어떤 사용자 제한이 발생했는지 어떻게 알 수 있나요?

Question 1

nproc이 문제입니다.

[root@localhost ~]# ps -eLf | grep pascal | wc -l
4068
[root@localhost ~]# cat /etc/security/limits.d/20-nproc.conf
# Default limit for number of user's processes to prevent
# accidental fork bombs.
# See rhbz #432903 for reasoning.

*          soft    nproc     4096
root       soft    nproc     unlimited
[root@localhost ~]#

manlimits.conf 상태:

   Also, please note that all limit settings are set per login. They are
   not global, nor are they permanent; existing only for the duration of
   the session. One exception is the maxlogin option, this one is system
   wide. But there is a race, concurrent logins at the same time will not
   always be detected as such but only counted as one.

nproc은 로그인할 때마다 강제로 적용되지만 전역적으로 계산되는 것 같습니다. 따라서 로그인된 nproc 8192 및 5000 스레드를 사용하는 것은 문제가 되지 않지만 동일한 UID에 대해 동시에 로그인된 nproc 4096 및 50 스레드를 사용하면 전역 개수(5050)가 nproc 설정보다 높기 때문에 더 많은 스레드를 생성할 수 없습니다. .

[root@localhost ~]# ps -eLf | grep pascal | grep google/chrome | wc -l
3792

Answer

nproc이 문제입니다.

[root@localhost ~]# ps -eLf | grep pascal | wc -l
4068
[root@localhost ~]# cat /etc/security/limits.d/20-nproc.conf
# Default limit for number of user's processes to prevent
# accidental fork bombs.
# See rhbz #432903 for reasoning.

*          soft    nproc     4096
root       soft    nproc     unlimited
[root@localhost ~]#

manlimits.conf 상태:

   Also, please note that all limit settings are set per login. They are
   not global, nor are they permanent; existing only for the duration of
   the session. One exception is the maxlogin option, this one is system
   wide. But there is a race, concurrent logins at the same time will not
   always be detected as such but only counted as one.

nproc은 로그인할 때마다 강제로 적용되지만 전역적으로 계산되는 것 같습니다. 따라서 로그인된 nproc 8192 및 5000 스레드를 사용하는 것은 문제가 되지 않지만 동일한 UID에 대해 동시에 로그인된 nproc 4096 및 50 스레드를 사용하면 전역 개수(5050)가 nproc 설정보다 높기 때문에 더 많은 스레드를 생성할 수 없습니다. .

[root@localhost ~]# ps -eLf | grep pascal | grep google/chrome | wc -l
3792

Question 2

계정에 전혀 접근할 수 없다면, 문제가 무엇인지 파악하기 어려울 것입니다. 하지만 시스템이나 애플리케이션 로그를 확인하세요. 일부 프로그램이 거기에 단서를 남기기를 바랍니다(특히 실패한 로그인 시도에 대해).

실험을 위해 프로그램을 실행할 수 있는 경우 각 한계 값을 늘리고 작동 시기와 시도가 실패(및 표시)되는 시기를 확인하여 어느 한계에 도달했는지 알 수 있습니다 EAGAIN. 각 값에 사용된 리소스를 나열하는 것도 가능합니다. 모든 한도에 대한 데이터를 수집하는 유틸리티는 생각나지 않지만 아마도 하나는 있을 것입니다.

문제가 커널 제한이라고 가정하면 이러한 문제는 다음 목록에 나열되어 있습니다.setrlimit매뉴얼 페이지. 각 사용자 ID에 적용되는 내용은 다음과 같습니다.

RLIMIT_MEMLOCK— 스왑 불가능한 메모리의 크기입니다. 로그인이 차단되어서는 안 되며, 스왑 불가능한 메모리를 요청하는 프로그램은 거의 없습니다.
RLIMIT_MSGQUEUE— 메시지 대기열의 크기입니다. 로그인은 차단되어서는 안 되며 메시지 큐를 사용하는 프로그램은 거의 없습니다.
RLIMIT_NPROC— 최대 프로세스 수. 이건 확실히~ 할 것이다도달하면 로그인을 차단합니다. 제한을 늘리면 /etc/security/limits.conf기존 세션에는 영향을 미치지 않지만 새로운 프로세스에는 영향을 미치므로 시스템 관리자가 값을 늘리면 사용자가 로그인할 수 있습니다.
RLIMIT_SIGPENDING— 처리할 최대 신호 수입니다. 로그인은 차단되어서는 안 되며 sigqueue대기열 신호를 사용하는 프로그램은 거의 없습니다.

따라서 프로세스에 대한 제한이 가장 가능성이 높습니다. 실행 중인 셸에 액세스할 수 있는 경우 프로그램을 실행해 보면 오류가 매우 분명합니다.

$ ls
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: Resource temporarily unavailable

이 한도의 인쇄물을 사용할 수 있습니다 ulimit -u. 문제의 사용자로 실행 중인 쉘에 대한 액세스 권한이 있고 해당 사용자가 아직 setuid 프로그램을 실행하지 않은 경우 다음을 사용할 수 있습니다. ( 사용자가 링크를 읽을 수 있는 커널 스레드 set /proc/*/task/*/cwd/.; echo $#나열 , 이는 사용자가 cwd프로세스).

Answer

계정에 전혀 접근할 수 없다면, 문제가 무엇인지 파악하기 어려울 것입니다. 하지만 시스템이나 애플리케이션 로그를 확인하세요. 일부 프로그램이 거기에 단서를 남기기를 바랍니다(특히 실패한 로그인 시도에 대해).

실험을 위해 프로그램을 실행할 수 있는 경우 각 한계 값을 늘리고 작동 시기와 시도가 실패(및 표시)되는 시기를 확인하여 어느 한계에 도달했는지 알 수 있습니다 EAGAIN. 각 값에 사용된 리소스를 나열하는 것도 가능합니다. 모든 한도에 대한 데이터를 수집하는 유틸리티는 생각나지 않지만 아마도 하나는 있을 것입니다.

문제가 커널 제한이라고 가정하면 이러한 문제는 다음 목록에 나열되어 있습니다.setrlimit매뉴얼 페이지. 각 사용자 ID에 적용되는 내용은 다음과 같습니다.

RLIMIT_MEMLOCK— 스왑 불가능한 메모리의 크기입니다. 로그인이 차단되어서는 안 되며, 스왑 불가능한 메모리를 요청하는 프로그램은 거의 없습니다.
RLIMIT_MSGQUEUE— 메시지 대기열의 크기입니다. 로그인은 차단되어서는 안 되며 메시지 큐를 사용하는 프로그램은 거의 없습니다.
RLIMIT_NPROC— 최대 프로세스 수. 이건 확실히~ 할 것이다도달하면 로그인을 차단합니다. 제한을 늘리면 /etc/security/limits.conf기존 세션에는 영향을 미치지 않지만 새로운 프로세스에는 영향을 미치므로 시스템 관리자가 값을 늘리면 사용자가 로그인할 수 있습니다.
RLIMIT_SIGPENDING— 처리할 최대 신호 수입니다. 로그인은 차단되어서는 안 되며 sigqueue대기열 신호를 사용하는 프로그램은 거의 없습니다.

따라서 프로세스에 대한 제한이 가장 가능성이 높습니다. 실행 중인 셸에 액세스할 수 있는 경우 프로그램을 실행해 보면 오류가 매우 분명합니다.

$ ls
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: Resource temporarily unavailable

이 한도의 인쇄물을 사용할 수 있습니다 ulimit -u. 문제의 사용자로 실행 중인 쉘에 대한 액세스 권한이 있고 해당 사용자가 아직 setuid 프로그램을 실행하지 않은 경우 다음을 사용할 수 있습니다. ( 사용자가 링크를 읽을 수 있는 커널 스레드 set /proc/*/task/*/cwd/.; echo $#나열 , 이는 사용자가 cwd프로세스).

Question 3

운영 체제가 프로그램을 실행하려고 시도했지만 실패할 때 어떤 시스템 호출이 발생하는지 알아보세요. 사용스트레스

매우 간단하기를 바랍니다. 릴리스 추적이 없는 경우.

일반적으로 말해서, 더 많은 정보를 수집하려고 노력하는 것 외에는 선택의 여지가 없습니다.

Answer

운영 체제가 프로그램을 실행하려고 시도했지만 실패할 때 어떤 시스템 호출이 발생하는지 알아보세요. 사용스트레스

매우 간단하기를 바랍니다. 릴리스 추적이 없는 경우.

일반적으로 말해서, 더 많은 정보를 수집하려고 노력하는 것 외에는 선택의 여지가 없습니다.

Question 4

nproc당신은 확신할 수 있습니다https://unix.stackexchange.com/a/289589/8337

-n식별할 수 있는 파일을 엽니다.https://stackoverflow.com/a/21752125/32453

나머지는 불확실합니다.

골드 레벨에 도달할 때까지 한 번에 하나씩 제한을 늘릴 수 있을까요? :)

Answer

nproc당신은 확신할 수 있습니다https://unix.stackexchange.com/a/289589/8337

-n식별할 수 있는 파일을 엽니다.https://stackoverflow.com/a/21752125/32453

나머지는 불확실합니다.

골드 레벨에 도달할 때까지 한 번에 하나씩 제한을 늘릴 수 있을까요? :)

어떤 사용자 제한이 발생했는지 어떻게 알 수 있나요?

답변1

답변2

답변3

답변4

관련 정보