转载: Linux使用ssh超时断开连接的真正原因 2020-06-08 默认分类 暂无评论 112 次阅读 <article> <div class="container"> <div class="row"> <div class="col-lg-8 col-lg-offset-2 col-md-10 col-md-offset-1 post-container"> <h2 id="一挖坑">一、挖坑</h2> <p>这篇的起因主要是来自上一个问题「<a href="/blog/iterm2-ssh-session-idle.html" target="_blank">iTerm2中ssh保持连接不断开</a>」。</p> <p>原本以为是个很常见的小问题，随手一搜，解决办法一大堆，试了试可行，就觉得没什么问题了。但，正因为觉得太简单了，在文末去查看了一下服务端配置，想找找问题起因，结果却发现开辟了一个深坑……</p> <p>查看的默认配置：</p> <div class="language-shell highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="nv">$ </span><span class="nb">echo</span> <span class="nv">$TMOUT</span> <span class="nv">$ </span> </code></pre></div></div> <div class="language-shell highlighter-rouge"><div class="highlight"><pre class="highlight"><code><span class="c"># ...</span> <span class="c">#TCPKeepAlive yes</span> <span class="c"># ...</span> <span class="c">#ClientAliveInterval 0</span> <span class="c">#ClientAliveCountMax 3</span> <span class="c"># ...</span> </code></pre></div></div> <h2 id="二入坑">二、入坑</h2> <h3 id="1提问">1、提问</h3> <p>提个问题：既然ssh是空闲过久导致连接超时而断开，那么<code class="highlighter-rouge">「ssh默认是多久时间，会自动断开连接？」</code></p> <p>结果翻遍大半个搜索引擎……全都是诸如「如何设置，才能让ssh不超时自动断」这样的鬼title，而且大部分都是互相抄，复制粘贴的内容……而我想问的问题是「到底多久超时」，却没人说过……或者说，其实跟本没有ssh超时这一说？！</p> <p>再提个问题：如果ssh默认设置都没有限制，那<code class="highlighter-rouge">「为什么ssh会断开连接？」</code></p> <p>本以为是ssh自动断开超时连接的，但通过配置看到，默认值中并没有做任何限制，那么理论上，ssh的连接是不会断开的。那到底是谁，干了这件「坏事」？</p> <h3 id="2再问">2、再问</h3> <p>实在没什么头绪，跑到QQ群问了一番，结果真有大神回应，并且顺利找到了线索！</p> <blockquote> <p>最后通过各种摸索，终于知道了问题的主要原因，因为连接是可以的，只是会超时断开，根据网络结构来看，问题就可能出现在一下这几个部分[<sup id="fnref:note_0"><a href="#fn:note_0" class="footnote">1</a></sup>] ：<br> 1. 服务器存在防火墙，会关闭超时空闲连接，或设置了关闭超时空闲连接。<br> 2. 客服端和服务器之间存在路由器，路由器也可能带有防火墙，会关闭超时空闲连接。<br> 3. 客服端存在防火墙，会关闭超时空闲连接。</p> </blockquote> <p>原来，问题出在<strong>防火墙</strong>！！</p> <h3 id="3追问">3、追问</h3> <p>为什么会是防火墙呢？根据大神指点：在iptables的一些NAT配置说明里有提到——</p> <blockquote> <p>4.3.6 State match 状态匹配扩展要有内核里的连接跟踪代码的协助，因为它是从连接跟踪机制中得到包的状态的。这样我们就可以了解连接所处的状态。它几乎适用于所有的协议，包括那些无状态的协议，如ICMP和UDP。<strong>针对每个连接都有一个缺省的超时值，如果连接的时间超过了这个值，那么这个连接的记录就被会从连接跟踪的记录数据库中删除，也就是说连接就不再存在了。</strong>这个match必须有-m state作为前提才能使用。状态机制的详细内容在章节状态机制中。[<sup id="fnref:note_1"><a href="#fn:note_1" class="footnote">2</a></sup>]</p> </blockquote> <blockquote> <p>NAT firewalls like to time out idle sessions to keep their state tables clean and their memory footprint low.<br> <strong>NAT防火墙喜欢对空闲的会话进行超时处理，以确保它们状态表的干净和内存的低占用率。</strong><br> Some firewalls are nice, and let you idle for up to a day or so; some are gestapo and terminate your session after 5 minutes.<br> <strong>一些防火墙比较友好，允许你的空闲会话时间为一天甚至超过一天；另一些却如盖世太保，5分钟空闲就终止你的会话。</strong>[<sup id="fnref:note_2"><a href="#fn:note_2" class="footnote">3</a></sup>]</p> </blockquote> <p>通过这段描述（好吧，其实这段我没看得太透彻-0-。看来平时缺少些TCP等的知识细节的积累，对处理问题时的一些方向，线索，还是会有不少的障碍的。），我们就比较能大致想到断开的原因了——</p> <p><strong>通过ssh连接后，客户端和服务端长时间没响应时，在两方机器设置中均没任何限制，但在各自的防火墙，或是中转网络连接路由的防火墙中，出现了「闲置超时断开」的缺省机制！</strong></p> <h2 id="三填坑">三、填坑</h2> <p>总算知道了问题所在。既然如此，那就可以「对症下药」了：<strong>让连接「忙」起来，别「闲」着！</strong></p> <p>方法有几种，选其一即可。</p> <h3 id="1修改服务端配置">1、修改服务端配置</h3> <p><img class="post-content-img" src="http://source.bluebiu.com/posts//blog/linux-ssh-session-alive/server_sshd_config.png"/></p> <p><code class="highlighter-rouge">TCPKeepAlive yes</code> #表示TCP保持连接不断开<br> <code class="highlighter-rouge">ClientAliveInterval 300</code> #指定服务端向客户端请求消息的时间间隔，单位是秒，默认是0，不发送。设置个300表示5分钟发送一次（注意，这里是服务端主动发起），然后等待客户端响应，成功，则保持连接。<br> <code class="highlighter-rouge">ClientAliveCountMax 3</code> #指服务端发出请求后客户端无响应则自动断开的最大次数。使用默认给的3即可。<br> （注意：TCPKeepAlive必须打开，否则直接影响后面的设置。ClientAliveInterval设置的值要小于各层防火墙的最小值，不然，也就没用了。）</p> <p>注意：最后要重启sshd服务才生效<br> <code class="highlighter-rouge">sudo /etc/init.d/ssh restart</code></p> <p>修改服务端的配置往往会比较麻烦，也涉及到权限问题，以及安全问题。还是比较推荐下面的方法。</p> <h3 id="2修改客户端配置">2、修改客户端配置</h3> <p><code class="highlighter-rouge">vim ~/.ssh/config</code></p> <div class="language-shell highlighter-rouge"><div class="highlight"><pre class="highlight"><code>Host <span class="k">*</span> ServerAliveInterval 60 </code></pre></div></div> <p>这个在上一个问题「<a href="/blog/iterm2-ssh-session-idle.html" target="_blank">iTerm2中ssh保持连接不断开</a>」中有说到的方案。<br> <code class="highlighter-rouge">Host *</code> #表示需要启用该规则的服务端（域名或ip）<br> <code class="highlighter-rouge">ServerAliveInterval 60</code> #表示没60秒去给服务端发起一次请求消息（这个设置好就行了）<br> <code class="highlighter-rouge">ServerAliveCountMax 3</code> #表示最大连续尝试连接次数（这个基本不用设置）</p> <h3 id="3修改连接工具的配置">3、修改连接工具的配置</h3> <p>通过改变连接工具的一些默认配置，把keepalive的配置打开起来即可：</p> <ul> <li>secureCRT：会话选项 - 终端 - 反空闲 - 发送NO-OP每xxx秒，设置一个非0值。</li> <li>putty：Connection - Seconds between keepalive(0 to turn off)，设置一个非0值。</li> <li>iTerm2：profiles - sessions - When idle - send ASCII code.</li> <li>XShell：session properties - connection - Keep Alive - Send keep alive message while this session connected. Interval [xxx] sec.</li> </ul> <p>当然，用这个办法的副作用也是有的，比如iTerm2会出现一些并不想输入的字符、vim会有些多余字符插入等等，这些情况就按个人的需要酌情取舍了。</p> <h3 id="4连接参数-o">4、连接参数-o</h3> <p><code class="highlighter-rouge">ssh -o ServerAliveInterval=30 user@host</code></p> <h2 id="四坑不停">四、坑不停</h2> <p>上面基本就把现象，原因，处理方法都说得差不多了，不过，这里还要多说两句。</p> <p>一般来说，<strong>不建议修改服务端。</strong>会涉及到权限问题，以及安全问题。还是比较推荐修改客服端或工具等的方法。查的过程有看到过说关于抓包看到服务器发包时握手问题的，具体原因……</p> <p>还有，细心的读者可能还会发现，「三、1」中提到的<code class="highlighter-rouge">TCPKeepAlive</code>，其实还有更深一层的意思和相关作用。但这里涉及的TCP心跳包，保活，探测报文等等……</p> <p>与上面搭配的还有系统变量<code class="highlighter-rouge">echo $TMOUT</code>……</p> <p>对上面提到的防火墙问题，前文提到的QQ群大神又帮忙往下查一查，告知还可以看到一个关于防火墙配置时的参数<code class="highlighter-rouge">ip_conntrack_tcp_timeout_established</code>[<sup id="fnref:note_3"><a href="#fn:note_3" class="footnote">4</a></sup>]，要研究下这个参数以及其所在文件的设置详情……</p> <p>好吧……总结一下就是，有时从一个比较「小」的坑，可能就这样不知不觉的牵扯到了一堆底层的知识，一不留神就蒙逼了……</p> <p>不过，这种能够不断的挖掘深坑，坑中有坑，坑复一坑，坑坑向上的感觉，总的来说还是非常有意思的。以后要继续发掘……</p> <p>对于开头提到的问题，至少目前是可以「见好就收」了。对于期间遇到的一些「既有深度又有广度」的问题，本文无法一一兼顾。一口吃不下一个广西粽，一铲填不平全部的坑，暂时不能一下子研究到位的，还可以保持关注，记录下来。后面有兴趣的话，让我们再慢慢揭开它们的面纱吧。:)</p> <h2 id="五参考文档">五、参考文档</h2> <ul> <li><a href="http://www.cnblogs.com/kevingrace/p/6110842.html" target="_blank">Linux系统下的ssh使用(依据个人经验总结)</a> （有alive相关的ssh服务端和客服端的配置）</li> <li><a href="http://blog.chinaunix.net/uid-20395453-id-3264845.html" target="_blank">ssh配置讲解大全</a>（里面有详细的debug过程，tcpdump抓包信息）</li> <li><a href="http://www.cnblogs.com/whatlonelytear/p/5532433.html" target="_blank">客户端连接linux经常间隔性断开链接</a> （点出根源是防火墙问题）</li> <li><a href="http://blog.chinaunix.net/uid-10697776-id-3341317.html" target="_blank">ssh 设置超时时间</a>（文中有一段英文以及翻译，很有价值）</li> <li><a href="http://lilinji.blog.51cto.com/5441000/1129350" target="_blank">linux 配置防火墙 配置nat转发服务</a>（提到ip_conntrack_tcp_timeout_established，还有防火墙iptables，NAT等配置，值得研究学习）</li> </ul> <hr> <h6 id="注释">注释:</h6> <div class="footnotes"> <ol> <li id="fn:note_0"> <a href="http://www.cnblogs.com/whatlonelytear/p/5532433.html" target="_blank">http://www.cnblogs.com/whatlonelytear/p/5532433.html</a> <a href="#fnref:note_0" class="reversefootnote">↩</a> </li> <li id="fn:note_1"> <a href="http://www.360doc.com/content/16/0627/16/1157518_571159455.shtml" target="_blank">http://www.360doc.com/content/16/0627/16/1157518_571159455.shtml</a> <a href="#fnref:note_1" class="reversefootnote">↩</a> </li> <li id="fn:note_2"> <a href="http://blog.chinaunix.net/uid-10697776-id-3341317.html" target="_blank">http://blog.chinaunix.net/uid-10697776-id-3341317.html</a> <a href="#fnref:note_2" class="reversefootnote">↩</a> </li> <li id="fn:note_3"> <a href="http://lilinji.blog.51cto.com/5441000/1129350" target="_blank">http://lilinji.blog.51cto.com/5441000/1129350</a> <a href="#fnref:note_3" class="reversefootnote">↩</a> </li> </ol> </div> <div class="praise-middle"> <li class="thumbs_up_button leancloud_like fa fa-thumbs-o-up " aria-hidden="true" title="支持一下" data-id="/blog/linux-ssh-session-alive.html" data-flag-title="Linux使用ssh超时断开连接的真正原因"> 赞 <span class="leancloud_count_like">78</span> </li> <li class="thumbs_down_button leancloud_unlike fa fa-thumbs-o-down " aria-hidden="true" title="批评一下" data-id="/blog/linux-ssh-session-alive.html" data-flag-title="Linux使用ssh超时断开连接的真正原因"> 踩 <span class="leancloud_count_unlike">1</span> </li> </div> <link rel="stylesheet" href="http://source.bluebiu.com/plugin/leancloud/praises/praises.css"> <script src="http://source.bluebiu.com/plugin/leancloud/praises/praises.js"> </script> <blockquote> <!-- 这里baseurl没办法咯，where+map后面没法用prepend -160201 --> <p>分类：「 <a href="/categories.html#blog" target="_blank">blog</a> 」</p> <p>发表时间：2017-01-24 14:01:52</p> <p>最后更新：2017-01-28 20:39:23</p> <p>转载请注明原作者及出处：「 <a href="http://bluebiu.com" target="_blank">biubiu</a> - <a href="http://bluebiu.com/blog/linux-ssh-session-alive.html" target="_blank">http://bluebiu.com/blog/linux-ssh-session-alive.html</a> 」</p> </blockquote> <!-- end转载声明 --> <hr> <!-- 畅言评论 -160130 --> </div> </div> </div> </article> 标签: ssh 转载请注明文章来源 本作品采用 知识共享署名-相同方式共享 4.0 国际许可协议 进行许可。