2 votes

Erreur intermittente d'OpenSSH ( ssh_exchange_identification : Connexion fermée par l'hôte distant ) sur une IP publique

J'ai rencontré un problème très étrange sur l'un de mes serveurs SSH publics. Il échouait par intermittence avec l'erreur ci-dessous :

ssh_exchange_identification: Connection closed by remote host

Nous savons tous qu'il s'agit d'un produit générique. Laissez-moi vous montrer les logs côté client et côté serveur..,

Sur le client SSH -

OpenSSH_6.6.1, OpenSSL 1.0.1f 6 Jan 2014
debug1: Reading configuration data /etc/ssh/ssh_config  
debug1: /etc/ssh/ssh_config line 19: Applying options for *  
debug2: ssh_connect: needpriv 0  
debug1: Connecting to 139.162.11.185 [139.162.11.185] port 22.  
debug1: Connection established.  
debug1: identity file /home/vivek/.ssh/id_rsa type -1  
debug1: identity file /home/vivek/.ssh/id_rsa-cert type -1  
debug1: identity file /home/vivek/.ssh/id_dsa type -1  
debug1: identity file /home/vivek/.ssh/id_dsa-cert type -1  
debug1: identity file /home/vivek/.ssh/id_ecdsa type -1  
debug1: identity file /home/vivek/.ssh/id_ecdsa-cert type -1  
debug1: identity file /home/vivek/.ssh/id_ed25519 type -1  
debug1: identity file /home/vivek/.ssh/id_ed25519-cert type -1  
debug1: Enabling compatibility mode for protocol 2.0  
debug1: Local version string SSH-2.0-OpenSSH_6.6.1p1 Ubuntu-2ubuntu2.4  
ssh_exchange_identification: Connection closed by remote host  

Sur le serveur SSH

Feb  6 14:49:10 linsing2 sshd[19916]: Connection closed by 124.40.245.75  
Feb  6 14:49:16 linsing2 sshd[19935]: Connection closed by 124.40.245.75  
Feb  6 14:49:20 linsing2 sshd[19937]: Connection closed by 124.40.245.75

Le problème est intermittent.

  • Est-ce dû à une attaque DDOS sur le serveur SSH qui a déjà effectué de nombreuses connexions ?
  • Ou est-ce dû à la limite de Max_Connection sur le serveur SSH ? (Mais Max_Connects fonctionne par réseau, nous avons essayé à partir de 3 réseaux différents et nous avons obtenu la même erreur).
  • Ou bien le nombre de fichiers ou de connexions actuellement ouverts sur le serveur SSH peut-il être en cause ? (Note - Nous n'avons pas beaucoup d'utilisateurs qui utilisent sftp ou ssh)

N'hésitez pas à nous faire part de vos réflexions, cela nous aiderait !

4voto

vivekyad4v Points 424

Il s'agissait en fait d'une attaque DOS qui a été résolue après avoir modifié le port ssh et la variable MaxStartups dans le fichier /etc/ssh/sshd_config en ,

port 2244 MaxStartups 100

Redémarrer le service ,

service sshd restart

3voto

Jakuje Points 6207

Est-ce dû à une attaque DDOS sur le serveur SSH qui a déjà effectué de nombreuses connexions ?

Cela pourrait être le cas. Vous le découvrirez en lançant ps aux | grep sshd pour connaître le nombre de connexions en attente. Ceci est affecté par l'option MaxStartups

Ou est-ce dû à la limite de Max_Connection sur le serveur SSH ? (Mais Max_Connects fonctionne par réseau, nous avons essayé à partir de 3 réseaux différents et nous avons obtenu la même erreur).

Il n'y a pas de limite "Max_Connection" dans le serveur ssh. Il existe une option MaxSessions mais elle ne s'applique qu'au nombre de sessions par connexion, c'est-à-dire au multiplexage.

Le journal semble indiquer que la connexion a été interrompue quelque part au milieu. Pare-feu, autres IDS ?

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X