pam 服务（sshd）忽略最大重试次数

Question

我有用于运行网络服务器的 vps，它目前运行 ubuntu 服务器 12.04。几周以来，我的 ssh 控制台中不断出现很多错误。

2014 Apr 11 08:41:18 vps847 PAM service(sshd) ignoring max retries; 6 > 3
2014 Apr 11 08:41:21 vps847 PAM service(sshd) ignoring max retries; 6 > 3
2014 Apr 11 08:41:24 vps847 PAM service(sshd) ignoring max retries; 6 > 3
2014 Apr 11 08:41:25 vps847 PAM service(sshd) ignoring max retries; 6 > 3
2014 Apr 11 08:41:26 vps847 PAM service(sshd) ignoring max retries; 6 > 3
2014 Apr 11 08:41:29 vps847 PAM service(sshd) ignoring max retries; 6 > 3
2014 Apr 11 08:41:29 vps847 PAM service(sshd) ignoring max retries; 6 > 3

有人可以告诉我这些错误是什么意思。或者至少告诉我如何禁用这些错误。当我通过 ssh 工作并且这些错误不断出现在我的屏幕上时，这真的很烦人。

Answer 1

虽然其他答案在消除您收到的错误消息方面是正确的，但请考虑此错误消息可能只是另一个潜在问题的症状。

您收到这些消息是因为在您的系统上通过 ssh 尝试登录失败的次数很多。可能有人试图蛮力进入你的盒子（当我在我的系统上收到相同的消息时就是这种情况）。阅读您var/log/auth.log的研究...

如果是这种情况，您应该考虑安装“fail2ban”之类的工具（sudo apt-get install fail2ban在 Ubuntu 上）。它会自动读取您系统的日志文件，搜索多次失败的登录尝试并通过 iptables 在可配置的时间内阻止恶意客户端...

Answer 2

PAM告诉您它配置为“retry=3”，它将忽略来自同一会话中 sshd 的任何进一步身份验证请求。SSH但是会继续尝试，直到用尽 MaxAuthTries 设置（默认为 6）。

您可能应该将这两个（SSH 和 PAM）设置为相同的值以获得最大身份验证重试次数。

更新

要更改此行为：

为sshd您编辑/etc/ssh/sshd_config和设置MaxAuthTries 3。同时重启SSH服务器使设置生效。

对于PAM，您必须在/etc/pam.d目录中查找配置（我认为它是common-passwordUbuntu 中的文件），您必须更改retry=值。

注意：我强烈建议您也检查 Peter Hommel 的关于这些请求原因的回答，因为您的 SSH 可能被强制执行。

Answer 3

上面的分析似乎并不完全正确。似乎没有用于 pam 身份验证的 retry= 选项（我确实为 pam_cracklib 找到了一个选项，但这仅涉及更改“密码”部分中的密码，而不是 pam 的“身份验证”部分中的身份验证）。相反，pam_unix 包含一个内置的最大重试次数 3。在 3 次重试后，pam 返回 PAM_MAXRETRIES 错误代码以通知 sshd。

在这种情况下，sshd 真的应该停止尝试，而不管它自己的 MaxAuthTries。它没有，我认为这是一个错误（我刚刚用 openssh 报告了这个错误）。

在修复该错误之前，似乎将 MaxAuthTries 设置为 <= 3 是防止此消息出现的唯一方法。