Início / unix / Perguntas / 793557
Accepted
drjeep
Asked: 2025-04-10 19:45:12 +0800 CST

O limite de PAM maxlogins não está funcionando

  • 772

Desde a atualização do CentOS 7 para o Rocky Linux 8, nosso maxloginslimite de PAM não está mais sendo aplicado para sessões SFTP.

Os usuários do SFTP pertencem ao sftpgrupo e temos isso em/etc/security/limits.d/10-maxlogins.conf

@sftp        -       maxlogins       1

Usamos internal-sftppara sessões SFTP e temos isso em/etc/ssh/sshd_config

Subsystem sftp  internal-sftp -l INFO

Match Group sftp
        ChrootDirectory %h
        ForceCommand internal-sftp
        AllowTcpForwarding no

No entanto, os usuários ainda conseguem abrir > 1 sessão SFTP simultânea. Deveríamos fazer algo diferente no EL8 para impor esses limites?

ATUALIZAÇÃO:
O registro de depuração do PAM está habilitado e é possível verificar se ele está lendo os arquivos de configuração relevantes. No entanto, o limite não é imposto.

Apr 10 16:13:04 sftp-test sshd[40955]: Accepted password for sftptest from 10.3.200.146 port 60976 ssh2
Apr 10 16:13:04 sftp-test sshd[40955]: pam_limits(sshd:session): reading settings from '/etc/security/limits.conf'
Apr 10 16:13:04 sftp-test sshd[40955]: pam_limits(sshd:session): reading settings from '/etc/security/limits.d/10-max-logins.conf'
Apr 10 16:13:04 sftp-test sshd[40955]: pam_limits(sshd:session): checking if sftptest is in group sftp
Apr 10 16:13:04 sftp-test sshd[40955]: pam_limits(sshd:session): process_limit: processing - maxlogins 1 for GROUP
Apr 10 16:13:04 sftp-test sshd[40955]: pam_limits(sshd:session): checking logins for 'sftptest' (maximum of 1)
Apr 10 16:13:04 sftp-test systemd[40960]: pam_unix(systemd-user:session): session opened for user sftptest(uid=1000) by sftptest(uid=0)
Apr 10 16:13:04 sftp-test sshd[40955]: pam_unix(sshd:session): session opened for user sftptest(uid=1000) by sftptest(uid=0)
Apr 10 16:13:26 sftp-test sshd[40986]: Accepted password for sftptest from 10.3.200.146 port 52110 ssh2
Apr 10 16:13:26 sftp-test sshd[40986]: pam_limits(sshd:session): reading settings from '/etc/security/limits.conf'
Apr 10 16:13:26 sftp-test sshd[40986]: pam_limits(sshd:session): reading settings from '/etc/security/limits.d/10-max-logins.conf'
Apr 10 16:13:26 sftp-test sshd[40986]: pam_limits(sshd:session): checking if sftptest is in group sftp
Apr 10 16:13:26 sftp-test sshd[40986]: pam_limits(sshd:session): process_limit: processing - maxlogins 1 for GROUP
Apr 10 16:13:26 sftp-test sshd[40986]: pam_limits(sshd:session): checking logins for 'sftptest' (maximum of 1)
Apr 10 16:13:26 sftp-test sshd[40986]: pam_unix(sshd:session): session opened for user sftptest(uid=1000) by sftptest(uid=0)
linux

1 respostas

  1. Best Answer

    Embora eu tenha respondido a essa pergunta nos fóruns, vou respondê-la aqui também, porque não será específica para o Rocky Linux. Será específica para qualquer versão do Enterprise Linux 8 e 9 (e potencialmente 10).

    Em vez de definir maxlogins, você deveria definir nproc. Isso é apenas um truque para contornar o design de SFTP.

    @sftp hard nproc 4

    Para calcular isso, use a equação 2 * X + 2:

    • 2 processos por SFTPconexão
    • Número de conexões que você deseja limitar (neste caso, 1)
    • + 2O gerenciador de usuários final do systemd consome 2processos por usuário.

    Isso é fácil de verificar. Abaixo, já estou logado na minha máquina.

    [label@cm02 ~]$ who
label    pts/0        2025-04-08 23:09 (router)
[label@cm02 ~]$ cat /etc/security/limits.d/label.conf
label hard nproc 6
[label@cm02 ~]$

    Vamos tentar fazer login novamente.

    [label@sani ~]$ ssh -q label@cm02
Last login: Sat Apr 12 19:22:30 2025 from 10.100.0.140
-bash: fork: retry: Resource temporarily unavailable
-bash: fork: retry: Resource temporarily unavailable
-bash: fork: retry: Resource temporarily unavailable
-bash: fork: retry: Resource temporarily unavailable
-bash: fork: Resource temporarily unavailable
-bash-5.1$ clear
-bash: fork: retry: Resource temporarily unavailable

    Com o sftp, ele irá travar até que finalmente desista.

    [label@sani ~]$ sftp -q cm02
Connection closed

    Se eu fizer logout enquanto o sistema estiver travado, ele eventualmente me dará um aviso.

    [label@sani ~]$ sftp -q cm02
sftp> ls
sftp>
    • 1

relate perguntas