: millist SSH-piirangut valida

Tunneliteenused, mis lubavad ühte seadet tellija kohta, saavad selle lubaduse MaxSessionsilt harva, ja esimene test tõestab seda tavaliselt. Tellija avab teise ssh-protsessi, esimene seanss jätkab töötamist ja mõlemad tunnelid kannavad liiklust. Iga konfiguratsioonivalik loeb midagi erinevat ja ükski neist ei loe seadmeid. Lubaduse esmalt nimetamine teeb nendevahelise valiku ilmseks.

Mida iga valik tegelikult loeb

MaxSessions piirab ühe autenditud võrguühenduse kantavate avatud seansside arvu. Seanss tähendab siin shelli, exec-taotlust, alamsüsteemi nagu SFTP või sarnast kanalit, mis on multipleksitud ühe SSH-transpordi sees. Teine ssh-kutse avab teise transpordi, autendib uuesti ja saab oma luba. Esimese ühenduse seansside arv on tema jaoks ebaoluline.

MaxStartups piirab samaaegseid ühendusi, mis pole veel autenditud, väljendatuna algusläve, määra ja täislävena. See on olemas selleks, et pooleldi avatud kätlemiste puhang ei saaks deemonil enne autentimist ressursse ammendada. Kui klient autendib, lakkab see ühendus MaxStartupsi vastu lugemast ja muutub kellegi seansiks. See ei olnud kunagi kasutajapõhine kvoot ja selle tõstmine ei luba tellijal rohkem teha.

Seadme registreerimise reegel ei ole üldse sshd valik. See kuulub sellele süsteemile, mis väljastab volitusi ja jälgib, milline seade neid hoiab, mis tähendab, et vaja on registreerimist, inventuuri ja tühistamist, mitte loendurit. Selle nõude sshd konfiguratsiooni segamine on koht, kus enamik neist kavadest takerdub.

Kus MaxSessions lakkab olemast kvoot

Match User plokk muudab, millised konfiguratsiooniväärtused sellele kasutajale kehtivad, seega on see loomulik koht rangema MaxSessionsi seadmiseks teenuskontole. Mida see teha ei saa, on ühenduste lõikes agregeerida, sest valikut hinnatakse transpordi kaupa. Kaks transporti saavad kumbki oma piirangu ja kasutajal on lõpuks kaks korda rohkem, kui plokk lubab.

Edastamine on eraldi üllatus. TCP edastamine ei vaja seansi kanalit, seega MaxSessions 0 võib keelata shellid ja alamsüsteemid, samal ajal lubades siiski -L ja -R tunneleid. Teenus, mis ainult edastab ja peab seansside arvu oma tunneli kvoodiks, ei mõõda üldse midagi. See käitumine on dokumenteeritud OpenSSH serveri konfiguratsiooni viites ja seda tasub lugeda enne valiku nime ümber projekteerimist.

Kuvage kehtiv konfiguratsioon, mitte fail, mille arvate olevat laaditud. Kaasamised ja drop-in kataloogid tähendavad sageli, et kehtiv väärtus pole see, mida te muutsite.

MaxStartups kaitseb deemonit, mitte tellijat

MaxStartupsi kolmeosaline vorm kirjeldab, kui palju autentimata ühendusi võib eksisteerida enne, kui deemon hakkab osa uusi maha jätma. Selle vaikevorm on olemas seetõttu, et autentimata SSH-ühendust on odav avada ja kallis hoida. See on serveri ressursikaitse kontroll ja kehtib kõigile korraga.

Selle tõstmine sisselogimistormi ajal vahetab deemonikaitse vastuvõtu vastu, mis mõnikord on õige vahetus ja alati teadlik. See ei tee midagi tellijale, kes tahab teist tunnelit, sest esimene tunnel on juba autenditud. Kahe segamine viib muudatuseni, mis parandab vale sümptomi ja nõrgendab samal ajal serverit.

Kui sisselogimisi puhangutena tagasi lükatakse, vaadake deemonilogi autentimiseelse teate järele enne, kui puudutate kumbagi valikut. Teade nimetab, milline valvur rakendus, ja valvurid ei ole vahetatavad.

Kasutajapõhine koht vajab jagatud olekut

Tõeline ühe aktiivse transpordi poliitika vajab reserveeringut, mida hoitakse kuskil väljaspool sshd-d. Vastuvõtu samm peab aatomiliselt konto koha hõivama, selle ühenduse sulgemisel vabastama, selle aeguma laskma, kui klient kaob ilma sulgemata, ja otsustama, kas uus katse lükatakse tagasi või asendab vana. See viimane otsus on tooteotsus, mitte tehniline üksikasjad, sest aktiivse tunneli asendamine katkestab kellegi.

Reserveeringut peavad jagama ka kõik serverid, mis konto vastu võtavad. Kaks hosti sõltumatute kohalike loenduritega rakendavad kahte eraldi piirangut ja tellija, kes ühendub uuesti teise lüüsi kaudu, saab teise koha tasuta. Mida iganes olekut hoiab, vajab oma tõrkekäitumist, sest kättesaamatu hoidla ei tohi kõiki tellijaid lukustada.

Ühe seadme lubaduse jaoks väljastage eraldi volitus iga registreeritud seadme kohta ja kontrollige registreerimist ja tühistamist sellel kihil. Kopeeritud privaatvõti autendib endiselt kõikjalt, seega ühe võtme väljastamine kasutaja kohta ei ole tõend selle kohta, kui paljud masinad seda hoiavad.

Kontrollige poliitikat kahe tõelise ühendusega

Kirjutage vastuvõtutestid käskudena enne poliitika kirjutamist. Viis juhtumit on teine transport, mis avatakse esimese aktiivsena olles, mitu kanalit ühes transpordis, klient, mis ainult edastab porte, taasühendamine pärast lingi katkemist ja sama konto saabumine teise lüüsi.

Lugege esmalt kehtivaid piiranguid, seejärel avage ühendused, mille poliitika peaks tagasi lükkama. Selle testi mõlemad pooled on olulised ja kumbki ei asenda teist.

sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]

Käivitage tunnelikäsk kaks korda kahes terminalis ja loendage porti 22 loodud ühendused. Kui mõlemad kannavad liiklust, samal ajal kui teie poliitika väidab ühte aktiivset transporti, on poliitika dokumentatsioon, mitte jõustamine. Parandage see lünk vastuvõtukihis, mitte MaxSessionsi langetades ja lootes, et teine transport seda märkab.