ssh отключение после обещания: файловая система

Вопрос или проблема

KbdInteractiveAuthentication no
UsePAM yes
PrintMotd no
ChrootDirectory %h
AcceptEnv LANG LC_*
Subsystem       sftp    /usr/lib/openssh/sftp-server
Match group sftp
        X11Forwarding no
        AllowTcpForwarding no
        PermitTTY no
        ForceCommand internal-sftp

Authenticated to 127.0.0.1 ([127.0.0.1]:22) using "password".
debug2: fd 4 setting O_NONBLOCK
debug1: channel 0: new session [client-session] (inactive timeout: 0)
debug3: ssh_session2_open: channel_new: 0
debug2: channel 0: send open
debug3: send packet: type 90
debug1: Requesting [email protected]
debug3: send packet: type 80
debug1: Entering interactive session.
debug1: pledge: filesystem
debug3: client_repledge: enter
debug3: send packet: type 1
client_loop: send disconnect: Broken pipe
Connection closed.  
Connection closed

Ответ или решение

Проблема отключения SSH после pledge: filesystem

Вы столкнулись с проблемой, в результате которой ваш SFTP-сервер внезапно начинает выдавать ошибку client_loop: send disconnect: Broken pipe. Это может вызвать серьёзные неудобства, особенно если вы ожидаете, что пользователи смогут подключаться к вашему серверу без перебоев. В данной статье мы постараемся понять причины возникновения этой проблемы и предложить возможные решения.

Анализ конфигурации SSHD

Ваш конфигурационный файл sshd_config выглядит достаточно стандартно, однако несколько моментов стоит обратить особое внимание:

1. ChrootDirectory: Вы используете %h для настройки ChrootDirectory. Убедитесь, что эта директория существует, и у пользователя, который выполняет сессии SFTP, есть необходимые права для доступа к данной директории. Кроме того, обратите внимание, что для ChrootDirectory требуется, чтобы её владелец и все родительские директории были настройками root:root, а также должны иметь права 0755.

2. Настройки Match group sftp:

   • Проверьте, что атрибуты AllowTcpForwarding, PermitTTY и ForceCommand настроены корректно. В вашем случае они настроены правильно для использования внутреннего SFTP, но всё равно стоит убедиться, что другие параметры не мешают работе.

Журнал ошибок

Итак, следующий шаг — проанализировать логи:

• debug1: pledge: filesystem: Это сообщение указывает на то, что процесс SFTP пытается ограничить доступ к файловой системе. Зачастую это связано с безопасностью, но иногда может вызвать проблемы с доступом к необходимым директориям.

• client_loop: send disconnect: Broken pipe: Эта ошибка чаще всего возникает, когда клиент теряет соединение с сервером, которое происходит из-за времени ожидания. Возможно, сервер считает подключение бездействующим.

Рекомендации по устранению проблемы

1. Проверка прав доступа:

   • Убедитесь, что у всех директорий в пути к ChrootDirectory есть правильные права доступа и владелец.
   • Например:

     chown root:root /path/to/chroot
     chmod 755 /path/to/chroot

2. Настройка KeepAlive:

   • Рассмотрите возможность настройки параметров KeepAlive как на стороне клиента, так и на стороне сервера.
   • В sshd_config добавьте:

     ClientAliveInterval 60
     ClientAliveCountMax 3

   • На клиенте в файле ~/.ssh/config добавьте:

     Host *
     ServerAliveInterval 60
     ServerAliveCountMax 3

3. Проверка сетевых настроек:

   • Убедитесь, что ваша сеть не вызывает отключения из-за превышения времени ожидания. Это может быть вызвано сетевым оборудованием, которое обрывает соединения.

4. Перезапуск сервера:

   • После внесения изменений в конфигурацию перезапустите SSH-сервер:

     sudo systemctl restart sshd

5. Мониторинг логов:

   • Внимательно следите за логами auth.log или secure в зависимости от дистрибутива Linux. Это может дать дополнительные подсказки о причинах отключений.

Заключение

Ошибки типа Broken pipe при использовании SFTP могут быть вызваны несколькими причинами, включая неверные права доступа, неправильные конфигурации сети и даже временные потери соединения. Тщательный анализ и корректировка конфигурации помогут устранить проблему и восстановить нормальную работу вашего SFTP-сервера.

Если проблема сохраняется, рекомендуется обратиться к специализированным форумам или получить консультацию у профессионального администратора систем.