MaxSessions, MaxStartups یا د وسیلې ثبتول: کوم د SSH حد وټاکو

هغه د تونل خدمتونه چې د هر ګډونوال لپاره یوه وسیله ژمنه کوي، دا ژمنه له MaxSessions څخه په ندرت سره ترلاسه کوي، او لومړنۍ ازموینه معمولاً دا ثابتوي۔ ګډونوال دوهم ssh بهیر پرانیزي، لومړی نشست روان پاتې کېږي، او دواړه تونلونه ترافیک وړي۔ هره کنفیګریشن اختیار بېله بله شی شمېري، او هېڅ یو یې وسیلې نه شمېري۔ لومړی د ژمنې نوم اخیستل هغه شی دی چې د دوی ترمنځ انتخاب څرګندوي۔

هر اختیار په رښتیا څه شمېري

MaxSessions د یو تصدیق شوي شبکې اړیکې لخوا د وړل کېدونکو پرانیستو نشستونو شمېر محدودوي۔ نشست دلته د شیل، exec غوښتنې، د SFTP په څېر فرعي سیستم، یا ورته چینل مانا لري چې په یو SSH ترانسپورټ کې ملټي پلکس شوی وي۔ دوهم ssh غوښتنه دوهم ترانسپورټ پرانیزي، بیا تصدیق کوي او خپله اجازه ترلاسه کوي۔ د لومړنۍ اړیکې د نشستونو شمېر ورته بې اړیکې دی۔

MaxStartups هغه هممهاله اړیکې محدودوي چې لا تصدیق شوې نه دي، چې د پیل حد، کچې او بشپړ حد په توګه څرګندېږي۔ دا د دې لپاره دی چې د نیم پرانیستو لاس ورکولو چاودنه د تصدیق مخکې د ډیمون سرچینې ختمې نه کړي۔ کله چې کلاینټ تصدیق شي، هغه اړیکه د MaxStartups په وړاندې شمېرل بندوي او د یو چا نشست کېږي۔ دا هیڅکله د هر کاروونکي کوتا نه وه، او لوړول یې ګډونوال ته اجازه نه ورکوي چې ډېر څه وکړي۔

د وسیلې د ثبتولو قاعده په هیڅ ډول د sshd اختیار نه دی۔ دا هغه سیستم ته اړه لري چې کریډینشلونه صادروي او تعقیبوي چې کومه وسیله یې ساتي، چې مانا یې دا ده چې شمېروونکي پرځای ثبت، فهرست او لغوه کول ته اړتیا لري۔ دې اړتیا ته د sshd په کنفیګریشن کې ګډول هغه ځای دی چې ډېری دا ډیزاینونه ورباندې ودرېږي۔

MaxSessions چېرې کوتا نه پاتې کېږي

د Match User بلاک بدلوي چې کوم کنفیګریشن ارزښتونه په هغه کاروونکي پلي کېږي، نو د خدمت حساب لپاره د لا سخت MaxSessions ټاکلو طبیعي ځای دی۔ هغه څه چې نشي کولی، د اړیکو په اوږدو کې یو ځای کول دي، ځکه اختیار په هر ترانسپورټ باندې ارزول کېږي۔ دوه ترانسپورټونه هر یو خپل حد ترلاسه کوي، او کاروونکی په پای کې د بلاک له اجازې څخه دوه چنده لري۔

لېږدول یوه جلا حیرانتیا ده۔ TCP لېږدول د نشست چینل ته اړتیا نه لري، نو MaxSessions 0 کولی شي شیلونه او فرعي سیستمونه بند کړي او بیا هم -L او -R تونلونه اجازه کړي۔ هغه خدمت چې یوازې لېږدوي او د نشستونو شمېر خپله تونل کوتا ګڼي، هېڅ نه اندازه کوي۔ دا چلند په د OpenSSH سرور کنفیګریشن مرجع کې مستند شوی، او د اختیار نوم شاوخوا ډیزاین کولو مخکې یې لوستل ارزښت لري۔

د هغه فایل پرځای چې فکر کوئ بار شوی دی، اغېزمن کنفیګریشن وښایاست۔ ننوتل او drop-in پوښۍ ډېری وخت مانا دا ده چې پلي ارزښت هغه نه دی چې تاسو ایډیټ کړی۔

MaxStartups ګډونوال نه، ډیمون ساتي

د MaxStartups درې برخې بڼه بیانوي چې څومره ناتایید شوې اړیکې کولی شي شتون ولري مخکې لدې چې ډیمون د نویو یوه سلنه وغورځوي۔ د هغې اصلي بڼه د دې لپاره ده چې ناتایید شوې SSH اړیکه پرانیستل ارزانه او ساتل ګران دي۔ دا د سرور لپاره د سرچینو ساتنې کنټرول دی، او په یو وخت ټولو ته پلي کېږي۔

د ننوتلو طوفان پر مهال یې لوړول د ډیمون ساتنه د داخلېدو سره بدلوي، چې کله کله سمه معامله ده او تل قصدي ده۔ د دوهم تونل غوښتونکي ګډونوال لپاره هېڅ نه کوي، ځکه لومړی تونل لا دمخه تصدیق شوی۔ د دواړو ګډول هغه بدلون ته رسوي چې ناسم نښه سمه کوي او په هماغه وخت سرور کمزوری کوي۔

کله چې ننوتل په ډلو کې رد شي، دواړو اختیارونو ته د لاس ورکولو مخکې په ډیمون لاګ کې د تصدیق دمخه پیغام وګورئ۔ پیغام نوموي چې کوم ساتونکی فعال شو، او ساتونکي یو بل بدلېدونکي نه دي۔

د هر کاروونکي سلاټ شریک حالت ته اړتیا لري

ریښتینې د یو فعال ترانسپورټ پالیسي د sshd څخه بهر یو ځای ساتل شوې ریزرویشن ته اړتیا لري۔ د داخلېدو ګام باید د حساب سلاټ په اتومي ډول غوښتنه وکړي، کله چې اړیکه بنده شي آزاد یې کړي، کله چې کلاینټ پرته له بندولو ورک شي د هغې موده پای ته ورسوي، او پریکړه وکړي چې نوی هڅه ردېږي که زوړ بدلوي۔ هغه وروستۍ پریکړه د محصول پریکړه ده، تخنیکي تفصیل نه، ځکه د فعال تونل بدلول څوک قطع کوي۔

ریزرویشن باید هغه هر سرور هم شریک کړي چې حساب مني۔ دوه هوسټونه چې خپلواک محلي شمېروونکي لري دوه جلا حدونه پلي کوي، او هغه ګډونوال چې د بل ګیټ وې له لارې بیا نښلېږي په وړیا ډول دوهم سلاټ ترلاسه کوي۔ هر څه چې حالت ذخیره کوي خپل د ناکامۍ چلند ته اړتیا لري، ځکه نه لاسرسي وړ زېرمه باید ټول ګډونوال بند نه کړي۔

د یوې وسیلې ژمنې لپاره، د هر ثبت شوي وسیلې لپاره جلا کریډینشلونه صادر کړئ او په هغه طبقه کې ثبت او لغوه کول کنټرول کړئ۔ کاپي شوې شخصي کیلي بیا هم له هر ځایه تصدیق کوي، نو د هر کاروونکي لپاره یوه کیلي صادرول د دې ثبوت نه دی چې څومره ماشینونه یې لري۔

پالیسي په دوو ریښتینو اړیکو وازمویاست

د پالیسۍ لیکلو مخکې د منلو ازموینې د امرونو په توګه ولیکئ۔ پنځه قضیې دا دي: لومړی فعال پروخت پرانیستل شوی دوهم ترانسپورټ، په یو ترانسپورټ کې څو چینلونه، یوازې پورټونه لېږدونکی کلاینټ، د اړیکې له پرېوتلو وروسته بیا نښلېدل، او هماغه حساب چې بل ګیټ وې ته رسېږي۔

لومړی اغېزمن حدونه ولولئ، بیا هغه اړیکې پرانیزئ چې پالیسي باید رد کړي۔ د دې ازموینې دواړه نیمایي مهمې دي، او هېڅ یوه بلې ته بدله نه ده۔

sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]

د تونل امر په دوو ټرمینلونو کې دوه ځله چل کړئ او په 22 پورټ کې تاسیس شوې اړیکې وشمېرئ۔ که دواړه ترافیک وړي پداسې حال کې چې ستاسو پالیسي یو فعال ترانسپورټ ادعا کوي، پالیسي پلي کول نه، سند دی۔ هغه تشه د داخلېدو په طبقه کې سمه کړئ، نه د MaxSessions په کمولو او دې هیله چې دوهم ترانسپورټ به یې وپېژني۔