การส่งต่อพอร์ตระยะไกล SSH ล้มเหลว

การติดตามผล:ดูเหมือนว่าชุดการตัดการเชื่อมต่ออย่างรวดเร็วที่เกิดขึ้นพร้อมกับการใช้งานเซิร์ฟเวอร์เพียงไม่กี่เดือนนั้นอาจเป็นเรื่องบังเอิญและเพิ่งจะเปิดเผยปัญหาที่แท้จริง เหตุผลที่ไม่สามารถเชื่อมต่อใหม่ได้เกือบจะแน่นอนเนื่องจากค่า AliveInterval (คำตอบของ kasperd) การใช้ตัวเลือก ExitOnForwardFailure ควรอนุญาตให้การหมดเวลาเกิดขึ้นอย่างถูกต้องก่อนทำการเชื่อมต่ออีกครั้งซึ่งควรแก้ปัญหาในกรณีส่วนใหญ่ คำแนะนำของ MadHatter (สคริปต์การฆ่า) น่าจะเป็นวิธีที่ดีที่สุดเพื่อให้แน่ใจว่าอุโมงค์สามารถเชื่อมต่อได้แม้ว่าทุกอย่างจะล้มเหลว

ฉันมีเซิร์ฟเวอร์ (A) อยู่หลังไฟร์วอลล์ที่เริ่มต้นช่องสัญญาณย้อนกลับในหลายพอร์ตไปยัง DigitalOcean VPS (B) ขนาดเล็กเพื่อให้ฉันสามารถเชื่อมต่อกับ A ผ่านทางที่อยู่ IP ของ B อุโมงค์ทำงานอย่างต่อเนื่องเป็นเวลาประมาณ 3 เดือน แต่ก็ล้มเหลวทันทีสี่ครั้งใน 24 ชั่วโมงที่ผ่านมา สิ่งเดียวกันเกิดขึ้นชั่วขณะหนึ่งกลับไปที่ผู้ให้บริการ VPS รายอื่น - ใช้งานได้หลายเดือนจากนั้นก็ล้มเหลวอย่างรวดเร็วหลายครั้ง

ฉันมีสคริปต์บนเครื่องที่จะรันคำสั่งอุโมงค์ ( ssh -R *:X:localhost:X address_of_Bสำหรับพอร์ตแต่ละ X) Warning: remote port forwarding failed for listen port Xแต่เมื่อมันรันก็กล่าวว่า

การเข้าไปที่ sshd /var/log/secureบนเซิร์ฟเวอร์จะแสดงข้อผิดพลาดเหล่านี้:

bind: Address already in use
error: bind: Address already in use
error: channel_setup_fwd_listener: cannot listen to port: X

การแก้ปัญหาต้องเริ่มต้น VPS ใหม่ จนกว่าจะถึงตอนนั้นความพยายามในการเชื่อมต่อทั้งหมดจะให้ข้อความ "การส่งต่อพอร์ตระยะไกลล้มเหลว" และจะไม่ทำงาน ตอนนี้มาถึงจุดที่อุโมงค์ใช้เวลาประมาณ 4 ชั่วโมงก่อนหยุด

ไม่มีการเปลี่ยนแปลงอะไรใน VPS และเป็นเครื่องผู้ใช้แบบใช้ครั้งเดียวที่ทำหน้าที่เป็นจุดสิ้นสุดอุโมงค์ย้อนกลับเท่านั้น กำลังใช้งาน OpenSSH_5.3p1 บน CentOS 6.5 ดูเหมือนว่า sshd จะไม่ปิดพอร์ตที่ส่วนท้ายเมื่อการเชื่อมต่อขาดหายไป ฉันกำลังสูญเสียที่จะอธิบายว่าทำไมหรือทำไมมันจะเกิดขึ้นทันทีหลังจากเดือนของการดำเนินงานเกือบสมบูรณ์แบบ

ในการชี้แจงฉันต้องคิดก่อนว่าทำไม sshd ปฏิเสธที่จะฟังพอร์ตหลังจากที่อุโมงค์ล้มเหลวซึ่งดูเหมือนว่าเกิดจาก sshd เปิดพอร์ตทิ้งไว้และไม่เคยปิดพอร์ตเลย นั่นน่าจะเป็นปัญหาหลัก ฉันไม่แน่ใจว่าสิ่งใดที่จะทำให้เกิดพฤติกรรมนี้หลังจากผ่านไปหลายเดือนตามที่ฉันคาดหวัง (เช่นปิดพอร์ตทันทีและอนุญาตให้สคริปต์เชื่อมต่อใหม่)

ฉันเห็นด้วยกับ MadHatter ว่ามีโอกาสที่จะส่งต่อพอร์ตจากการเชื่อมต่อ ssh ที่หมดอายุแล้ว แม้ว่าปัญหาปัจจุบันของคุณจะกลายเป็นสิ่งอื่นคุณสามารถคาดหวังว่าจะพบกับการเชื่อมต่อ ssh ที่หมดอายุดังกล่าวไม่ช้าก็เร็ว

การเชื่อมต่อที่หมดอายุสามารถเกิดขึ้นได้สามวิธี:

• หนึ่งในสองปลายทางถูกรีบูทในขณะที่ปลายอีกด้านหนึ่งของการเชื่อมต่อไม่ได้ทำงานอย่างสมบูรณ์
• หนึ่งในสองปลายทางปิดการเชื่อมต่อ แต่ในเวลาที่การเชื่อมต่อถูกปิดมีการดับชั่วคราวในการเชื่อมต่อ ไฟดับเป็นเวลาสองสามนาทีหลังจากการเชื่อมต่อถูกปิดและอีกปลายหนึ่งไม่เคยเรียนรู้เกี่ยวกับการเชื่อมต่อที่ปิด
• การเชื่อมต่อยังคงทำงานได้อย่างสมบูรณ์ที่จุดปลายทั้งสองของการเชื่อมต่อ ssh แต่บางคนได้วางอุปกรณ์ stateful ระหว่างพวกเขาซึ่งหมดเวลาการเชื่อมต่อเนื่องจากความเกียจคร้าน อุปกรณ์ stateful นี้จะเป็น NAT หรือไฟร์วอลล์ไฟร์วอลล์ที่คุณกล่าวถึงแล้วเป็นผู้ต้องสงสัยหลัก

การพิจารณาว่าสิ่งใดในสามข้อที่เกิดขึ้นนั้นไม่สำคัญอย่างยิ่งเพราะมีวิธีการซึ่งจะจัดการกับทั้งสามอย่าง นั่นคือการใช้ข้อความแบบ keepalive

คุณควรจะดูเป็นClientAliveIntervalคำหลักสำหรับsshd_configและServerAliveIntervalช่วงเวลาสำหรับการหรือssh_config~/.ssh/config

การรันsshคำสั่งในลูปสามารถทำงานได้ดี มันเป็นความคิดที่ดีที่จะแทรกสลีปในลูปด้วยเช่นกันที่คุณจะไม่ทำให้เซิร์ฟเวอร์ท่วมเมื่อการเชื่อมต่อด้วยเหตุผลบางประการล้มเหลว

หากไคลเอนต์เชื่อมต่อใหม่ก่อนที่การเชื่อมต่อจะสิ้นสุดลงบนเซิร์ฟเวอร์คุณสามารถสิ้นสุดในสถานการณ์ที่การเชื่อมต่อ ssh ใหม่นั้นใช้งานได้ แต่ไม่มีการส่งต่อพอร์ต เพื่อหลีกเลี่ยงปัญหานี้คุณต้องใช้ExitOnForwardFailureคำหลักในฝั่งไคลเอ็นต์

คุณสามารถค้นหากระบวนการที่เชื่อมพอร์ตบนเซิร์ฟเวอร์นั้นได้

sudo netstat -apn|grep -w X

ดูเหมือนว่าน่าจะเป็นครึ่งตายsshdแต่ทำไมต้องตั้งสมมติฐานเมื่อคุณมีข้อมูล นอกจากนี้ยังเป็นวิธีที่ดีสำหรับสคริปต์ในการค้นหา PID เพื่อส่งสัญญาณ 9 ถึงก่อนที่จะพยายามนำอุโมงค์ขึ้นมาอีกครั้ง

สำหรับฉันเมื่อsshอุโมงค์ยกเลิกการเชื่อมต่อจะใช้เวลาสักครู่สำหรับการเชื่อมต่อเพื่อรีเซ็ตดังนั้นsshกระบวนการยังคงบล็อกทำให้ฉันไม่มีอุโมงค์ที่ใช้งานอยู่และฉันไม่รู้ว่าทำไม วิธีแก้ไขปัญหาคือใส่sshพื้นหลังด้วย-fและวางไข่การเชื่อมต่อใหม่โดยไม่ต้องรอการเชื่อมต่อเก่าเพื่อรีเซ็ต -o ExitOnForwardFailure=yesสามารถใช้ในการ limt จำนวนของกระบวนการใหม่ การ-o ServerAliveInterval=60ปรับปรุงความน่าเชื่อถือของการเชื่อมต่อปัจจุบันของคุณ

คุณสามารถทำซ้ำsshคำสั่งบ่อยๆพูด a cronหรือในลูปในสคริปต์ของคุณเช่นในตัวอย่างต่อไปนี้เราจะรันsshคำสั่งทุก 3 นาที:

while (1)
do
    ssh -f user@hostname -Rport:host:hostport -N -o ExitOnForwardFailure=yes -o ServerAliveInterval=60
    sleep 180
done

จากประสบการณ์ของฉัน ssh มีนิสัยที่น่ากลัวเล็กน้อยที่จะไม่ออกอย่างหมดจดหาก 'บางสิ่ง' ยังคงทำงานบนระบบรีโมต เช่นเริ่มต้นในพื้นหลัง คุณสามารถทำซ้ำสิ่งนี้โดย:

ssh <server>
while true; do  sleep 60; done&
exit

ssh ของคุณจะออกจากระบบ แต่จะไม่ปิดเซสชัน - จนกว่ากระบวนการรีโมตจะออก (ซึ่งจะไม่เกิดขึ้นเนื่องจากเป็นลูป 'ในขณะที่ใช้งานจริง') มันอาจจะเป็นสิ่งที่คล้ายกันที่เกิดขึ้น - เซสชั่นของคุณมีกระบวนการ 'ติด' ที่ถูกวางไข่โดย ssh พอร์ตยังคงมีการใช้งานอยู่ดังนั้นจึงไม่สามารถนำกลับมาใช้ใหม่ได้โดยกระบวนการโลคัลของคุณ