서버의 nftables가 SSH 로그인을 방지합니다(더 강력한 SSH 키 사용).

Question

nftables 방화벽을 사용할 때 큰 SSH 키와 SSH 연결을 사용하면 분명히 SSH가 다양한 구성 요소를 처리하고 통과하는 데 조금 더 오래 걸리기 때문에 전체 SSH 인증 프로세스에 더 많은 시간이 걸리지만 내가 지정/구성한 시간 설정이 충분하지 않았습니다.

nftables가 활성화/켜지지 않은 경우 이전 macOS 시스템에서 Server-3으로의 SSH 연결은 일반적으로 약 10초가 걸립니다. (따라서 nftables가 로드/실행되지 않을 때는 초기 시간 설정인 20초 또는 18초이면 충분합니다.)
그러나 SSH 서버에서 nftables가 로드되고 열리거나 활성화되면 이전 macOS 시스템(및 서버 측 nftables 네트워크 패킷 필터링 활동 등)이 SSH 인증 프로세스를 완료하는 데 추가로 15~20초가 필요합니다.

이것해결책예: 제한 시간/간격/활동 길이 값 늘리기(ServerAliveInterval+ServerAliveCountMax 및 ClientAliveInterval+살아있는 최대 클라이언트 수),또는,시간 초과 설정 제거(기본값 사용), 다음과 같습니다.

이 줄을 제거/비활성화(또는 주석 처리)합니다.~/.ssh/configmacOS SSH 클라이언트 컴퓨터의 파일:

# ConnectTimeout 30
# ConnectTimeout 15
# ConnectTimeout 18
# ConnectionAttempts 1

~/.ssh/config 파일에서 다음 설정/라인을 변경했습니다.

보낸 사람:
ServerAliveInterval 20
ServerAliveCountMax
1보다 큰 설정은 20 x 1 = 20초 동안만 연결을 활성 상태로 유지합니다.

도착하다:

ServerAliveInterval 18  
ServerAliveCountMax 2

위 설정은 18 x 2 = 36초 동안 연결을 유지합니다.

다음 설정/라인을 변경했습니다./etc/ssh/sshd_configDebian-10 서버 시스템의 파일:

보낸 사람:
ClientAliveInterval 30
ClientAliveCountMax
1보다 큰 설정은 30 x 1 = 30초 동안만 연결을 활성 상태로 유지합니다.

도착하다:

ClientAliveInterval 18
ClientAliveCountMax 2

위 설정은 18 x 2 = 36초 동안 연결을 유지합니다.

(macOS)의 로깅 정보: man ssh_config

ServerAliveCountMax
    Sets the number of server alive messages (see below) which may be
    sent without ssh(1) receiving any messages back from the server.
    If this threshold is reached while server alive messages are being
    sent, ssh will disconnect from the server, terminating the session.
    It is important to note that the use of server alive messages is
    very different from TCPKeepAlive (below).  The server alive messages
    are sent through the encrypted channel and therefore will not be
    spoofable.  The TCP keepalive option enabled by TCPKeepAlive is
    spoofable.  The server alive mechanism is valuable when the client
    or server depend on knowing when a connection has become inactive.

    The default value is 3.  If, for example, ServerAliveInterval (see
    below) is set to 15 and ServerAliveCountMax is left at the default,
    if the server becomes unresponsive, ssh will disconnect after
    approximately 45 seconds.

ServerAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the server, ssh(1) will send a message through the
    encrypted channel to request a response from the server.
    The default is 0, indicating that these messages will not be sent
    to the server.

ConnectionAttempts
    Specifies the number of tries (one per second) to make before exiting.
    The argument must be an integer.  This may be useful in scripts if
    the connection sometimes fails.  The default is 1.

ConnectTimeout
    Specifies the timeout (in seconds) used when connecting to the SSH
    server, instead of using the default system TCP timeout.  This value
    is used only when the target is down or really unreachable, not
    when it refuses the connection.

(Debian Server-3)의 로깅 정보: man sshd_config

ClientAliveCountMax
    Sets the number of client alive messages which may be sent without
    sshd(8) receiving any messages back from the client.  If this threshold
    is reached while client alive messages are being sent, sshd will
    disconnect the client, terminating the session.  It is important to
    note that the use of client alive messages is very different from
    TCPKeepAlive.  The client alive messages are sent through the
    encrypted channel and therefore will not be spoofable.  The TCP
    keepalive option enabled by TCPKeepAlive is spoofable.
    The client alive mechanism is valuable when the client or server
    depend on knowing when a connection has become inactive.

    The default value is 3.  If ClientAliveInterval is set to 15, and
    ClientAliveCountMax is left at the default, unresponsive SSH clients
    will be disconnected after approximately 45 seconds.

ClientAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the client, sshd(8) will send a message through the
    encrypted channel to request a response from the client.  The default
    is 0, indicating that these messages will not be sent to the client.

위 단락에서 언급된 설정이 수정되면 이제 nftables가 ON/활성화되어 있어도 모든 SSH 클라이언트 컴퓨터가 SSH 서버에 연결할 수 있습니다. 현재 SSH를 통한 연결은 nftables 방화벽이 켜져/활성화된 상태에서 약 35~45초가 소요됩니다.

20~40초 안에(Debian ssh- 사이) 또 다른 SSH 터널을 다시 만들고 싶기 때문에 이러한 설정/시간 값을 더욱 미세 조정해야 합니다. 클라이언트 및 Debian SSH 서버).

Answer 1

nftables 방화벽을 사용할 때 큰 SSH 키와 SSH 연결을 사용하면 분명히 SSH가 다양한 구성 요소를 처리하고 통과하는 데 조금 더 오래 걸리기 때문에 전체 SSH 인증 프로세스에 더 많은 시간이 걸리지만 내가 지정/구성한 시간 설정이 충분하지 않았습니다.

nftables가 활성화/켜지지 않은 경우 이전 macOS 시스템에서 Server-3으로의 SSH 연결은 일반적으로 약 10초가 걸립니다. (따라서 nftables가 로드/실행되지 않을 때는 초기 시간 설정인 20초 또는 18초이면 충분합니다.)
그러나 SSH 서버에서 nftables가 로드되고 열리거나 활성화되면 이전 macOS 시스템(및 서버 측 nftables 네트워크 패킷 필터링 활동 등)이 SSH 인증 프로세스를 완료하는 데 추가로 15~20초가 필요합니다.

이것해결책예: 제한 시간/간격/활동 길이 값 늘리기(ServerAliveInterval+ServerAliveCountMax 및 ClientAliveInterval+살아있는 최대 클라이언트 수),또는,시간 초과 설정 제거(기본값 사용), 다음과 같습니다.

이 줄을 제거/비활성화(또는 주석 처리)합니다.~/.ssh/configmacOS SSH 클라이언트 컴퓨터의 파일:

# ConnectTimeout 30
# ConnectTimeout 15
# ConnectTimeout 18
# ConnectionAttempts 1

~/.ssh/config 파일에서 다음 설정/라인을 변경했습니다.

보낸 사람:
ServerAliveInterval 20
ServerAliveCountMax
1보다 큰 설정은 20 x 1 = 20초 동안만 연결을 활성 상태로 유지합니다.

도착하다:

ServerAliveInterval 18  
ServerAliveCountMax 2

위 설정은 18 x 2 = 36초 동안 연결을 유지합니다.

다음 설정/라인을 변경했습니다./etc/ssh/sshd_configDebian-10 서버 시스템의 파일:

보낸 사람:
ClientAliveInterval 30
ClientAliveCountMax
1보다 큰 설정은 30 x 1 = 30초 동안만 연결을 활성 상태로 유지합니다.

도착하다:

ClientAliveInterval 18
ClientAliveCountMax 2

위 설정은 18 x 2 = 36초 동안 연결을 유지합니다.

(macOS)의 로깅 정보: man ssh_config

ServerAliveCountMax
    Sets the number of server alive messages (see below) which may be
    sent without ssh(1) receiving any messages back from the server.
    If this threshold is reached while server alive messages are being
    sent, ssh will disconnect from the server, terminating the session.
    It is important to note that the use of server alive messages is
    very different from TCPKeepAlive (below).  The server alive messages
    are sent through the encrypted channel and therefore will not be
    spoofable.  The TCP keepalive option enabled by TCPKeepAlive is
    spoofable.  The server alive mechanism is valuable when the client
    or server depend on knowing when a connection has become inactive.

    The default value is 3.  If, for example, ServerAliveInterval (see
    below) is set to 15 and ServerAliveCountMax is left at the default,
    if the server becomes unresponsive, ssh will disconnect after
    approximately 45 seconds.

ServerAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the server, ssh(1) will send a message through the
    encrypted channel to request a response from the server.
    The default is 0, indicating that these messages will not be sent
    to the server.

ConnectionAttempts
    Specifies the number of tries (one per second) to make before exiting.
    The argument must be an integer.  This may be useful in scripts if
    the connection sometimes fails.  The default is 1.

ConnectTimeout
    Specifies the timeout (in seconds) used when connecting to the SSH
    server, instead of using the default system TCP timeout.  This value
    is used only when the target is down or really unreachable, not
    when it refuses the connection.

(Debian Server-3)의 로깅 정보: man sshd_config

ClientAliveCountMax
    Sets the number of client alive messages which may be sent without
    sshd(8) receiving any messages back from the client.  If this threshold
    is reached while client alive messages are being sent, sshd will
    disconnect the client, terminating the session.  It is important to
    note that the use of client alive messages is very different from
    TCPKeepAlive.  The client alive messages are sent through the
    encrypted channel and therefore will not be spoofable.  The TCP
    keepalive option enabled by TCPKeepAlive is spoofable.
    The client alive mechanism is valuable when the client or server
    depend on knowing when a connection has become inactive.

    The default value is 3.  If ClientAliveInterval is set to 15, and
    ClientAliveCountMax is left at the default, unresponsive SSH clients
    will be disconnected after approximately 45 seconds.

ClientAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the client, sshd(8) will send a message through the
    encrypted channel to request a response from the client.  The default
    is 0, indicating that these messages will not be sent to the client.

위 단락에서 언급된 설정이 수정되면 이제 nftables가 ON/활성화되어 있어도 모든 SSH 클라이언트 컴퓨터가 SSH 서버에 연결할 수 있습니다. 현재 SSH를 통한 연결은 nftables 방화벽이 켜져/활성화된 상태에서 약 35~45초가 소요됩니다.

20~40초 안에(Debian ssh- 사이) 또 다른 SSH 터널을 다시 만들고 싶기 때문에 이러한 설정/시간 값을 더욱 미세 조정해야 합니다. 클라이언트 및 Debian SSH 서버).

서버의 nftables가 SSH 로그인을 방지합니다(더 강력한 SSH 키 사용).

답변1

관련 정보