MaxSessions, MaxStartups හෝ උපාංග ලියාපදිංචිය: කුමන SSH සීමාව තෝරන්නද
MaxSessions එක් ප්‍රවාහයක් තුළ ඇති නාලිකා ගණනය කරයි, MaxStartups සත්‍යාපනය නොකළ හස්ත සැලකීම් ආරක්ෂා කරයි, දෙකම උපාංග ගණනය නොකරයි. පළමුව පොරොන්දුව තීරණය කරන්න.
එක් ග්‍රාහකයෙකුට එක් උපාංගයක් පොරොන්දු වන ප්‍රවාහ සේවා එම පොරොන්දුව MaxSessions වෙතින් කලාතුරකින් ලබා ගනී, පළමු පරීක්ෂණය සාමාන්‍යයෙන් එය සනාථ කරයි. ග්‍රාහකයා දෙවන ssh ක්‍රියාවලියක් විවෘත කරයි, පළමු සැසිය දිගටම ක්‍රියාත්මක වේ, දෙපැත්තේම ප්‍රවාහ රථවාහන රැගෙන යයි. සෑම වින්‍යාස විකල්පයක්ම වෙනස් දෙයක් ගණනය කරයි, ඒවායින් කිසිවක් උපාංග ගණනය නොකරයි. පළමුව පොරොන්දුව නම් කිරීම ඔවුන් අතර ඇති තේරීම පැහැදිලි කරයි.
සෑම විකල්පයක්ම සැබවින්ම ගණනය කරන්නේ කුමක්ද
MaxSessions එක් සත්‍යාපිත ජාල සම්බන්ධතාවයකින් රැගෙන යන විවෘත සැසි ගණන සීමා කරයි. මෙහි සැසියක් යනු ෂෙල්, exec ඉල්ලීමක්, SFTP වැනි උප පද්ධතියක්, හෝ එක් SSH ප්‍රවාහයක් තුළ බහුගුණකරණය කළ සමාන නාලිකාවකි. දෙවන ssh ඇමතුම දෙවන ප්‍රවාහයක් විවෘත කරයි, නැවත සත්‍යාපනය කර තමන්ගේම අවසරය ලබා ගනී. පළමු සම්බන්ධතාවයේ සැසි ගණන ඒ සඳහා අදාළ නොවේ.
MaxStartups තවම සත්‍යාපනය නොකළ සමකාලීන සම්බන්ධතා සීමා කරයි, ආරම්භක සීමාව, අනුපාතය සහ සම්පූර්ණ සීමාව ලෙස ප්‍රකාශ වේ. අර්ධ විවෘත හස්ත සැලකීම් ඇතිවන පිපිරීමකට සත්‍යාපනයට පෙර ඩීමන්ගේ සම්පත් අවසන් කිරීමට නොහැකි වන පිණිස එය පවතී. සේවාලාභියෙකු සත්‍යාපනය කළ පසු එම සම්බන්ධතාවය MaxStartups ට එරෙහිව ගණන් නොකර යයි, එය යමෙකුගේ සැසියක් වේ. එය කිසිදා එක් එක් පරිශීලකයාට වූ කෝටාවක් නොවීය, එය වැඩි කිරීමෙන් ග්‍රාහකයාට වැඩි දෙයක් කිරීමට නොහැක.
උපාංග ලියාපදිංචි කිරීමේ රීතිය කිසිසේත් sshd විකල්පයක් නොවේ. එය අක්තපත්‍ර නිකුත් කරන සහ කුමන උපාංගය ඒවා රඳවා ගනීද යන්න නිරීක්ෂණය කරන ඕනෑම පද්ධතියකට අයත් වේ, එනම් ගණනය කිරීමක් වෙනුවට ලියාපදිංචිය, ඉන්වෙන්ටරිය සහ අවලංගු කිරීම අවශ්‍ය වේ. එම අවශ්‍යතාවය sshd වින්‍යාසයට මිශ්‍ර කිරීම යනු මෙම නිර්මාණ බොහොමයක් සිර වන තැනය.
MaxSessions කෝටාවක් නොවී යන තැන
Match User කොටස එම පරිශීලකයාට යෙදෙන වින්‍යාස අගයන් වෙනස් කරයි, එබැවින් සේවා ගිණුමක් සඳහා වඩා දැඩි MaxSessions නියම කිරීමට එය ස්වාභාවික ස්ථානයයි. එයට නොහැකි දෙය සම්බන්ධතා අතර එකට එකතු කිරීමයි, මන්ද විකල්පය එක් එක් ප්‍රවාහය සඳහා ඇගයේ. ප්‍රවාහ දෙකකට තම තමන්ගේ සීමාව ලැබේ, පරිශීලකයාට අවසානයේ කොටස අවසර දෙන දෙයට වඩා දෙගුණයක් ඇත.
ඉදිරියට යැවීම වෙනම ආශ්චර්යයකි. TCP ඉදිරියට යැවීමට සැසි නාලිකාවක් අවශ්‍ය නොවේ, එබැවින් MaxSessions 0 ෂෙල් සහ උප පද්ධති තහනම් කරමින් -L සහ -R ප්‍රවාහ සඳහා තවමත් අවසර දිය හැක. ඉදිරියට යැවීම පමණක් කරන සහ සැසි ගණන තම ප්‍රවාහ කෝටාව ලෙස සලකන සේවාවක් කිසිවක් මනින්නේ නැත. එම හැසිරීම OpenSSH සේවාදායක වින්‍යාස සන්දර්භයේ ලේඛනගත කර ඇත, විකල්ප නාමයක් වටා නිර්මාණය කිරීමට පෙර එය කියවීම වටී.
පූරණය වී ඇතැයි ඔබ සිතන ගොනුව වෙනුවට ඵලදායී වින්‍යාසය ගොනු කරන්න. ඇතුළත් කිරීම් සහ drop-in නාමාවලි බොහෝ විට අදහස් කරන්නේ බලපවත් වන අගය ඔබ සංස්කරණය කළ අගය නොවන බවය.
MaxStartups ග්‍රාහකයා නොව ඩීමන් ආරක්ෂා කරයි
MaxStartups හි ත්‍රිකොටස් ස්වරූපය විස්තර කරන්නේ ඩීමන් නව ඒවායින් ප්‍රතිශතයක් ඉවත දැමීමට පෙර කොපමණ සත්‍යාපනය නොකළ සම්බන්ධතා පැවතිය හැකිද යන්නය. එහි පෙරනිමි ස්වරූපය පවතින්නේ සත්‍යාපනය නොකළ SSH සම්බන්ධතාවයක් විවෘත කිරීම ලාභදායී වන අතර රඳවා ගැනීම මිල අධික වන බැවිනි. එය සේවාදායකයා සඳහා සම්පත් ආරක්ෂණ පාලනයකි, එය එකවර සියලු දෙනාට අදාළ වේ.
පිවිසුම් කුණාටුවක් අතරතුර එය වැඩි කිරීම ඩීමන් ආරක්ෂාව ප්‍රවේශය සමඟ මාරු කරයි, එය සමහර විට නිවැරදි මාරුවක් වන අතර සැමවිටම හිතාමතා කරන ලද්දකි. දෙවන ප්‍රවාහයක් කැමති ග්‍රාහකයාට එය කිසිවක් නොකරයි, මන්ද පළමු ප්‍රවාහය දැනටමත් සත්‍යාපිතය. දෙක මිශ්‍ර කිරීම වැරදි රෝග ලක්ෂණය නිවැරදි කරන අතර එම අවස්ථාවේම සේවාදායකයා දුර්වල කරන වෙනසකට තුඩු දෙයි.
පිවිසුම් රැළි වශයෙන් ප්‍රතික්ෂේප වන විට, කිසිදු විකල්පයක් ස්පර්ශ කිරීමට පෙර ඩීමන් ලොගයේ සත්‍යාපනයට පෙර පණිවිඩය බලන්න. පණිවිඩය කුමන ආරක්ෂකයා සක්‍රීය වූයේද යන්න නම් කරයි, ආරක්ෂකයන් එකිනෙකට හුවමාරු කළ නොහැක.
එක් එක් පරිශීලක ස්ලොට් එකට බෙදූ තත්ත්වයක් අවශ්‍යයි
සැබෑ එක් සක්‍රීය ප්‍රවාහ ප්‍රතිපත්තියකට sshd වෙලින් පිටත කොහේ හෝ තබා ඇති වෙන් කිරීමක් අවශ්‍ය වේ. ප්‍රවේශ පියවර ගිණුමේ ස්ලොට් පරමාණුකව හිමිකර ගත යුතුය, සම්බන්ධතාවය වැසෙන විට එය මුදා හැරිය යුතුය, සේවාලාභියා වසා නොගෙන අතුරුදහන් වූ විට එය කල් ඉකුත් කළ යුතුය, නව උත්සාහයක් ප්‍රතික්ෂේප වේද පැරණි එක වෙනුවට පැමිණේද යන්න තීරණය කළ යුතුය. එම අවසාන තීරණය නිෂ්පාදන තීරණයකි, තාක්ෂණික විස්තරයක් නොවේ, මන්ද සක්‍රීය ප්‍රවාහයක් ප්‍රතිස්ථාපනය කිරීම යමෙකු විසන්ධි කරයි.
වෙන් කිරීම ගිණුම පිළිගන්නා සෑම සේවාදායකයක්ම ද බෙදා ගත යුතුය. ස්වාධීන දේශීය ගණන් කරන්නන් සහිත සත්කාරක දෙකක් වෙනස් සීමා දෙකක් බලාත්මක කරයි, දෙවන ද්වාරය හරහා නැවත සම්බන්ධ වන ග්‍රාහකයාට නොමිලේ දෙවන ස්ලොට් එකක් ලැබේ. තත්ත්වය ගබඩා කරන ඕනෑම දෙයකට තමන්ගේම අසාර්ථක හැසිරීමක් අවශ්‍ය වේ, මන්ද ළඟා විය නොහැකි ගබඩාවක් සියලු ග්‍රාහකයන් අගුළු දැමිය යුතු නොවේ.
එක් උපාංග පොරොන්දුවක් සඳහා, ලියාපදිංචි සෑම උපාංගයකටම වෙන වෙනම අක්තපත්‍ර නිකුත් කරන්න, එම ස්තරයේ ලියාපදිංචිය සහ අවලංගු කිරීම පාලනය කරන්න. පිටපත් කළ පෞද්ගලික යතුර තවමත් ඕනෑම තැනකින් සත්‍යාපනය කරයි, එබැවින් එක් එක් පරිශීලකයාට එක් යතුරක් නිකුත් කිරීම එය කොපමණ යන්ත්‍ර රඳවා ගනීද යන්නට සාක්ෂියක් නොවේ.
සැබෑ සම්බන්ධතා දෙකකින් ප්‍රතිපත්තිය පරීක්ෂා කරන්න
ප්‍රතිපත්තිය ලිවීමට පෙර පිළිගැනීමේ පරීක්ෂණ විධාන ලෙස ලියන්න. පහක අවස්ථා නම්: පළමුවැන්න සක්‍රීයව තිබියදී විවෘත වන දෙවන ප්‍රවාහය, එක් ප්‍රවාහයක් තුළ නාලිකා කිහිපයක්, පෝට් පමණක් ඉදිරියට යවන සේවාලාභියා, සබැඳිය වැටුණු පසු නැවත සම්බන්ධ වීම, සහ එම ගිණුම වෙනත් ද්වාරයකට පැමිණීම.
පළමුව ඵලදායී සීමා කියවන්න, පසුව ප්‍රතිපත්තිය ප්‍රතික්ෂේප කළ යුතු සම්බන්ධතා විවෘත කරන්න. එම පරීක්ෂණයේ දෙකොටසම වැදගත් වේ, කිසිවක් අනෙකට ආදේශක නොවේ.
sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]ටර්මිනල් දෙකක ටනල් විධානය දෙවරක් ධාවනය කර 22 පෝට් එකේ ස්ථාපිත සම්බන්ධතා ගණන් කරන්න. ඔබේ ප්‍රතිපත්තිය එක් සක්‍රීය ප්‍රවාහයක් යැයි පවසන අතර දෙකම රථවාහන රැගෙන යයි නම්, ප්‍රතිපත්තිය ක්‍රියාත්මක කිරීමක් නොව ලේඛනයකි. එම පරතරය ප්‍රවේශ ස්තරයේ නිවැරදි කරන්න, MaxSessions අඩු කර දෙවන ප්‍රවාහය දකිනු ඇතැයි බලාපොරොත්තු වෙමින් නොවේ.