MaxSessions, MaxStartups eða skráning tækis: hvaða SSH-mörk á að velja

Gönguþjónustur sem lofa einu tæki á hvern áskrifanda fá sjaldan það loforð frá MaxSessions, og fyrsta prófið sannar það venjulega. Áskrifandinn opnar annað ssh-ferli, fyrsta setan heldur áfram að keyra, og bæði göngin flytja umferð. Hver stillingarvalkostur telur eitthvað annað, og enginn þeirra telur tæki. Að nefna loforðið fyrst er það sem gerir valið milli þeirra augljóst.

Hvað hver valkostur telur í raun

MaxSessions takmarkar fjölda opinna seta sem ein auðkennd nettenging flytur. Seta hér þýðir skel, exec-beiðni, undirkerfi eins og SFTP eða svipuð rás sem er margfölduð innan einnar SSH-flutningsleiðar. Önnur ssh-köll opnar aðra flutningsleið, auðkennir sig aftur og fær sína eigin heimild. Setufjöldi fyrstu tengingarinnar skiptir það engu máli.

MaxStartups takmarkar samtímis tengingar sem hafa ekki verið auðkenndar enn, gefnar upp sem upphafsþröskuldur, hlutfall og fullur þröskuldur. Það er til svo að sprengja hálfopnanna handabanda geti ekki tæmt auðlindir púkans fyrir auðkenningu. Þegar biðlari auðkennir sig hættir sú tenging að teljast gegn MaxStartups og verður seta einhvers. Það var aldrei kvóti á hvern notanda, og að hækka það leyfir áskrifandanum ekki að gera meira.

Regla um skráningu tækis er alls ekki sshd-valkostur. Hún tilheyrir hvaða kerfi sem útvegar auðkenni og fylgist með hvaða tæki heldur þeim, sem þýðir að það þarf skráningu, birgðir og afturköllun í stað teljara. Að blanda þeirri kröfu inn í sshd-stillinguna er þar sem flestar þessara hönnunar stöðvast.

Hvar MaxSessions hættir að vera kvóti

Match User-blokk breytir því hvaða stillingargildi eiga við þann notanda, svo það er eðlilegur staður til að setja þrengri MaxSessions fyrir þjónustureikning. Það sem hún getur ekki gert er að safna saman yfir tengingar, því valkosturinn er metinn fyrir hverja flutningsleið. Tvær flutningsleiðir fá hvora sitt mörk, og notandinn endar með tvöfalt af því sem blokkin leyfir.

Áframsending er sérstök óvænta. TCP-áframsending þarf ekki seturás, svo MaxSessions 0 getur bannað skeljar og undirkerfi og leyft -L og -R göng enn. Þjónusta sem aðeins áframsendir og lítur á setufjöldann sem göngukvóta sína mælir ekkert. Þessi hegðun er skjalfest í stillingarviðmiði OpenSSH-þjóns, og það er þess virði að lesa það áður en hannað er í kringum valkostarheiti.

Prentaðu virku stillinguna frekar en skrána sem þú heldur að sé hlaðin. Innifellingar og drop-in möppur þýða oft að gildið sem gildir er ekki gildið sem þú breyttir.

MaxStartups verndar púkann, ekki áskrifandann

Þrískipt form MaxStartups lýsir því hversu margar óauðkenndar tengingar mega vera til áður en púkinn byrjar að sleppa hlutfalli nýrra. Sjálfgefið form þess er til vegna þess að óauðkennd SSH-tenging er ódýr að opna og dýr að halda. Þetta er auðlindaverndarstýring fyrir þjóninn, og hún á við alla á sama tíma.

Að hækka það í innskráningarstormi skiptir vernd púkans fyrir inngöngu, sem stundum er rétti skiptingin og alltaf viljandi. Það gerir ekkert fyrir áskrifandann sem vill annað göng, því fyrsta göngin eru þegar auðkennd. Að rugla þessu tvennu leiðir til breytingar sem lagar ranga einkenni og veikir þjóninn á sama tíma.

Þegar innskráningum er hafnað í bylgjum skaltu skoða skilaboðin fyrir auðkenningu í annál púkans áður en þú snertir hvorugan valkostinn. Skilaboðin nefna hvaða vörður varð virkur, og verðirnir eru ekki skiptanlegir.

Slota á hvern notanda þarf sameiginlega stöðu

Raunveruleg stefna um eina virka flutningsleið þarf bókun sem geymd er einhvers staðar utan sshd. Inngönguskrefið verður að gera kröfu á slotu reikningsins á atómskornan hátt, sleppa henni þegar tengingin lokast, láta hana renna út þegar biðlari hverfur án að loka, og ákveða hvort ný tilraun er hafnað eða kemur í stað þeirrar gömlu. Sú síðasta ákvörðun er vöruákvörðun, ekki tæknilegt smáatriði, því að skipta út virkum göngum aftengir einhvern.

Bókunin verður líka að deilast af hverjum þjóni sem tekur við reikningnum. Tvær vélar með óháðum staðbundnum teljurum framfylgja tveimur aðskildum mörkum, og áskrifandi sem tengist aftur um hina gáttina fær aðra slotu ókeypis. Hvað sem geymir stöðuna þarf eigin bilunarlotframkomu, því óaðgengilegt geymsla má ekki læsa alla áskrifendur úti.

Fyrir loforð um eitt tæki skaltu gefa út sérstakt auðkenni fyrir hvert skráð tæki og stjórna skráningu og afturköllun á því lagi. Afritaður einkalykill auðkennir sig enn hvaðan sem er, svo að gefa út einn lykil á hvern notanda er ekki sönnun um hversu margar vélar halda honum.

Prófaðu stefnuna með tveimur raunverulegum tengingum

Skrifaðu samþykktarprófanirnar sem skipanir áður en þú skrifar stefnuna. Fimm tilfellin eru önnur flutningsleið opnuð á meðan fyrsta er virk, margar rásir innan einnar flutningsleiðar, biðlari sem aðeins áframsendir port, endurtenging eftir að tenging slitnar, og sami reikningur að koma að annarri gátt.

Lestu virk mörkin fyrst og opnaðu svo tengingarnar sem stefnan á að hafna. Báðir helmingar þess prófs skipta máli, og hvorugur kemur í stað hins.

sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]

Keyrðu gönguskipunina tvisvar í tveimur skjáhermum og teldu tengingarnar sem komast á á porti 22. Ef báðar flytja umferð á meðan stefnan þín segir eina virka flutningsleið er stefnan skjöl en ekki framfylgd. Lagaðu það bil í inngangslaginu, ekki með því að lækka MaxSessions og vona að önnur flutningsleiðin taki eftir því.