مقدمه

یکی از مهم‌ترین تنظیمات امنیتی سرویس SSH، پارامتری به نام MaxAuthTries است.

این گزینه مشخص می‌کند که هر کاربر در یک اتصال، چند بار مجاز است فرآیند احراز هویت را به‌صورت ناموفق انجام دهد. پس از رسیدن به این تعداد، اتصال توسط سرور قطع می‌شود و کاربر باید مجدداً یک اتصال جدید برقرار کند.

اگرچه MaxAuthTries به‌تنهایی از حملات Brute Force جلوگیری نمی‌کند، اما با محدود کردن تعداد تلاش‌های ورود در هر اتصال، یکی از لایه‌های مهم امنیتی سرویس SSH محسوب می‌شود.

در این مقاله با نحوه عملکرد MaxAuthTries، مقدار مناسب برای آن و روش تنظیم این پارامتر آشنا خواهیم شد.

MaxAuthTries چیست؟

MaxAuthTries حداکثر تعداد دفعاتی را مشخص می‌کند که یک کاربر می‌تواند در یک اتصال SSH فرآیند احراز هویت را با شکست انجام دهد.

اگر تعداد تلاش‌های ناموفق از مقدار تعیین‌شده بیشتر شود، سرور اتصال را قطع خواهد کرد.

چرا MaxAuthTries اهمیت دارد؟

فرض کنید کاربری رمز عبور اشتباه وارد کند یا مهاجمی در حال امتحان کردن رمزهای مختلف باشد.

اگر هیچ محدودیتی وجود نداشته باشد، تعداد زیادی تلاش ناموفق در همان اتصال انجام خواهد شد.

با تنظیم MaxAuthTries:

• تعداد تلاش‌های مجاز محدود می‌شود.
• اتصال سریع‌تر قطع می‌شود.
• مصرف منابع کاهش پیدا می‌کند.
• بخشی از حملات خودکار دشوارتر می‌شود.

مقدار پیش‌فرض

در بسیاری از نسخه‌های OpenSSH مقدار پیش‌فرض:

MaxAuthTries 6

است.

یعنی هر اتصال حداکثر شش بار اجازه ورود ناموفق دارد.

آیا کاربر پس از چند تلاش ناموفق به‌طور خودکار مسدود (Ban) می‌شود؟

خیر. یکی از تصورات رایج این است که با تنظیم MaxAuthTries، کاربر یا آدرس IP او پس از چند بار ورود ناموفق به‌طور خودکار مسدود می‌شود؛ در حالی که این تصور صحیح نیست.

پارامتر MaxAuthTries تنها مشخص می‌کند که در هر اتصال SSH، کاربر چند بار مجاز به احراز هویت ناموفق است. پس از رسیدن به این تعداد، فقط همان اتصال قطع می‌شود و کاربر می‌تواند با برقراری یک اتصال جدید دوباره تلاش کند.

برای مثال اگر مقدار زیر را تنظیم کنید:

MaxAuthTries 3

کاربر تنها سه بار فرصت ورود ناموفق در همان اتصال را دارد. پس از سومین تلاش، اتصال بسته می‌شود، اما هیچ ممنوعیتی برای برقراری اتصال جدید وجود ندارد.

اگر هدف شما این است که پس از چند تلاش ناموفق، آدرس IP مهاجم برای مدتی مسدود شود، باید از ابزارهایی مانند Fail2Ban استفاده کنید.

برای نمونه، می‌توانید Fail2Ban را به‌گونه‌ای تنظیم کنید که:

• پس از ۵ تلاش ناموفق،
• در بازه زمانی ۱۰ دقیقه،
• آدرس IP مهاجم را به مدت ۱ ساعت (یا بیشتر) مسدود کند.

به همین دلیل، MaxAuthTries و Fail2Ban مکمل یکدیگر هستند؛ اولی تعداد تلاش‌های مجاز در هر اتصال را محدود می‌کند و دومی در صورت تکرار تلاش‌های ناموفق، آدرس IP مهاجم را به‌صورت موقت یا دائمی مسدود می‌کند.

مقدار مناسب چقدر است؟

برای بیشتر سرورهای عملیاتی، مقادیر زیر پیشنهاد می‌شود.

در اغلب سرورهای Production، مقدار 3 انتخاب مناسبی است.

آیا مقدار خیلی کم مناسب است؟

اگر از SSH Key استفاده می‌کنید، مقدار 2 یا 3 معمولاً مشکلی ایجاد نمی‌کند.

اما اگر هنوز ورود با رمز عبور فعال است، مقدار بسیار کم ممکن است باعث شود کاربران واقعی به دلیل چند اشتباه کوچک مجبور شوند دوباره اتصال برقرار کنند.

محل تنظیم MaxAuthTries

فایل تنظیمات SSH:

/etc/ssh/sshd_config

برای ویرایش:

sudo nano /etc/ssh/sshd_config

پیدا کردن گزینه

در فایل به دنبال این گزینه باشید:

#MaxAuthTries 6

یا

MaxAuthTries 6

تغییر مقدار

برای مثال:

MaxAuthTries 3

یا

MaxAuthTries 2

بررسی تنظیمات

قبل از راه‌اندازی مجدد سرویس SSH:

sudo sshd -t

اگر خروجی نمایش داده نشود، فایل بدون خطا است.

اعمال تغییرات

در Ubuntu و Debian:

sudo systemctl restart ssh

در AlmaLinux و Rocky Linux:

sudo systemctl restart sshd

تست تنظیمات

برای آزمایش:

1. یک اتصال SSH جدید برقرار کنید.
2. چند بار رمز عبور اشتباه وارد کنید.

پس از رسیدن به مقدار تعیین‌شده، اتصال باید قطع شود و پیامی مشابه زیر نمایش داده شود:

Received disconnect from server
Too many authentication failures

اگر از SSH Key استفاده می‌کنید

گاهی کاربران چندین کلید SSH روی سیستم خود دارند.

کلاینت SSH ممکن است قبل از استفاده از کلید صحیح، چند کلید دیگر را نیز امتحان کند.

اگر مقدار MaxAuthTries بسیار کم باشد، ممکن است اتصال قبل از استفاده از کلید صحیح قطع شود.

در چنین شرایطی می‌توانید از گزینه زیر استفاده کنید:

ssh -i ~/.ssh/id_ed25519 username@SERVER_IP

یا فایل تنظیمات کلاینت SSH را طوری تنظیم کنید که فقط کلید موردنظر ارسال شود.

تفاوت MaxAuthTries و LoginGraceTime

این دو گزینه معمولاً با هم اشتباه گرفته می‌شوند.

این دو تنظیم مکمل یکدیگر هستند.

آیا MaxAuthTries جلوی Brute Force را می‌گیرد؟

به‌تنهایی خیر.

مهاجم می‌تواند اتصال جدیدی ایجاد کند و دوباره تلاش کند.

برای جلوگیری از این حملات باید از ابزارهایی مانند Fail2Ban استفاده شود که پس از چند تلاش ناموفق، آدرس IP مهاجم را برای مدت مشخصی مسدود می‌کند.

ارتباط با سایر تنظیمات امنیتی

MaxAuthTries زمانی بیشترین اثربخشی را دارد که همراه با تنظیمات زیر استفاده شود:

• SSH Key Authentication
• PasswordAuthentication no
• PermitRootLogin no
• LoginGraceTime
• AllowUsers یا AllowGroups
• محدود کردن SSH بر اساس IP
• Fail2Ban

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

• انتخاب مقدار بسیار کم بدون بررسی کلیدهای SSH
• تصور اینکه MaxAuthTries جایگزین Fail2Ban است
• راه‌اندازی مجدد SSH بدون بررسی فایل تنظیمات
• تغییر تنظیمات بدون آزمایش اتصال جدید
• فراموش کردن اجرای sshd -t

بهترین روش‌ها

برای افزایش امنیت:

• برای سرورهای Production مقدار 3 انتخاب مناسبی است.
• از SSH Key Authentication استفاده کنید.
• Password Authentication را غیرفعال کنید.
• Root Login را غیرفعال کنید.
• Fail2Ban را نیز فعال کنید.
• در صورت امکان، دسترسی SSH را به IPهای مشخص محدود کنید.

چک‌لیست

پس از تنظیم MaxAuthTries، موارد زیر را بررسی کنید:

• مقدار مناسب انتخاب شده است.
• فایل sshd_config بدون خطا است.
• سرویس SSH راه‌اندازی مجدد شده است.
• اتصال پس از تعداد مشخصی تلاش ناموفق قطع می‌شود.
• سایر تنظیمات امنیتی SSH نیز فعال هستند.

جمع‌بندی

MaxAuthTries یکی از تنظیمات مهم سرویس SSH است که تعداد تلاش‌های ناموفق برای ورود را در هر اتصال محدود می‌کند. اگرچه این پارامتر به‌تنهایی مانع حملات Brute Force نمی‌شود، اما با کاهش تعداد تلاش‌های مجاز و قطع سریع‌تر اتصال، یکی از لایه‌های دفاعی مهم در سخت‌سازی سرویس SSH محسوب می‌شود.

برای دستیابی به امنیت بیشتر، MaxAuthTries را در کنار LoginGraceTime، SSH Key Authentication، غیرفعال کردن Password Authentication، غیرفعال کردن Root Login، محدود کردن دسترسی بر اساس IP و Fail2Ban استفاده کنید. ترکیب این تنظیمات، مقاومت سرویس SSH را در برابر حملات خودکار و سوءاستفاده‌های رایج به شکل قابل توجهی افزایش می‌دهد.

کیان پور