Quel est le délai d'expiration (timeout) par défaut sur SSH ?
Secure Shell (SSH) est une méthode de gestion à distance d'un ordinateur ou serveur, disponible sur Linux, OS X et Windows. À certains intervalles, les sessions SSH expirent, car une session SSH ouverte et sans surveillance présente un risque de sécurité. Si vous êtes inactif pendant un certain temps, la connexion se coupe et vous devrez vous reconnecter. Ce délai d'expiration est défini par les paramètres TCP de votre système, mais peut être modifié dans les paramètres du serveur ou du client. Si vous trouvez que votre connexion SSH expire trop souvent, vous pouvez toujours modifier votre configuration SSH pour avoir plus ou moins de temps d'inactivité.
Délai d'expiration TCP
Le délai d'expiration de votre serveur utilise par défaut le délai d'expiration TCP de votre système. C'est parce que les serveurs SSH sont automatiquement configurés pour utiliser TCPKeepalive, qui envoie une sonde à un moment prédéfini lorsque le système est inactif pour vérifier que la connexion est toujours là. Cette valeur par défaut varie selon votre système. Certains systèmes utilisent une valeur par défaut aussi basse que cinq secondes, et d'autres jusqu'à deux heures ; la moyenne est généralement d'environ trois à cinq minutes. Votre connexion SSH, si elle n'a pas été modifiée pour changer le délai d'expiration ni du côté serveur ni du côté client, utilisera ce délai. Les paramètres du serveur ou du client remplaceront ce délai.
Paramètres de délai d'expiration au niveau du serveur
Modifier le délai d'expiration depuis le fichier sshd_config changera les options de délai pour chaque client qui se connecte au serveur. Les administrateurs système peuvent accéder à ce fichier à /etc/ssh/sshd_config. Si vous utilisez un terminal et êtes à l'aise avec un éditeur de terminal, vous pouvez le modifier entièrement dans le terminal en entrant « sudo nano /etc/ssh/sshd_config ». Ajoutez l'option « ClientAliveInterval » qui indique au serveur d'envoyer un paquet de données au client pour vérifier l'activité. Vous devriez également envisager d'ajouter « ClientAliveCountMax ; » cela indique au serveur combien de fois il doit vérifier sans obtenir de réponse. Ne mettez pas de signe dièse devant ces lignes ; les lignes avec un signe dièse sont considérées comme des commentaires et ne sont pas des options actives dans le serveur. Par exemple, si vous voulez définir votre ClientAliveInterval à cinq minutes et votre ClientAliveCountMax à deux, cela pourrait ressembler à ceci :
ClientAliveInterval 300
ClientAliveCountMax 2
Délai d'expiration côté client
Si vous utilisez un client comme PuTTY, vous pouvez changer le délai d'expiration en cliquant sur l'option « Connexion » dans la barre latérale et en remplissant votre temps préféré dans la zone de texte à côté de « Seconds Between Keepalives » en secondes. Cela doit être basé entièrement sur la durée pendant laquelle vous pensez être inactif entre deux activités. Vous pouvez également changer cela manuellement en ouvrant vos fichiers de paramètres côté client à /etc/ssh/ssh_config — notez la différence avec le fichier serveur « sshd_config ». Ajoutez le paramètre « ServerAliveInterval » et définissez en secondes la fréquence à laquelle vous voulez que le client envoie des paquets pour maintenir la connexion active.
Risques liés au changement de délai d'expiration
Évidemment, changer le délai d'expiration est une question de commodité — cela vous permet de faire du multitâche sans avoir à renouveler fréquemment votre connexion à votre serveur SSH. Cependant, cela signifie que vous devez rester plus vigilant à votre bureau. Si vous vous éloignez de votre ordinateur avec une connexion SSH ouverte, n'importe qui peut s'asseoir et accéder à votre serveur. Bien que laisser une connexion SSH ouverte pour un usage domestique soit moins préoccupant que dans un contexte professionnel, l'habitude de laisser votre connexion ouverte peut avoir des conséquences désastreuses entre de mauvaises mains.