サーバーのnftablesがSSHログインを防止します（より強力なSSHキーを使用）。

Question

nftablesファイアウォールを使用するときに大きなSSHキーとSSH接続を使用すると、SSHがさまざまなコンポーネントを処理して通過するのに少し時間がかかるため、SSH認証プロセス全体に時間がかかりますが、指定/設定した時間設定で十分ですしませんでした。

nftablesが有効/無効になっていると、古いmacOSシステムからServer-3へのSSH接続には通常約10秒かかります。（したがって、nftablesがロード/実行されていない場合は、初期時間設定である20秒または18秒で十分です。）
しかし、SSHサーバーでnftablesがロードされ、開かれて有効になっている場合、古いmacOSシステム（およびサーバー側のnftablesネットワークパケットフィルタリングアクティビティなど）このSSH認証プロセスを完了するには、さらに15〜20秒が必要です。

これ解決策はい: 制限時間/間隔/活動長の値を増やす（ServerAliveInterval+ServerAliveCountMax と ClientAliveInterval+生きているクライアントの最大数)、または、タイムアウト設定の削除（デフォルト値の使用）、次のようになります。

この行を削除/無効化（またはコメントアウト）します。~/.ssh/configmacOS SSHクライアントコンピュータのファイル：

# ConnectTimeout 30
# ConnectTimeout 15
# ConnectTimeout 18
# ConnectionAttempts 1

~/.ssh/config ファイルで次の設定/行を変更しました。

送信者：
ServerAliveInterval 20
ServerAliveCountMax
1より大きい設定は、20 x 1 = 20秒間のみ接続をアクティブに保ちます。

到着する：

ServerAliveInterval 18  
ServerAliveCountMax 2

上記の設定は、18 x 2 = 36秒間接続を維持します。

次の設定/ラインを変更しました。/etc/ssh/sshd_configDebian-10 サーバーシステムのファイル:

送信者：
ClientAliveInterval 30
ClientAliveCountMax
1より大きい設定は、30 x 1 = 30秒間のみ接続をアクティブに保ちます。

到着する：

ClientAliveInterval 18
ClientAliveCountMax 2

上記の設定は、18 x 2 = 36秒間接続を維持します。

（macOS）のログ情報：man ssh_config

ServerAliveCountMax
    Sets the number of server alive messages (see below) which may be
    sent without ssh(1) receiving any messages back from the server.
    If this threshold is reached while server alive messages are being
    sent, ssh will disconnect from the server, terminating the session.
    It is important to note that the use of server alive messages is
    very different from TCPKeepAlive (below).  The server alive messages
    are sent through the encrypted channel and therefore will not be
    spoofable.  The TCP keepalive option enabled by TCPKeepAlive is
    spoofable.  The server alive mechanism is valuable when the client
    or server depend on knowing when a connection has become inactive.

    The default value is 3.  If, for example, ServerAliveInterval (see
    below) is set to 15 and ServerAliveCountMax is left at the default,
    if the server becomes unresponsive, ssh will disconnect after
    approximately 45 seconds.

ServerAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the server, ssh(1) will send a message through the
    encrypted channel to request a response from the server.
    The default is 0, indicating that these messages will not be sent
    to the server.

ConnectionAttempts
    Specifies the number of tries (one per second) to make before exiting.
    The argument must be an integer.  This may be useful in scripts if
    the connection sometimes fails.  The default is 1.

ConnectTimeout
    Specifies the timeout (in seconds) used when connecting to the SSH
    server, instead of using the default system TCP timeout.  This value
    is used only when the target is down or really unreachable, not
    when it refuses the connection.

（Debian Server-3）のログ情報：man sshd_config

ClientAliveCountMax
    Sets the number of client alive messages which may be sent without
    sshd(8) receiving any messages back from the client.  If this threshold
    is reached while client alive messages are being sent, sshd will
    disconnect the client, terminating the session.  It is important to
    note that the use of client alive messages is very different from
    TCPKeepAlive.  The client alive messages are sent through the
    encrypted channel and therefore will not be spoofable.  The TCP
    keepalive option enabled by TCPKeepAlive is spoofable.
    The client alive mechanism is valuable when the client or server
    depend on knowing when a connection has become inactive.

    The default value is 3.  If ClientAliveInterval is set to 15, and
    ClientAliveCountMax is left at the default, unresponsive SSH clients
    will be disconnected after approximately 45 seconds.

ClientAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the client, sshd(8) will send a message through the
    encrypted channel to request a response from the client.  The default
    is 0, indicating that these messages will not be sent to the client.

上記の段落で説明した設定が変更されたら、nftablesがオン/アクティブになっていても、すべてのSSHクライアントコンピュータがSSHサーバーに接続できるようになりました。現在、SSHを介した接続にはnftablesファイアウォールがオン/アクティブになってから約35〜45秒かかります。

20〜40秒以内に別のSSHトンネルを再作成したいので、これらの設定/時間値をさらに微調整する必要があります。クライアントとDebian SSHサーバー）。

Answer 1

nftablesファイアウォールを使用するときに大きなSSHキーとSSH接続を使用すると、SSHがさまざまなコンポーネントを処理して通過するのに少し時間がかかるため、SSH認証プロセス全体に時間がかかりますが、指定/設定した時間設定で十分ですしませんでした。

nftablesが有効/無効になっていると、古いmacOSシステムからServer-3へのSSH接続には通常約10秒かかります。（したがって、nftablesがロード/実行されていない場合は、初期時間設定である20秒または18秒で十分です。）
しかし、SSHサーバーでnftablesがロードされ、開かれて有効になっている場合、古いmacOSシステム（およびサーバー側のnftablesネットワークパケットフィルタリングアクティビティなど）このSSH認証プロセスを完了するには、さらに15〜20秒が必要です。

これ解決策はい: 制限時間/間隔/活動長の値を増やす（ServerAliveInterval+ServerAliveCountMax と ClientAliveInterval+生きているクライアントの最大数)、または、タイムアウト設定の削除（デフォルト値の使用）、次のようになります。

この行を削除/無効化（またはコメントアウト）します。~/.ssh/configmacOS SSHクライアントコンピュータのファイル：

# ConnectTimeout 30
# ConnectTimeout 15
# ConnectTimeout 18
# ConnectionAttempts 1

~/.ssh/config ファイルで次の設定/行を変更しました。

送信者：
ServerAliveInterval 20
ServerAliveCountMax
1より大きい設定は、20 x 1 = 20秒間のみ接続をアクティブに保ちます。

到着する：

ServerAliveInterval 18  
ServerAliveCountMax 2

上記の設定は、18 x 2 = 36秒間接続を維持します。

次の設定/ラインを変更しました。/etc/ssh/sshd_configDebian-10 サーバーシステムのファイル:

送信者：
ClientAliveInterval 30
ClientAliveCountMax
1より大きい設定は、30 x 1 = 30秒間のみ接続をアクティブに保ちます。

到着する：

ClientAliveInterval 18
ClientAliveCountMax 2

上記の設定は、18 x 2 = 36秒間接続を維持します。

（macOS）のログ情報：man ssh_config

ServerAliveCountMax
    Sets the number of server alive messages (see below) which may be
    sent without ssh(1) receiving any messages back from the server.
    If this threshold is reached while server alive messages are being
    sent, ssh will disconnect from the server, terminating the session.
    It is important to note that the use of server alive messages is
    very different from TCPKeepAlive (below).  The server alive messages
    are sent through the encrypted channel and therefore will not be
    spoofable.  The TCP keepalive option enabled by TCPKeepAlive is
    spoofable.  The server alive mechanism is valuable when the client
    or server depend on knowing when a connection has become inactive.

    The default value is 3.  If, for example, ServerAliveInterval (see
    below) is set to 15 and ServerAliveCountMax is left at the default,
    if the server becomes unresponsive, ssh will disconnect after
    approximately 45 seconds.

ServerAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the server, ssh(1) will send a message through the
    encrypted channel to request a response from the server.
    The default is 0, indicating that these messages will not be sent
    to the server.

ConnectionAttempts
    Specifies the number of tries (one per second) to make before exiting.
    The argument must be an integer.  This may be useful in scripts if
    the connection sometimes fails.  The default is 1.

ConnectTimeout
    Specifies the timeout (in seconds) used when connecting to the SSH
    server, instead of using the default system TCP timeout.  This value
    is used only when the target is down or really unreachable, not
    when it refuses the connection.

（Debian Server-3）のログ情報：man sshd_config

ClientAliveCountMax
    Sets the number of client alive messages which may be sent without
    sshd(8) receiving any messages back from the client.  If this threshold
    is reached while client alive messages are being sent, sshd will
    disconnect the client, terminating the session.  It is important to
    note that the use of client alive messages is very different from
    TCPKeepAlive.  The client alive messages are sent through the
    encrypted channel and therefore will not be spoofable.  The TCP
    keepalive option enabled by TCPKeepAlive is spoofable.
    The client alive mechanism is valuable when the client or server
    depend on knowing when a connection has become inactive.

    The default value is 3.  If ClientAliveInterval is set to 15, and
    ClientAliveCountMax is left at the default, unresponsive SSH clients
    will be disconnected after approximately 45 seconds.

ClientAliveInterval
    Sets a timeout interval in seconds after which if no data has been
    received from the client, sshd(8) will send a message through the
    encrypted channel to request a response from the client.  The default
    is 0, indicating that these messages will not be sent to the client.

上記の段落で説明した設定が変更されたら、nftablesがオン/アクティブになっていても、すべてのSSHクライアントコンピュータがSSHサーバーに接続できるようになりました。現在、SSHを介した接続にはnftablesファイアウォールがオン/アクティブになってから約35〜45秒かかります。

20〜40秒以内に別のSSHトンネルを再作成したいので、これらの設定/時間値をさらに微調整する必要があります。クライアントとDebian SSHサーバー）。

サーバーのnftablesがSSHログインを防止します（より強力なSSHキーを使用）。

答え1

関連情報