主页 / user-819916

user2149308's questions

Martin Hope
user2149308
Asked: 2020-08-07 23:08:46 +0800 CST
  • 5

我希望传入的 ssh 会话在安全关键服务器不活动时自动断开连接。

我设置了以下设置

TCPKeepAlive no
ClientAliveInterval  30
ClientAliveCountMax 0

我希望 sshd 不会发送 KeepAlive-Packages 由于TCPKeepAlive和ClientAliveCountMax- 并且我的会话将在 30 秒后超时。最重要的是，我认为TCPKeepAlive可以保留其默认值，应该是yes.

我已经检查了这样的现有会话：

root@<server>:/etc/apache2# w
 06:53:51 up 2 days, 21:25,  2 users,  load average: 0,00, 0,00, 0,00
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
_____-ad pts/0    ____________      Do11    6.00s  0.99s  0.00s sshd: _____-admin [priv]
_____-us pts/1    ____________     06:40   13:26   0.02s  0.02s -bash

会话不会超时...

我当然重新启动了 sshd。

root@<server>:/etc/apache2# sshd -T | grep -i "ClientAlive"
clientaliveinterval 30
clientalivecountmax 0

客户端还能发送 KeepAlive-Packages 吗？我无法控制所有连接的客户端版本..

参考资料： https ://www.golinuxcloud.com/disconnect-idle-ssh-session-tcpkeepaliv-linux/ https://secscan.acron.pl/centos7/5/2/13

编辑：TCPKeepAlive yes不会改变行为，会话仍然存在。重新启动 sshd 后，我还启动了一个新会话，以避免在我的 ssh 会话中使用旧设置。

EDIT2：在上面的描述中添加了关键字“incoming”以使其更清楚，我希望我的 ssh 服务器（sshd）在空闲超时后断开连接，因为用户可能会忘记他们打开（和未使用）的 ssh 会话。

EDIT3：仅供参考 - 使用 sshd 版本：

root@<server>:/etc/apache2# dpkg -l openssh-server
Gewünscht=Unbekannt/Installieren/R=Entfernen/P=Vollständig Löschen/Halten
| Status=Nicht/Installiert/Config/U=Entpackt/halb konFiguriert/
         Halb installiert/Trigger erWartet/Trigger anhängig
|/ Fehler?=(kein)/R=Neuinstallation notwendig (Status, Fehler: GROSS=schlecht)
||/ Name           Version            Architektur  Beschreibung
+++-==============-==================-============-=================================================================
ii  openssh-server 1:8.2p1-4ubuntu0.1 amd64        secure shell (SSH) server, for secure access from remote machines
root@<server>:/etc/apache2# sshd -V
unknown option -- V
OpenSSH_8.2p1 Ubuntu-4ubuntu0.1, OpenSSL 1.1.1f  31 Mar 2020

按预期工作

  • Debian 10（OpenSSH_7.9p1 Debian-10+deb10u2，OpenSSL 1.1.1d 2019 年 9 月 10 日）*
  • Ubuntu 16.04（OpenSSH_7.2p2 Ubuntu-4ubuntu2.8，OpenSSL 1.0.2g 2016 年 3 月 1 日）

*对于 Debian 10，我想比较sshd -T. 不同的选项：casignaturealgorithms, gssapikexalgorithms, hostbasedacceptedkeytypes, hostkeyalgorithms, kexalgorithms, passwordauthentication, permitrootlogin, pubkeyacceptedkeytypes, pubkeyauthoptions,securitykeyprovider

我只设置了passwordauthentication no

我从同一主机连接，唯一的区别是我对有问题的服务器使用了 pubkey 身份验证，而对 Debian 10 服务器使用了密码身份验证。

抱歉，它变长了..它有点变成了一个错误报告..

在 Debian 10 上：

  • ClientAliveInterval 10, ClientAliveCountMax 3:每 10 秒ssh -v记录一次消息debug1: client_input_channel_req: channel 0 rtype [email protected] reply 1
  • ClientAliveInterval 10, ClientAliveCountMax 0: 会话在 10 秒后断开。

在 Ubuntu 20.04 上：

  • ClientAliveInterval 10, ClientAliveCountMax 0:每 10 秒ssh -v记录一次消息debug1: client_input_channel_req: channel 0 rtype [email protected] reply 1
ssh sshd
Martin Hope
user2149308
Asked: 2020-07-24 06:22:47 +0800 CST
  • 1

我运行以下代码片段：

#!/bin/bash
for i in $(seq 1 30); do
{
        # output missing
        #ssh root@MYHOST "echo hi"

        # works
        #bash -l -c "echo hi"
        #echo hi
}&
done | wc -l

如果我并行运行 ssh（30 次）并计算返回的行数，我会收到一个随机数量，总是小于 30。如果我echo hi并行运行（或在它自己的 shell 中），我会收到所有 30 行。

这里出了什么问题？

PS：我知道还有其他并行化工具，例如 parallel 或 pssh，但我尝试理解这里描述的问题。

ssh bash
Martin Hope
user2149308
Asked: 2018-04-19 23:49:07 +0800 CST
  • 10

目前，我们的 Ubuntu 客户端在系统启动期间通过 /etc/fstab 连接到 cifs 共享。这有以下缺点：

  • 密码以纯文本形式作为挂载选项写入
  • 密码应该过期，但如果过期，则必须在每个客户端上更改 /etc/fstab。因此，大多数用于挂载的密码目前都不会过期
  • CIFS 共享安装在连接用户及其权限下，因此不会显示在 Ubuntu 上实际使用该共享的用户。副作用是权限模糊，因为 Ubuntu 用户未列在 Windows 文件系统权限中。

我已经在我们的 Ubuntu-Clients 上成功测试的内容：在用户登录时使用 kerberos 身份验证 - 所以有一个 kerberos 票可供用户使用。

使用该 kerberos 票证 (sudo) 在 systemd 用户服务中安装 cifs 共享

  • PRO：适用于图形登录以及 ssh
  • PRO：共享可以像本地文件系统一样访问
  • CON：如果我挂载在像 /servers/mymount 这样的全局挂载点上，我必须小心，不要覆盖多个用户的挂载。然后，连接用户将是任何后续用户都将使用其权限的用户。

使用该 kerberos 票证从文件浏览器 nautilus 和 thunar 动态挂载共享

  • PRO：如果通过文件浏览器建立与共享的连接，则不需要额外的脚本或服务
  • PRO：共享已安装到用户上下文中，因此绝对需要用户许可。如果用户没有权限，仍然有可能将共享连接到另一个用户。
  • PRO：安装可以通过 /etc/profile 使用 gvfs-mount 自动化
  • PRO：不需要 sudo 权限，用户可以根据需要 gvfs-mount 和 -unmount，通过文件浏览器非常直观
  • 缺点：没有实际的挂载点，ls、cp 等标准 unix 命令不起作用。我将不得不使用 gvfs-* 替代品。此时，上述带有 mount.cifs 的解决方案似乎更好。

所以我想要像访问 nfs 共享一样访问 cifs 共享。

  • 挂载期间未使用密码
  • 应使用访问用户的权限
  • 文件系统的行为应该像本地文件系统（标准的 unix 命令应该可以工作）

我可以多次将 CIFS 共享挂载到每个用户的主目录中，但是

有没有办法在引导期间由用户 root 挂载 CIFS 共享，而不是指定连接用户，然后使用访问用户的权限（例如通过 kerberos 票证）？

提前谢谢你，巴斯蒂安

permissions mount cifs kerberos