Назад | Перейти на главную страницу

sshd пытается обратный поиск DNS с UseDNS нет

Похоже, что sshd почти всегда пытается выполнить обратный поиск DNS для новых подключений. Для хостов без записи PTR это вызывает задержки в 5 секунд на запрос. Иногда он сразу принимает соединение, иногда пытается разрешить один раз, иногда дважды. Я наблюдал это, используя tcpdump port 53 при попытке подключиться к серверу. Я действительно понятия не имею, почему он иногда пытается искать дважды.

Это кажется довольно частой проблемой, и стандартный ответ: UseDNS no в / etc / ssh / sshd_config. Однако у меня уже есть этот параметр, и sshd все еще пытается выполнить обратный поиск.

Я нашел другое предложение Вот. Я пытался добавить -u0 в / etc / default / ssh, но, похоже, ничего не изменилось.

На данный момент у меня нет идей, любые предложения будут приветствоваться.

В настоящее время наиболее частым виновником является GSSAPI:

/etc/ssh/sshd_config:
GSSAPIAuthentication no

Остальные три виновника платформы Linux были упомянуты в другом ответе:

  • добавить к sshd параметр командной строки -u0
  • устанавливать UseDNS no
  • не использовать from=hostname внутри authorized_keys файлы

Использование DNS = no не запрещает sshd выполнять поиск в DNS, а не отклоняет клиентов, когда записи PTR не совпадают.

-u0 запрещает sshd регистрировать DNS-имена в структуре utmp.

поиск по-прежнему может происходить в зависимости от того, что пользователь имеет в своих authorized_keys.

См. Это для достойного объяснения:

http://lists.freebsd.org/pipermail/freebsd-stable/2006-November/030886.html

Измените их в / etc / ssh / sshd_config Port 22, UseDNS да, UsePAM нет, UseLogin нет,

И сделать: service sshd restart

Ну, прошло какое-то время, но оказалось, что при следующей перезагрузке сервера задержка исчезла. Я понятия не имею, что произошло, но, должно быть, это была одна из тех вещей, которые я пробовал, и, очевидно, просто перезапустить sshd было недостаточно.

В моем случае проблема заключалась в записях в файлах hosts.allow и / или hosts.deny, которые заставляли его выполнять поиск по DNS. Согласно документации, то же самое может произойти с директивами Allow и Deny в файлах конфигурации.

Также отключение аутентификации GSS может помочь с этой проблемой.