限制 SSH 会话的用户登录尝试次数

管理员可以通过 SSH 远程登录设备。管理员凭据存储在设备本地。如果远程管理员提供有效的用户名和密码，则授予对 TOE 的访问权限。如果凭据无效，则 TOE 允许在 1 秒后开始并呈指数增长的间隔后重试身份验证。如果身份验证尝试次数超过配置的最大值，则在配置的时间间隔内不接受任何身份验证尝试。当间隔到期时，将再次接受身份验证尝试。

您可以配置设备在尝试失败后锁定的时间长度。由于语句中 tries-before-disconnect 指定的登录尝试失败次数而被锁定后，用户可以尝试登录设备之前的时间量（以分钟为单位）。如果用户在语句指定的 tries-before-disconnect 允许尝试次数后未能正确登录，则用户必须等待配置的分钟数，然后才能再次尝试登录设备。在此锁定期间，其他用户（其帐户未被锁定）仍然可以访问 TOE。

锁定期必须大于零。可以配置锁定周期的范围为 1 到 43,200 分钟。

您可以对设备进行配置，以限制通过 SSH 登录时尝试输入密码的次数。使用以下命令限制登录尝试次数。

以下是 tries-before-disconnect 用户在登录时可以尝试输入密码的次数。如果用户在指定的数字之后未能登录，则连接将关闭。范围为 1 到 10，默认值为 10。

您还可以配置一个延迟时间（以秒为单位），以便用户在尝试输入密码失败后才能尝试输入密码。

这是 backoff-threshold 在用户无法再次输入密码之前尝试失败的登录次数的阈值。使用该 backoff-factor 选项指定延迟长度（以秒为单位）。范围为 1 到 3，默认值为 2 秒。

此外，还可以将设备配置为在用户再次输入密码时遇到延迟之前指定失败尝试次数的阈值。

这是 backoff-factor 用户在尝试失败后可以尝试登录之前的时间长度（以秒为单位）。延迟增加为阈值之后的每次后续尝试指定的值。范围为 5 到 10，默认值为 5 秒。

您可以通过配置 ssh root-login deny来控制用户通过 SSH 的访问。

您可以使用该 clear system login lockout user username 命令恢复帐户访问权限。

SSH2 协议利用安全加密提供安全的终端会话。SSH2 协议强制运行密钥交换阶段并更改会话的加密和完整性密钥。在指定的秒数之后或指定的数据字节通过连接后，定期进行密钥交换。您可以配置 SSH 密钥更新的阈值。TSF 确保在 SSH 连接中使用相同的会话密钥，阈值不超过一小时，传输数据不超过 1 GB。当达到任一阈值时，必须执行密钥更新。

注意：

对于 SSH 连接无意中断，我们需要重新启动 SSH 连接以登录回 TOE。

当系统超过 128 个预身份验证数据包限制时，连接请求将被拒绝。这可以防止由于内存消耗过多而导致的潜在拒绝服务（DoS）攻击。您可以使用 CLI 调整此限制：

该 max-pre-authentication-packets number 选项定义 SSH 服务器在用户身份验证之前将接受的最大预身份验证 SSH 数据包数。范围为 20 到 2147483647 个数据包，默认值为 128 个数据包。应避免使用任何大于 128 个数据包的值，以有效防范 DoS 攻击。

执行归零后，系统会移除旧的 SSH 主机密钥并重新生成新主机密钥。