Ubuntu 16 上のカスタムビルド openssh-hpn-sshd の無限アクティブ化状態

Question 1

Ubuntu は、systemd に起動を知らせる systemd 方式を使用するようになりました。これはオプションから明らかでType=notify、Systemd パッチなしでは OpenSSH を使用できません。考えられる解決策は 2 つあります。

行Type=notifyをに変更しType=forking、新しい行を追加してPIDFile=/var/run/sshd.pid、ExecStartをに変更する必要があります/usr/sbin/sshd $SSHD_OPTS。
```
Type=forking
PIDFile=/var/run/sshd.pid
ExecStart=/usr/sbin/sshd $SSHD_OPTS
```
OpenSSHを構築するにはパッチDebian/Ubuntu から:

From fe97848e044743f0bac019a491ddf0138f84e14a Mon Sep 17 00:00:00 2001
From: Michael Biebl <[email protected]>
Date: Mon, 21 Dec 2015 16:08:47 +0000
Subject: Add systemd readiness notification support

Bug-Debian: https://bugs.debian.org/778913
Forwarded: no
Last-Update: 2016-01-04

Patch-Name: systemd-readiness.patch
---
 configure.ac | 24 ++++++++++++++++++++++++
 sshd.c       |  9 +++++++++
 2 files changed, 33 insertions(+)

diff --git a/configure.ac b/configure.ac
index f822fb3..6cafb15 100644
--- a/configure.ac
+++ b/configure.ac
@@ -4319,6 +4319,29 @@ AC_ARG_WITH([kerberos5],
 AC_SUBST([GSSLIBS])
 AC_SUBST([K5LIBS])

+# Check whether user wants systemd support
+SYSTEMD_MSG="no"
+AC_ARG_WITH(systemd,
+   [  --with-systemd          Enable systemd support],
+   [ if test "x$withval" != "xno" ; then
+       AC_PATH_TOOL([PKGCONFIG], [pkg-config], [no])
+       if test "$PKGCONFIG" != "no"; then
+           AC_MSG_CHECKING([for libsystemd])
+           if $PKGCONFIG --exists libsystemd; then
+               SYSTEMD_CFLAGS=`$PKGCONFIG --cflags libsystemd`
+               SYSTEMD_LIBS=`$PKGCONFIG --libs libsystemd`
+               CPPFLAGS="$CPPFLAGS $SYSTEMD_CFLAGS"
+               SSHDLIBS="$SSHDLIBS $SYSTEMD_LIBS"
+               AC_MSG_RESULT([yes])
+               AC_DEFINE(HAVE_SYSTEMD, 1, [Define if you want systemd support.])
+               SYSTEMD_MSG="yes"
+           else
+               AC_MSG_RESULT([no])
+           fi
+       fi
+   fi ]
+)
+
 # Looking for programs, paths and files

 PRIVSEP_PATH=/var/empty
@@ -5121,6 +5144,7 @@ echo "                   libedit support: $LIBEDIT_MSG"
 echo "  Solaris process contract support: $SPC_MSG"
 echo "           Solaris project support: $SP_MSG"
 echo "         Solaris privilege support: $SPP_MSG"
+echo "                   systemd support: $SYSTEMD_MSG"
 echo "       IP address in \$DISPLAY hack: $DISPLAY_HACK_MSG"
 echo "           Translate v4 in v6 hack: $IPV4_IN6_HACK_MSG"
 echo "                  BSD Auth support: $BSD_AUTH_MSG"
diff --git a/sshd.c b/sshd.c
index 837409b..868df9e 100644
--- a/sshd.c
+++ b/sshd.c
@@ -85,6 +85,10 @@
 #include <prot.h>
 #endif

+#ifdef HAVE_SYSTEMD
+#include <systemd/sd-daemon.h>
+#endif
+
 #include "xmalloc.h"
 #include "ssh.h"
 #include "ssh1.h"
@@ -2117,6 +2121,11 @@ main(int ac, char **av)
            unsetenv("SSH_SIGSTOP");
        }

+#ifdef HAVE_SYSTEMD
+       /* Signal systemd that we are ready to accept connections */
+       sd_notify(0, "READY=1");
+#endif
+
        /* Accept a connection and return in a forked child */
        server_accept_loop(&sock_in, &sock_out,
            &newsock, config_s);

Answer

Ubuntu は、systemd に起動を知らせる systemd 方式を使用するようになりました。これはオプションから明らかでType=notify、Systemd パッチなしでは OpenSSH を使用できません。考えられる解決策は 2 つあります。

行Type=notifyをに変更しType=forking、新しい行を追加してPIDFile=/var/run/sshd.pid、ExecStartをに変更する必要があります/usr/sbin/sshd $SSHD_OPTS。
```
Type=forking
PIDFile=/var/run/sshd.pid
ExecStart=/usr/sbin/sshd $SSHD_OPTS
```
OpenSSHを構築するにはパッチDebian/Ubuntu から:

From fe97848e044743f0bac019a491ddf0138f84e14a Mon Sep 17 00:00:00 2001
From: Michael Biebl <[email protected]>
Date: Mon, 21 Dec 2015 16:08:47 +0000
Subject: Add systemd readiness notification support

Bug-Debian: https://bugs.debian.org/778913
Forwarded: no
Last-Update: 2016-01-04

Patch-Name: systemd-readiness.patch
---
 configure.ac | 24 ++++++++++++++++++++++++
 sshd.c       |  9 +++++++++
 2 files changed, 33 insertions(+)

diff --git a/configure.ac b/configure.ac
index f822fb3..6cafb15 100644
--- a/configure.ac
+++ b/configure.ac
@@ -4319,6 +4319,29 @@ AC_ARG_WITH([kerberos5],
 AC_SUBST([GSSLIBS])
 AC_SUBST([K5LIBS])

+# Check whether user wants systemd support
+SYSTEMD_MSG="no"
+AC_ARG_WITH(systemd,
+   [  --with-systemd          Enable systemd support],
+   [ if test "x$withval" != "xno" ; then
+       AC_PATH_TOOL([PKGCONFIG], [pkg-config], [no])
+       if test "$PKGCONFIG" != "no"; then
+           AC_MSG_CHECKING([for libsystemd])
+           if $PKGCONFIG --exists libsystemd; then
+               SYSTEMD_CFLAGS=`$PKGCONFIG --cflags libsystemd`
+               SYSTEMD_LIBS=`$PKGCONFIG --libs libsystemd`
+               CPPFLAGS="$CPPFLAGS $SYSTEMD_CFLAGS"
+               SSHDLIBS="$SSHDLIBS $SYSTEMD_LIBS"
+               AC_MSG_RESULT([yes])
+               AC_DEFINE(HAVE_SYSTEMD, 1, [Define if you want systemd support.])
+               SYSTEMD_MSG="yes"
+           else
+               AC_MSG_RESULT([no])
+           fi
+       fi
+   fi ]
+)
+
 # Looking for programs, paths and files

 PRIVSEP_PATH=/var/empty
@@ -5121,6 +5144,7 @@ echo "                   libedit support: $LIBEDIT_MSG"
 echo "  Solaris process contract support: $SPC_MSG"
 echo "           Solaris project support: $SP_MSG"
 echo "         Solaris privilege support: $SPP_MSG"
+echo "                   systemd support: $SYSTEMD_MSG"
 echo "       IP address in \$DISPLAY hack: $DISPLAY_HACK_MSG"
 echo "           Translate v4 in v6 hack: $IPV4_IN6_HACK_MSG"
 echo "                  BSD Auth support: $BSD_AUTH_MSG"
diff --git a/sshd.c b/sshd.c
index 837409b..868df9e 100644
--- a/sshd.c
+++ b/sshd.c
@@ -85,6 +85,10 @@
 #include <prot.h>
 #endif

+#ifdef HAVE_SYSTEMD
+#include <systemd/sd-daemon.h>
+#endif
+
 #include "xmalloc.h"
 #include "ssh.h"
 #include "ssh1.h"
@@ -2117,6 +2121,11 @@ main(int ac, char **av)
            unsetenv("SSH_SIGSTOP");
        }

+#ifdef HAVE_SYSTEMD
+       /* Signal systemd that we are ready to accept connections */
+       sd_notify(0, "READY=1");
+#endif
+
        /* Accept a connection and return in a forked child */
        server_accept_loop(&sock_in, &sock_out,
            &newsock, config_s);

Question 2

本日 2019-10-28 時点では、openssh-8.1p1 をコンパイルする Ubuntu 19.04 ではこれがまだ必要です。

必要なパッチの最新バージョンはここから入手できます:https://salsa.debian.org/ssh-team/openssh/blob/master/debian/patches/systemd-readiness.patch

pkg-config( apt-get install pkg-config)もインストールする必要があります。そうしないと、パッチに必要なライブラリ./configure --with-systemdが認識されません。libsystemd-dev

Answer

本日 2019-10-28 時点では、openssh-8.1p1 をコンパイルする Ubuntu 19.04 ではこれがまだ必要です。

必要なパッチの最新バージョンはここから入手できます:https://salsa.debian.org/ssh-team/openssh/blob/master/debian/patches/systemd-readiness.patch

pkg-config( apt-get install pkg-config)もインストールする必要があります。そうしないと、パッチに必要なライブラリ./configure --with-systemdが認識されません。libsystemd-dev

Question 3

sshdOpenSSH サーバーが「アクティブ化」状態のままになる理由は他にもあります。

つまり、原因は「エントロピー枯渇」である可能性があり、これにより関連する OpenSSL モジュールが初期化されなくなります。

「エントロピー枯渇」が本当に問題であることを確認するには、まず次のコマンドを発行して OpenSSH サービスを停止し、「アクティブ化」状態のままにならないようにします。

systemctl stop ssh

...がsshd停止した後、次のコマンドを発行して再起動します。

/usr/sbin/sshd -ddd

...そして、次のメッセージのデバッグ出力を確認します。
ところで、この-dddオプションは、OpenSSH サービスの起動時に詳細なデバッグ出力を有効にします。

ランダム: レート制限により N 個のランダム警告が無視されました

コマンドの発行後にこのメッセージが表示される場合は/usr/sbin/sshd -ddd、エントロピープールが使い果たされたため、OpenSSH サービスの SSL モジュールを初期化できないことを意味します。

この問題を解決するには、次のコマンドを発行します。

apt-get install haveged

より高速なエントロピーソースをインストールします。詳細については、haveged ここ。

これにより、永続的な修正が行われます。

Answer