MaxSessions, MaxStartups или регистрација на уред: кое SSH ограничување да се избере

Тунелските услуги што ветуваат еден уред на претплатник ретко го добиваат тоа ветување од MaxSessions, и првиот тест обично го докажува тоа. Претплатникот отвора втор ssh процес, првата сесија продолжува да работи, и двата тунели пренесуваат сообраќај. Секоја опција за конфигурација брои нешто различно, и ниту една од нив не брои уреди. Именувањето на ветувањето прво е она што го прави изборот меѓу нив очигледен.

Што всушност брои секоја опција

MaxSessions го ограничува бројот на отворени сесии што ги пренесува една автентицирана мрежна врска. Сесија овде значи школка, exec барање, потсистем како SFTP или сличен канал мултиплексиран во еден SSH транспорт. Второто повикување на ssh отвора втор транспорт, се автентицира повторно и добива свое дозвола. Бројот на сесии на првата врска е неважен за него.

MaxStartups ги ограничува истовремените врски што уште не се автентицирани, изразени како почетен праг, стапка и целосен праг. Постои за да не може избувнување на полуотворени ракувања да ги исцрпи ресурсите на демонот пред автентикација. Откако клиентот ќе се автентицира, таа врска престанува да се брои против MaxStartups и станува нечија сесија. Тоа никогаш не било квота по корисник, и неговото зголемување не му дозволува на претплатникот да прави повеќе.

Правилото за регистрација на уред воопшто не е опција на sshd. Тоа им припаѓа на кој било систем што издава акредитиви и следи кој уред ги чува, што значи дека му требаат регистрација, попис и отповикување наместо бројач. Мешањето на тоа барање во конфигурацијата на sshd е местото каде што повеќето од овие дизајни заглавуваат.

Каде MaxSessions престанува да биде квота

Блокот Match User менува кои конфигурациски вредности се применуваат на тој корисник, па затоа е природното место за поставување построг MaxSessions за услужна сметка. Она што не може да го направи е да агрегира низ врски, бидејќи опцијата се оценува по транспорт. Два транспорта добиваат по свое ограничување, и корисникот на крајот има двојно повеќе од она што блокот го дозволува.

Пренасочувањето е одделно изненадување. TCP пренасочувањето не бара канал за сесија, па MaxSessions 0 може да забрани школки и потсистеми, а сепак да дозволува -L и -R тунели. Услугата што само пренасочува и го смета бројот на сесии за своја тунелска квота не мери ништо. Тоа однесување е документирано во референтниот водич за конфигурација на серверот OpenSSH, и вреди да се прочита пред да се дизајнира околу име на опција.

Испечатете ја ефективната конфигурација, а не датотеката за која мислите дека е вчитана. Вклучувањата и drop-in папките често значат дека вредноста што важи не е вредноста што сте ја уредиле.

MaxStartups го штити демонот, а не претплатникот

Триделната форма на MaxStartups опишува колку неавтентицирани врски можат да постојат пред демонот да почне да отфрла процент од новите. Нејзината стандардна форма постои затоа што неавтентицирана SSH врска е евтина за отворање и скапа за одржување. Тоа е контрола за заштита на ресурсите на серверот, и се применува на сите одеднаш.

Неговото зголемување за време на бура од најави ја менува заштитата на демонот за прием, што понекогаш е правилна размена и секогаш е намерна. Тоа не прави ништо за претплатникот што сака втор тунел, бидејќи првиот тунел е веќе автентициран. Мешањето на двете води до промена што го поправа погрешниот симптом и истовремено го ослабува серверот.

Кога најавите се одбиваат во налети, погледнете во дневникот на демонот пораката пред автентикација пред да допрете која било од двете опции. Пораката го именува тоа кој чувар се активирал, и чуварите не се заменливи.

Слотот по корисник бара заедничка состојба

Вистинската политика за еден активен транспорт бара резервација што се чува некаде надвор од sshd. Чекорот за прием мора атомски да го заземе слотот на сметката, да го ослободи кога врската се затвора, да го остави да истече кога клиентот исчезнува без затворање, и да одлучи дали новиот обид се одбива или го заменува стариот. Таа последна одлука е одлука за производ, а не технички детал, бидејќи замената на активен тунел некого го исклучува.

Резервацијата мора да ја делат и сите сервери што ја прифаќаат сметката. Два домаќини со независни локални бројачи применуваат две одделни ограничувања, и претплатникот што повторно се поврзува преку другиот портал добива втор слот бесплатно. Што и да го чува состојбата, му треба сопствено однесување при дефект, бидејќи недостапно складиште не смее да ги заклучи сите претплатници.

За ветување за еден уред, издајте одделни акредитиви за секој регистриран уред и контролирајте регистрација и отповикување на тој слој. Копиран приватен клуч уште се автентицира од каде било, така што издавањето еден клуч по корисник не е доказ за тоа колку машини го чуваат.

Проверете ја политиката со две вистински врски

Напишете ги приемните тестови како команди пред да ја напишете политиката. Петте случаи се втор транспорт отворен додека првиот е активен, повеќе канали во еден транспорт, клиент што само пренасочува порти, повторно поврзување по прекин на врската, и истата сметка што пристигнува на друг портал.

Прво прочитајте ги ефективните ограничувања, потоа отворете ги врските што политиката треба да ги одбие. Двете половини од тој тест се важни, и ниту една не ја заменува другата.

sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]

Стартувајте ја командата за тунел двапати во два терминала и избројте ги воспоставените врски на портата 22. Ако двете пренесуваат сообраќај додека вашата политика тврди еден активен транспорт, политиката е документација, а не спроведување. Поправете ја таа празнина во слојот за прием, а не со намалување на MaxSessions и надеж дека вториот транспорт ќе го забележи.