Avamar : Gérer le délai d’expiration de la connexion SSH

Dans Avamar version 19.3 et versions ultérieures, la configuration par défaut du délai d’expiration du SSH Avamar consiste à être conforme aux STIG.

La configuration d’un délai d’expiration SSH comporte trois éléments.

• Configuration du processus SSH (SSHD)
• Variable d’environnement du délai d’expiration du profil Bash
• Configuration persistante du client SSH

Configuration

SSHDL’application de processus Secure Shell (processus SSH ou sshd) est le programme de processus pour ssh.

Les deux options suivantes dans le fichier de configuration SSHD peuvent être utilisées pour gérer le délai d’expiration SSH.
 

ClientAliveInterval
ClientAliveCountMax

Les valeurs par défaut utilisées pour Avamar sont conformes aux directives STIG dans le cadre du renforcement d’Avamar sont les suivantes :
 

ClientAliveInterval 600
ClientAliveCountMax 1

Cela signifie que toutes les dix minutes, SSHD envoie une demande au client SSH pour fournir une sorte de connexion persistante.
Étant donné que « ClientAliveCountMax » est défini sur un, le client n’a qu’une seule chance de répondre avant que SSHD ne mette fin à la connexion SSH avec un délai d’expiration.

Pour modifier ce comportement, suivez les étapes ci-dessous.

Modifiez le fichier de configuration SSHD en tant qu’utilisateur root :
 

/etc/ssh/sshd_config

Modifiez les valeurs comme exemple ci-dessous :
 

ClientAliveInterval 7200
ClientAliveCountMax 4

Dans l’exemple ci-dessus, cela signifie que toutes les deux heures, SSHD envoie une demande au client SSH pour fournir une sorte de connexion persistante. Étant donné que « ClientAliveCountMax » est défini sur quatre, le client a quatre chances de répondre avant que le SSHD ne mette fin à la connexion.

Enregistrez le fichier de configuration SSHD.

Testez la configuration avant de redémarrer le service.
 

sshd -t

Si aucun problème n’est renvoyé, redémarrez le service.
 

service sshd restart

Délai d’expiration

du profil BashAvamar définit la variable d’environnement « TMOUT » dans le profil bash utilisé par les utilisateurs admin et root.

Ce délai d’expiration est appliqué au shell lui-même, indépendamment du SSHD.

Ce paramètre est défini dans le fichier suivant :
 

/etc/profile

La variable est définie sur la valeur par défaut ci-dessous, vers le bas du fichier :
 

TMOUT=900

La valeur par défaut de 900 est exprimée en secondes, soit 15 minutes.

Pour modifier ce comportement, modifiez la variable de délai d’expiration :
 

TMOUT=7200

Enregistrez le fichier de profil bash.

Après avoir modifié le fichier de profil bash, redémarrez la session SSH pour que la modification prenne effet.


Configuration

persistante du client SSHIl existe de nombreux clients SSH différents qui peuvent être utilisés.

L’exemple suivant est tiré de PuTTY.

Le client SSH peut être configuré pour envoyer des paquets SSH persistants afin de maintenir la connexion ouverte et de satisfaire les options « ClientAlive* » appliquées dans le fichier de configuration SSHD.

Définissez les secondes entre les keepalives, ce qui signifie que toutes les 300 secondes, PuTTY envoie un paquet ssh keepalive au serveur.

Cochez également la case pour activer les connexions persistantes TCP en général.