MaxSessions, MaxStartups அல்லது சாதனப் பதிவு: எந்த SSH வரம்பைத் தேர்ந்தெடுப்பது

ஒவ்வொரு சந்தாதாரருக்கும் ஒரு சாதனம் என உறுதியளிக்கும் சுரங்கப்பாதை சேவைகள் அந்த வாக்குறுதியை MaxSessions இடமிருந்து அரிதாகவே பெறுகின்றன, முதல் சோதனை பொதுவாக அதை நிரூபிக்கிறது. சந்தாதாரர் இரண்டாவது ssh செயல்முறையைத் திறக்கிறார், முதல் அமர்வு தொடர்ந்து இயங்குகிறது, இரண்டு சுரங்கப்பாதைகளும் போக்குவரத்தைச் சுமக்கின்றன. ஒவ்வொரு கட்டமைப்பு விருப்பமும் வெவ்வேறு விஷயத்தை எண்ணுகிறது, அவற்றில் எதுவும் சாதனங்களை எண்ணுவதில்லை. முதலில் வாக்குறுதிக்குப் பெயரிடுவதே அவற்றுக்கிடையிலான தேர்வைத் தெளிவாக்குகிறது.

ஒவ்வொரு விருப்பமும் உண்மையில் எதை எண்ணுகிறது

MaxSessions ஒரு அங்கீகரிக்கப்பட்ட பிணைய இணைப்பு சுமக்கும் திறந்த அமர்வுகளின் எண்ணிக்கையைக் கட்டுப்படுத்துகிறது. இங்கே அமர்வு என்பது ஷெல், exec கோரிக்கை, SFTP போன்ற துணை அமைப்பு, அல்லது ஒரு SSH போக்குவரத்திற்குள் பல்பயன்பாட்டுக்கு உள்ளாக்கப்பட்ட ஒத்த சேனலைக் குறிக்கிறது. இரண்டாவது ssh அழைப்பு இரண்டாவது போக்குவரத்தைத் திறந்து, மீண்டும் அங்கீகரித்து அதன் சொந்த அனுமதியைப் பெறுகிறது. முதல் இணைப்பின் அமர்வு எண்ணிக்கை அதற்குப் பொருந்தாது.

MaxStartups இன்னும் அங்கீகரிக்கப்படாத ஒரே நேர இணைப்புகளைத் தொடக்க வாசல், விகிதம் மற்றும் முழு வாசல் எனக் கட்டுப்படுத்துகிறது. பாதி திறந்த கைக்குலுக்கல்களின் வெடிப்பு அங்கீகாரத்திற்கு முன் டீமனின் வளங்களைத் தீர்த்துவிடாமல் இருக்க இது உள்ளது. ஒரு வாடிக்கையாளர் அங்கீகரித்தவுடன் அந்த இணைப்பு MaxStartups க்கு எதிராக எண்ணப்படுவதை நிறுத்தி ஒருவரின் அமர்வாகிறது. இது ஒருபோதும் ஒரு பயனருக்கான ஒதுக்கீடாக இருக்கவில்லை, அதை உயர்த்துவது சந்தாதாரருக்கு அதிகம் செய்ய அனுமதிக்காது.

சாதனப் பதிவு விதி எந்த வகையிலும் sshd விருப்பம் அல்ல. இது சான்றுகளை வெளியிட்டு எந்தச் சாதனம் அவற்றை வைத்திருக்கிறது எனக் கண்காணிக்கும் எந்த அமைப்புக்கும் சொந்தமானது, அதாவது எண்ணிக்கைக்குப் பதிலாக பதிவு, சரக்கு மற்றும் ரத்து தேவை. இந்தத் தேவையை sshd கட்டமைப்பில் கலப்பதே இந்த வடிவமைப்புகளில் பெரும்பாலானவை தடைபடும் இடம்.

MaxSessions எங்கு ஒதுக்கீடாக இருப்பதை நிறுத்துகிறது

Match User தொகுதி அந்தப் பயனருக்குப் பொருந்தும் கட்டமைப்பு மதிப்புகளை மாற்றுகிறது, எனவே சேவைக் கணக்கிற்கு கடுமையான MaxSessions அமைக்க இது இயற்கையான இடம். அது செய்ய முடியாதது இணைப்புகளுக்கிடையே ஒருங்கிணைப்பது, ஏனெனில் விருப்பம் ஒவ்வொரு போக்குவரத்திற்கும் மதிப்பிடப்படுகிறது. இரண்டு போக்குவரத்துகள் தனித்தனி வரம்புகளைப் பெறுகின்றன, பயனர் இறுதியில் தொகுதி அனுமதிப்பதை விட இரட்டிப்பைப் பெறுகிறார்.

முன்னனுப்பல் ஒரு தனி ஆச்சரியம். TCP முன்னனுப்பலுக்கு அமர்வு சேனல் தேவையில்லை, எனவே MaxSessions 0 ஷெல் மற்றும் துணை அமைப்புகளைத் தடைசெய்து -L மற்றும் -R சுரங்கப்பாதைகளை இன்னும் அனுமதிக்கலாம். முன்னனுப்பல் மட்டும் செய்து அமர்வு எண்ணிக்கையை தனது சுரங்கப்பாதை ஒதுக்கீடாகக் கருதும் சேவை எதையும் அளவிடுவதில்லை. அந்த நடத்தை OpenSSH சேவையகக் கட்டமைப்பு குறிப்பில் ஆவணப்படுத்தப்பட்டுள்ளது, ஒரு விருப்பப் பெயரைச் சுற்றி வடிவமைப்பதற்கு முன் அதைப் படிப்பது மதிப்புள்ளது.

ஏற்றப்பட்டதாக நீங்கள் நினைக்கும் கோப்பிற்குப் பதிலாக பயனுள்ள கட்டமைப்பைக் கொட்டுங்கள். உள்ளடக்கங்கள் மற்றும் drop-in அடைவுகள் பெரும்பாலும் நடைமுறையில் உள்ள மதிப்பு நீங்கள் திருத்திய மதிப்பு அல்ல என்பதைக் குறிக்கின்றன.

MaxStartups சந்தாதாரரை அல்ல, டீமனைப் பாதுகாக்கிறது

MaxStartups இன் மூன்று பகுதி வடிவம் டீமன் புதியவற்றின் ஒரு சதவீதத்தை வீசத் தொடங்குவதற்கு முன் எத்தனை அங்கீகரிக்கப்படாத இணைப்புகள் இருக்கலாம் என விவரிக்கிறது. அதன் இயல்புநிலை வடிவம் அங்கீகரிக்கப்படாத SSH இணைப்பைத் திறப்பது மலிவானது மற்றும் வைத்திருப்பது விலை உயர்ந்தது என்பதால் உள்ளது. இது சேவையகத்திற்கான வளப் பாதுகாப்புக் கட்டுப்பாடு, இது எல்லோருக்கும் ஒரே நேரத்தில் பொருந்தும்.

உள்நுழைவுப் புயலின் போது அதை உயர்த்துவது டீமன் பாதுகாப்பை அனுமதிக்கு மாற்றுகிறது, இது சில நேரங்களில் சரியான பரிமாற்றம் மற்றும் எப்போதும் வேண்டுமென்றே செய்யப்பட்டது. இரண்டாவது சுரங்கப்பாதை விரும்பும் சந்தாதாரருக்கு இது எதுவும் செய்யாது, ஏனெனில் முதல் சுரங்கப்பாதை ஏற்கனவே அங்கீகரிக்கப்பட்டது. இரண்டையும் குழப்புவது தவறான அறிகுறியைச் சரிசெய்து அதே நேரத்தில் சேவையகத்தைப் பலவீனப்படுத்தும் மாற்றத்திற்கு வழிவகுக்கிறது.

உள்நுழைவுகள் கூட்டமாக மறுக்கப்படும்போது, எந்த விருப்பத்தையும் தொடுவதற்கு முன் டீமன் பதிவில் அங்கீகாரத்திற்கு முந்தைய செய்தியைப் பாருங்கள். செய்தி எந்தக் காவலர் செயல்பட்டது எனக் குறிப்பிடுகிறது, காவலர்கள் ஒன்றுக்கொன்று மாற்றக்கூடியவர்கள் அல்ல.

ஒரு பயனருக்கான இடத்திற்குப் பகிரப்பட்ட நிலை தேவை

ஒரே செயலில் உள்ள போக்குவரத்துக் கொள்கைக்கு sshd க்கு வெளியே எங்காவது வைக்கப்படும் முன்பதிவு தேவை. அனுமதிப் படி கணக்கின் இடத்தை அணுவாகக் கோர வேண்டும், இணைப்பு மூடப்படும்போது அதை விடுவிக்க வேண்டும், வாடிக்கையாளர் மூடாமல் மறைந்தால் அதன் காலாவதியை அனுமதிக்க வேண்டும், புதிய முயற்சி மறுக்கப்படுகிறதா அல்லது பழையதை மாற்றுகிறதா என முடிவு செய்ய வேண்டும். அந்த இறுதி முடிவு ஒரு தயாரிப்பு முடிவு, தொழில்நுட்ப விவரம் அல்ல, ஏனெனில் செயலில் உள்ள சுரங்கப்பாதையை மாற்றுவது ஒருவரைத் துண்டிக்கிறது.

முன்பதிவை கணக்கை ஏற்கும் ஒவ்வொரு சேவையகமும் பங்கிட்டுக் கொள்ள வேண்டும். சுயாதீன உள்ளூர் எண்ணிகளைக் கொண்ட இரண்டு ஹோஸ்ட்கள் இரண்டு தனி வரம்புகளைச் செயல்படுத்துகின்றன, மற்ற நுழைவாயில் வழியாக மீண்டும் இணையும் சந்தாதாரர் இலவசமாக இரண்டாவது இடத்தைப் பெறுகிறார். நிலையைச் சேமிக்கும் எதற்கும் அதன் சொந்த தோல்வி நடத்தை தேவை, ஏனெனில் அணுக முடியாத சேமிப்பகம் எல்லா சந்தாதாரர்களையும் பூட்டக்கூடாது.

ஒரு சாதன வாக்குறுதிக்கு, பதிவு செய்யப்பட்ட ஒவ்வொரு சாதனத்திற்கும் தனி சான்றை வெளியிட்டு அந்த அடுக்கில் பதிவு மற்றும் ரத்தைக் கட்டுப்படுத்துங்கள். நகலெடுக்கப்பட்ட தனிப்பட்ட விசை இன்னும் எங்கிருந்தும் அங்கீகரிக்கிறது, எனவே ஒரு பயனருக்கு ஒரு விசையை வெளியிடுவது எத்தனை இயந்திரங்கள் அதை வைத்திருக்கின்றன என்பதற்கான ஆதாரம் அல்ல.

இரண்டு உண்மையான இணைப்புகளுடன் கொள்கையைச் சரிபார்க்கவும்

கொள்கையை எழுதுவதற்கு முன் ஏற்புப் பரிசோதனைகளை கட்டளைகளாக எழுதுங்கள். ஐந்து நிகழ்வுகள்: முதலாவது செயலில் இருக்கும்போது திறக்கப்படும் இரண்டாவது போக்குவரத்து, ஒரு போக்குவரத்திற்குள் பல சேனல்கள், துறைமுகங்களை மட்டும் முன்னனுப்பும் வாடிக்கையாளர், இணைப்பு விழுந்த பின் மீண்டும் இணைதல், அதே கணக்கு மற்றொரு நுழைவாயிலுக்கு வருதல்.

முதலில் பயனுள்ள வரம்புகளைப் படியுங்கள், பின்னர் கொள்கை மறுக்க வேண்டிய இணைப்புகளைத் திறங்கள். அந்தச் சோதனையின் இரு பகுதிகளும் முக்கியம், எதுவும் மற்றொன்றுக்கு மாற்றல்ல.

sshd -T | grep -iE "maxsessions|maxstartups|allowtcpforwarding|permitopen"
ss -tn state established '( sport = :22 )' | head
ssh -N -L 8080:127.0.0.1:80 [email protected]

இரண்டு முனையங்களில் சுரங்கப்பாதை கட்டளையை இரண்டு முறை இயக்கி துறைமுகம் 22 இல் நிறுவப்பட்ட இணைப்புகளை எண்ணுங்கள். உங்கள் கொள்கை ஒரு செயலில் உள்ள போக்குவரத்தைக் கூறும்போது இரண்டும் போக்குவரத்தைச் சுமந்தால், கொள்கை செயலாக்கம் அல்ல, ஆவணம். அந்த இடைவெளியை அனுமதி அடுக்கில் சரிசெய்யுங்கள், MaxSessions குறைத்து இரண்டாவது போக்குவரத்து கவனிக்கும் என எதிர்பார்ப்பதன் மூலம் அல்ல.