[20210518]ssh ip登录缓慢问题解决.txt

--//生产系统服务器登录缓慢，检查看看。
--//一般这类问题以前遇到最多的是dns设置以及打开了GSSAPIAuthentication认证。

1.检查dns相关设置：
--//检查是否启动dns。检查/etc/resolv.conf存在外网的DNS。
# grep -v "^#" /etc/resolv.conf
nameserver 192.168.xxx.xx
nameserver XXX.XXX.XXX.XXX

--//注解nameserver XXX.XXX.XXX.XXX。注解后确实登录很快。
--//实际上我一般在网内我都是直接使用IP地址，已经绕过DNS解析，为什么还会出现ssh登录的问题呢。
--//登录后我直接修改/etc/ssh/sshd_config，并重启sshd服务。
UseDNS no
--//注：一般生产系统上线我一定会修改这个参数，不知道那些网管如何管理服务器的。

2.分析：
--//再次取消/etc/resolv.conf的注解，尝试还是缓慢。
--//实际上如果你使用ssh ip登录出现缓慢，DNS设置已经排除了。
--//找到一个链接：https://blog.csdn.net/myproudcodelife/article/details/27535261
GSSAPI ( Generic Security Services Application Programming Interface) 是一套类似Kerberos 5 的通用网络安全系统接口。该接
口是对各种不同的客户端服务器安全机制的封装，以消除安全接口的不同，降低编程难度。但该接口在目标机器无域名解析时会有问题

使用strace查看后发现，ssh在验证完key之后，进行authentication gssapi-with-mic，此时先去连接DNS服务器，在这之后会进行其他
操作。

--//跟踪看看：

# ssh -vvv 192.168.101.5
...
debug3: authmethod_is_enabled gssapi-with-mic
debug1: Next authentication method: gssapi-with-mic
debug3: Trying to reverse map address 192.168.101.5.
--//在这里挂起。很明显使用GSSAPIAuthentication认证。
--//很明显只要取消GSSAPIAuthentication就可以绕过认证。
--//也就是使用GSSAPIAuthentication认证也需要DNS服务器。按照链接介绍：

# ssh -vvv  -o GSSAPIAuthentication=no 192.168.101.5
...
debug3: authmethod_is_enabled password
debug1: Next authentication method: password
root@192.168.101.5's password:

--//这样就可以登录了。也可以简单一点修改服务端/etc/ssh/sshd_config如下就OK。
GSSAPIAuthentication no

# egrep "GSS|DNS" /etc/ssh/sshd_config
# GSSAPI options
GSSAPIAuthentication no
#GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes
GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
#UseDNS yes
UseDNS no

3.总结：
--//我总感觉我们有时候做安全做过了头，把自己都堵在外面，连自己都不方面管理自己的服务器。
--//记住如果使用ssh IP登录缓慢，可以在命令行加入GSSAPIAuthentication=no参数，也许以后工作经常会使用，做一个记录。

4.补充：
--//还可以简单一点修改/etc/ssh/ssh_config也就是ssh的客户端
    GSSAPIAuthentication yes
--//修改为    
    GSSAPIAuthentication no