La connexion SSH prend une éternité à démarrer, bloquée à “engagement: réseau”

La connexion à l'un de mes serveurs à l'aide de ssh nécessite plus de 20 secondes pour être initiée.

Cela n’est pas lié aux conditions LAN ou WAN, car la connexion à lui-même prend la même chose (ssh localhost). Une fois la connexion établie, l’interaction avec le serveur est très rapide.

L'utilisation de -vvv montre que la connexion est bloquée après avoir dit "gage: réseau". A ce stade, l'authentification (ici en utilisant la clé) est déjà faite, comme visible ici:

...
debug1: Authentication succeeded (publickey).
Authenticated to myserver.mydomain.com ([xx.xx.xx.xx]:22).
debug1: channel 0: new [client-session]
debug2: channel 0: send open
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.
debug1: pledge: network

(... coincé ici pendant 15 à 25 secondes ...)

debug1: client_input_global_request: rtype hostkeys-00@openssh.com want_reply 0
debug2: callback start
debug2: fd 3 setting TCP_NODELAY
debug2: client_session2_setup: id 0
...

Le serveur est Ubuntu 16.04. Cela m'est déjà arrivé par le passé avec un autre serveur (Ubuntu 12.04), nerver a trouvé la solution et le problème a disparu au bout d'un moment ...

sshd_config est celui par défaut fourni par Ubuntu.

Jusqu'ici j'ai essayé:

• en utilisant -o GSSAPIAuthentication = no dans la commande ssh
• en utilisant un mot de passe au lieu d'une clé
• en utilisant UsePrivilegeSeparation no au lieu de yes, dans sshd_config

Ceci est probablement un problème avec D-Buset systemd. Si le dbusservice est redémarré pour une raison quelconque, vous devrez également redémarrer systemd-logind.

Vous pouvez vérifier si cela est le problème en ouvrant le journal du démon ssh (sur Ubuntu, cela devrait être le cas /var/log/auth.log) et vérifiez s'il contient les lignes suivantes:

sshd[2721]: pam_systemd(sshd:session): Failed to create session: Connection timed out

Si oui, redémarrez simplement le systemd-logindservice:

systemctl restart systemd-logind

J'ai eu ce même problème sur CentOS 7, car le a messagebusété redémarré (c'est comment le D-Busservice est appelé sur CentOS).

trouvé la réponse:

modifié UsePAM de oui à non dans le fichier sshd_config

Après avoir redémarré le service ssh, la connexion est maintenant immédiate sur le serveur. Sur ce serveur, PAM est lié à ldap, ce qui explique probablement pourquoi, même si je me connecte ici à un utilisateur déclaré sur le serveur lui-même, pas à un utilisateur LDAP.

Eh bien, c’est plus une façon de contourner le problème, pas vraiment une solution… J’ai d’autres serveurs configurés de la même manière qui n’ont pas ce problème.

J'espère que cela pourra aider quelqu'un ...

Cela s'est produit sur deux de mes serveurs Fedora 25 et était dû à de nombreuses tentatives de connexion SSH ayant échoué.

(Les suggestions courantes d'utilisation GSSAPIAuthentication=noet de UseDNS=noredémarrage systemd-logindne font aucune différence.)

Sur ces serveurs, /etc/pam.d/postlogincontient:

session     optional      pam_lastlog.so silent noupdate showfailed

La page de manuel pour pam_lastlogexplique que l’ showfailedoption va:

Affiche le nombre de tentatives de connexion infructueuses et la date de la dernière tentative infructueuse de btmp.

Sur ces serveurs, les /var/log/btmpfichiers étaient énormes en raison de nombreuses tentatives de connexion infructueuses. Les btmpfichiers journaux n'étaient pas non plus en rotation.

J'ai installé le logrotatepackage pour assurer la rotation des fichiers journaux à l'avenir. (Sur Fedora, la configuration livrée avec logrotategère la rotation de /var/log/btmp.)

J'ai également supprimé les énormes btmpfichiers journaux; Dès que j'ai fait cela, la connexion aux serveurs était de nouveau instantanée.

Dans mon cas, la raison était un plantage de rsyslogd. J'ai découvert cela parce qu'il n'y avait plus de messages de journalisation dans, par exemple, / var / log / syslog ou /var/log/mail.log

Alors service rsyslog restartrésolu le problème pour nous.

Pour moi, ce problème est causé par un btmpfichier volumineux (des centaines de Mo) . Ce fichier enregistre les tentatives de connexion. Lorsque les gens essaient de forcer brutalement votre mot de passe, ce fichier peut être volumineux et causer des retards dans la "pledge: network"phase.

Essayez d'effacer le fichier journal

echo "" > /var/log/btmp

et voir si ça aide.

Pour moi, la solution consistait à ajouter

UseDNS no

sur /etc/ssh/sshd_configet puis bien sûr service ssh restart(sur notre serveur Debian / Jessie). Rien d'autre...

avant :

ssh git@git.*****.de true  0.03s user 0.01s system 0% cpu 13.440 total
ssh git@git.*****.de true  0.03s user 0.01s system 0% cpu 20.990 total
ssh git@git.*****.de true  0.03s user 0.02s system 0% cpu 31.114 total
ssh git@git.*****.de true  0.03s user 0.01s system 0% cpu 25.898 total

après :

ssh git@git.*****.de true  0.03s user 0.02s system 5% cpu 0.832 total
ssh git@git.*****.de true  0.03s user 0.01s system 7% cpu 0.523 total
ssh git@git.*****.de true  0.03s user 0.01s system 7% cpu 0.574 total

J'ai remarqué la ligne suivante dans mes commentaires de débogage:

Control socket connect(/var/lib/jenkins/.ssh/USER@HOST:22): Permission denied

Qui était un fichier qui appartenait à root:rootpendant que je suis jenkins. Supprimer ce fichier a résolu mes problèmes.