SSH ServerAliveInterval iwwer eng VPN: wéi eng Säit schéckt d'Probe?

Déi meescht SSH-Keepalive-Rotschléi ophalen bei »füügt ServerAliveInterval 30 derbäi« a loossen déi nëtzlech Deeler aus. D'Schlësselwuert ass en Timer op der Client-Säit, dee just da lassgeet, wann de Kanal roueg war, hie zielt onbeäntwert Proben amplaz vu Sekonnen, an hie lieft an enger Datei, an där den éischte passende Wäert gewënnt. Maacht bei dësen dräi Eegenschaften e Feeler, an eng gesond VPN-Sessioun fält trotzdem, während eng doudeg hänken bleift.

Déi zwou Richtunge gehéieren zu verschiddenen Daemonen

ServerAliveInterval gëtt vun Ärem ssh-Client gelies. ClientAliveInterval gëtt vum sshd op der anerer Säit gelies an probéiert an déi aner Richtung, vum Server zum Client. Et sinn keng Aliasen an si schaffen net zesummen, also d'Setze vum engem huet keng Auswierkung op d'Verhalen vun der anerer Säit. Si ze verwiesselen ass de gewéinleche Grond, firwat eng Korrektur op engem Host schéngt ze funktionéieren an op dem nächsten net.

Béid akzeptéieren Null. Bei Null schéckt de Client iwwerhaapt näischt, an op der Serversäit deaktivéiert en ClientAliveCountMax vun Null d'Trennung, déi soss op onbeäntwert Kontrollen gefollegt wier.

Wat eng Probe beweist, a wat net

Nodeems den agestallte Intervall vergaangen ass, ouni datt Donnéeë vum Server ukommen, schéckt de Client eng kleng Ufro duerch den existéierende verschlësselte Kanal a waart op eng Äntwert. ServerAliveCountMax bestëmmt, wéi vill dovun onbeäntwert bleiwen däerfen, ier d'Sessioun ofgeschnidden gëtt. Mat engem Intervall vun 60 an engem Compteur vun 3 gëtt de Client no ongeféier dräi Minutten Stëllt op, an déi Zuel ass eng Eegenschaft vun Ärer Konfiguratioun, keen Netzwierkstandard. Loosst den Intervall op senger Standardwäert 0 an et gëtt ni eng Probe geschéckt, dofir kann e Standard-Client onbegrenzt op enger doudeger Verbindung sëtzen.

Well den Austausch am SSH-Transport leeft, beweist eng Äntwert, datt den SSH-Prozess vun der anerer Säit nach liest a schreift. Iwwer d'Programm, dat Dir an där Sessioun gestart hutt, seet se näischt: en Datebank-Client, en ëmgeleet Port oder en laang lafend Skript kënnen hänken, während den Transport frou Proben beäntwert.

TCPKeepAlive ass en separate Mechanismus eng Schicht méi déif. De Kernel këmmert sech dorëm, en ass net verschlësselt, an eng Géigesäit, deenen hire SSH-Daemon hänkt, kann en nach ëmmer erfëllen. Dofir ass d'Probe op SSH-Niveau dat sënnvollst Signal, wann Iech d'Sessioun wichteg ass an net de Socket.

D'Reiefolleg entscheet, wéi en Wäert iwwerlieft

OpenSSH applizéiert den éischte Wäert, deen et fir all Parameter kritt, also muss en spezifeschen Host-Block virun all méi breedem Block stoen, deen och passt. Setzt Standardwäerter mat Jokerzeeche ganz ënnen an d'Datei, net uewen, an denkt drun, datt en Match-Block méi wäit ënnen een déjà gesetzte Wäert net kann iwwerschreiwen. D'OpenSSH-Referenz fir d'Clientkonfiguratioun seet d'Regel vum éischte Wäert direkt, an et ass derwäert se eng Kéier ze liesen, ier Dir eng gedeelt Konfiguratioun ëmstrukturéiert.

Kommandozeil-Optiounen gewannen iwwer d'Datei, wat en temporären Experiment bëlleg mécht:

ssh -o ServerAliveInterval=15 -o ServerAliveCountMax=4 office-shell

Fir ze gesinn, wat de Client tatsächlech opgeléist huet, amplaz wat Dir mengt geschriwwen ze hunn, freet en, déi effektiv Konfiguratioun auszeginn. D'Ausgab enthält déi zesummegeluecht Wäerter fir deen Hostnumm an ass de séierste Wee, en verierrte fréiere Block ze fänken:

ssh -G office-shell | grep -i alive

Wat Keepalives iwwer en Tunnel maachen

Periodeschen Trafic verhënnert, datt eng zoustänneg NAT- oder Firewall-Mapping ofleeft, wat en echte Virdeel op enger VPN ass, där hire Gateway inaktiv Floss no e puer Minutten erofschléit. Proben, déi all 60 Sekonnen ukommen, erneieren déi Mapping, ouni Applikatiounsdaten ze droen.

Si kënnen en Wee, deen fort ass, net nei opbauen. Wann d'Tunnel-Interface verschwënnt, schloe Proben fehl wéi alles anescht, an d'Sessioun endet, soubal de Compteur opgebraucht ass. Liewensdetektioun an Weeerëmgewënn si verschidde Problemer, an nëmmen déi éischt ass an ssh_config konfiguréierbar. Wat den Intervall an de Compteur Iech wierklech kafen, ass wéi séier de Client et bemierkt, an dat ass deen Deel, deen en Notzer als Hänken erlieft.

Multiplext Verbindungen bäi enger Fal un. Mat ControlMaster am Spill gehéieren d'Proben zur Haaptverbindung, an eng nei Sessioun iwwer eng existéierend Haapt ierft, wat déi Haapt ausgehandelt huet. Wann den Haapt vum Mux hänkt, probéiert en anert Fënster opzemaachen de Wee net nach eng Kéier.

D'Astellung vun Ufank bis Enn bestätegen

Op dem Server gitt déi effektiv Daemon-Konfiguratioun aus, amplaz d'Datei ze liesen an ze roden, wéi en Include gewonnen huet:

sshd -T | grep -i clientalive

Kuckt duerno eng richteg Sessioun mat ageschaltem Debug-Output. De Client dréckt eng Timeout-Zeil, wann de Compteur opgebraucht ass, an d'Zäitstempel ronderëm weisen, ob d'Stëllt duerchgehend war oder d'Proben iwwerhaapt ni geschéckt goufen. Eng Sessioun, déi ouni Probe-Trafic stierft, huet d'Schlësselwuert meeschtens an engem Block, deen ni gepasst huet.

Zwou Kontrollen ass et derwäert bäizesetzen fir all Host, deen Dir nëmmen iwwer en Tunnel erreecht: bestätegt, datt den opgeléisten Intervall dee ass, deen Dir gemengt hutt, a bestätegt, datt deen Intervall multiplizéiert mam Compteur méi kuerz ass wéi den Idle-Timeout um VPN-Gateway. Wann déi zweet Zuel méi grouss ass, verwërft de Gateway de Floss fir d'éischt stëll, an d'SSH-Probe kritt ni d'Geleeënheet, eppes ze mellten.