MaxSessions, MaxStartups atau pendaftaran: had SSH mana yang patut dipilih

Perkhidmatan terowong yang menjanjikan satu peranti bagi setiap pelanggan jarang mendapat janji itu daripada MaxSessions, dan ujian pertama biasanya membuktikannya. Pelanggan membuka proses ssh kedua, sesi pertama terus berjalan, dan kedua-dua terowong membawa trafik. Setiap pilihan konfigurasi mengira perkara yang berbeza, dan tiada satu pun mengira peranti. Menamakan janji terlebih dahulu itulah yang menjadikan pilihan antara mereka jelas.

Apa yang sebenarnya dikira oleh setiap pilihan

MaxSessions mengehadkan bilangan sesi terbuka yang dibawa oleh satu sambungan rangkaian yang disahkan. Sesi di sini bermaksud shell, permintaan exec, subsistem seperti SFTP, atau saluran serupa yang dimultiplekskan dalam satu pengangkutan SSH. Seruan ssh kedua membuka pengangkutan kedua, mengesahkan semula dan mendapat peruntukannya sendiri. Bilangan sesi sambungan pertama tidak relevan baginya.

MaxStartups mengehadkan sambungan serentak yang belum disahkan, dinyatakan sebagai ambang permulaan, kadar dan ambang penuh. Ia wujud supaya letupan jabat tangan separuh terbuka tidak boleh menghabiskan sumber daemon sebelum pengesahan. Sebaik sahaja klien disahkan, sambungan itu berhenti dikira terhadap MaxStartups dan menjadi sesi seseorang. Ia tidak pernah menjadi kuota setiap pengguna, dan menaikkannya tidak membenarkan pelanggan berbuat lebih banyak.

Peraturan pendaftaran peranti sama sekali bukan pilihan sshd. Ia milik mana-mana sistem yang mengeluarkan kelayakan dan menjejaki peranti mana yang memegangnya, yang bermaksud ia memerlukan pendaftaran, inventori dan pembatalan dan bukan pembilang. Mencampurkan keperluan itu ke dalam konfigurasi sshd ialah tempat kebanyakan reka bentuk ini tersekat.

Di mana MaxSessions berhenti menjadi kuota

Blok Match User mengubah nilai konfigurasi mana yang terpakai kepada pengguna itu, jadi ia ialah tempat semula jadi untuk menetapkan MaxSessions yang lebih ketat bagi akaun perkhidmatan. Apa yang tidak boleh dilakukannya ialah mengagregat merentas sambungan, kerana pilihan itu dinilai bagi setiap pengangkutan. Dua pengangkutan masing-masing mendapat had sendiri, dan pengguna akhirnya mempunyai dua kali ganda apa yang dibenarkan blok itu.

Pemajuan ialah kejutan yang berasingan. Pemajuan TCP tidak memerlukan saluran sesi, jadi MaxSessions 0 boleh melarang shell dan subsistem sambil masih membenarkan terowong -L dan -R. Perkhidmatan yang hanya memajukan dan menganggap bilangan sesi sebagai kuota terowongnya tidak mengukur apa-apa. Tingkah laku itu didokumenkan dalam rujukan konfigurasi pelayan OpenSSH, dan ia berbaloi dibaca sebelum mereka bentuk sekitar nama pilihan.

Buang konfigurasi berkesan dan bukan fail yang anda sangka dimuatkan. Penyertaan dan direktori drop-in sering bermaksud nilai yang berkuat kuasa bukan nilai yang anda sunting.

MaxStartups melindungi daemon, bukan pelanggan

Bentuk tiga bahagian MaxStartups menerangkan berapa banyak sambungan yang belum disahkan boleh wujud sebelum daemon mula menggugurkan peratusan yang baharu. Bentuk lalainya wujud kerana sambungan SSH yang belum disahkan murah dibuka dan mahal dikekalkan. Ia kawalan perlindungan sumber untuk pelayan, dan ia terpakai kepada semua orang serentak.

Menaikkannya semasa badai log masuk menukar perlindungan daemon dengan kemasukan, yang kadangkala pertukaran betul dan sentiasa disengajakan. Ia tidak melakukan apa-apa bagi pelanggan yang mahukan terowong kedua, kerana terowong pertama sudah disahkan. Mengelirukan kedua-duanya membawa kepada perubahan yang membetulkan gejala yang salah dan melemahkan pelayan pada masa yang sama.

Apabila log masuk ditolak secara berkelompok, lihat dalam log daemon mesej sebelum pengesahan sebelum menyentuh mana-mana pilihan. Mesej itu menamakan pengawal mana yang dicetuskan, dan pengawal itu tidak boleh ditukar ganti.

Slot setiap pengguna memerlukan keadaan dikongsi

Dasar satu pengangkutan aktif yang tulen memerlukan tempahan yang disimpan di suatu tempat di luar sshd. Langkah kemasukan mesti menuntut slot akaun secara atomik, melepaskannya apabila sambungan ditutup, membiarkannya tamat tempoh apabila klien hilang tanpa menutup, dan memutuskan sama ada cubaan baharu ditolak atau menggantikan yang lama. Keputusan terakhir itu ialah keputusan produk, bukan perincian teknikal, kerana menggantikan terowong aktif memutuskan sambungan seseorang.

Tempahan itu juga mesti dikongsi oleh setiap pelayan yang menerima akaun. Dua hos dengan pembilang tempatan bebas melaksanakan dua had berasingan, dan pelanggan yang menyambung semula melalui gerbang lain mendapat slot kedua secara percuma. Apa sahaja yang menyimpan keadaan memerlukan tingkah laku kegagalannya sendiri, kerana stor yang tidak boleh dicapai tidak boleh mengunci semua pelanggan di luar.

Untuk janji satu peranti, keluarkan kelayakan berasingan bagi setiap peranti berdaftar dan kawal pendaftaran dan pembatalan pada lapisan itu. Kunci peribadi yang disalin masih disahkan dari mana-mana sahaja, jadi mengeluarkan satu kunci bagi setiap pengguna bukan bukti berapa banyak mesin memegangnya.

Uji dasar dengan dua sambungan sebenar

Tulis ujian penerimaan sebagai arahan sebelum anda menulis dasar. Kelima-lima kes ialah pengangkutan kedua dibuka semasa yang pertama aktif, berbilang saluran dalam satu pengangkutan, klien yang hanya memajukan port, sambungan semula selepas pautan terputus, dan akaun yang sama tiba di gerbang lain.

Baca had berkesan dahulu, kemudian buka sambungan yang sepatutnya ditolak oleh dasar. Kedua-dua separuh ujian itu penting, dan tidak satu pun menggantikan yang lain.

sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]

Jalankan arahan terowong dua kali dalam dua terminal dan kira sambungan yang terbentuk pada port 22. Jika kedua-duanya membawa trafik sedangkan dasar anda mendakwa satu pengangkutan aktif, dasar itu dokumentasi dan bukan penguatkuasaan. Betulkan jurang itu dalam lapisan kemasukan, bukan dengan menurunkan MaxSessions dan berharap pengangkutan kedua menyedarinya.