记录排查ssh登录速度慢的原因

背景：

一台主机A正常运行数月，登录访问、切换用户无异常，响应很快。

某天，在登录这台A主机时，发现登录异常缓慢，需要近10s的时间才可登录成功，不论远程登录还是本主机su、sudo切用户，以及免密传输文件到这台主机上，都异常缓慢，经测试，大约10s。这很不正常。

1、检查/etc/ssh/sshd_config配置文件的文件变更时间

[root@sftp-2 ~]# stat /etc/ssh/sshd_config
  文件：/etc/ssh/sshd_config
  大小：4628            块：16         IO 块：4096   普通文件
设备：fd00h/64768d      Inode：2617386     硬链接：1
权限：(0600/-rw-------)  Uid：(    0/    root)   Gid：(    0/    root)
最近访问：2024-11-20 13:31:06.696637435 +0800
最近更改：2024-08-05 10:52:44.987254300 +0800	#可看到近期未出现变动，只有访问
最近改动：2024-08-05 10:52:44.987254300 +0800
创建时间：2024-08-05 10:52:44.987254300 +0800

2、检查/etc/ssh/sshd_config配置文件内容，影响登录的配置项（大部分情况下不用检查）

[root@sftp-2 ~]# grep UseDNS /etc/ssh/sshd_config
#UseDNS no
[root@sftp-2 ~]# grep GSS /etc/ssh/sshd_config
# GSSAPI options
GSSAPIAuthentication yes
GSSAPICleanupCredentials no
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
#GSSAPIEnablek5users no


#我这里未禁用，因为已使用有段时间，且配置文件未动过，所以该配置不会影响。
UseDNS no		#禁用 SSH 服务器的 DNS 反向解析。SSH服务器尝试对连接客户端的 IP 地址进行反向 DNS 解析，导致连接延迟。
GSSAPIAuthentication no #禁用 GSSAPI 认证。GSSAPI认证（通常用于 Kerberos 认证）可能导致延迟。

3、测试资源，皆无异常

#ping无异常
[root@backup-3 ~]$ ping 192.168.100.101
PING 10.184.5.194 (10.184.5.194) 56(84) bytes of data.
64 bytes from 192.168.100.101: icmp_seq=1 ttl=64 time=0.625 ms
64 bytes from 192.168.100.101: icmp_seq=2 ttl=64 time=0.274 ms
64 bytes from 192.168.100.101: icmp_seq=3 ttl=64 time=0.305 ms
64 bytes from 192.168.100.101: icmp_seq=4 ttl=64 time=0.345 ms
^C
--- 192.168.100.101 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3068ms
rtt min/avg/max/mdev = 0.274/0.387/0.625/0.139 ms

#telnet无异常
[root@backup-3 ~]$ telnet 192.168.100.101 22 
Trying 192.168.100.101...
Connected to 192.168.100.101.
Escape character is '^]'.
SSH-2.0-OpenSSH_9.4
telnet> q
Connection closed.

#内存
[root@sftp-2 ~]# free -h
              total        used        free      shared  buff/cache   available
Mem:           62Gi       1.2Gi        59Gi        71Mi       1.8Gi        60Gi
Swap:            0B          0B          0B

#硬盘
[root@sftp-2 ~]# df -H
文件系统                     容量  已用  可用 已用% 挂载点
devtmpfs                      34G     0   34G    0% /dev
tmpfs                         34G     0   34G    0% /dev/shm
tmpfs                         34G   75M   34G    1% /run
tmpfs                         34G     0   34G    0% /sys/fs/cgroup
/dev/mapper/ctyunos-root      46G  6.8G   37G   16% /
tmpfs                         34G   66k   34G    1% /tmp
/dev/vda2                    1.1G  119M  835M   13% /boot
/dev/vda1                    628M  6.8M  622M    2% /boot/efi
/dev/mapper/vm1-lv1  1.1T   13G  1.1T    2% /test

#top

4、检查日志message、secure、btmp看看有无异常

[root@sftp-2 log]# du -sh /var/log/*
…………
6.6G    btmp		#该日志太大，导致登录缓慢，清掉之后，登录响应速度即刻恢复。
…………

#btmp日志是用于记录错误的登录尝试，可以帮助识别和追踪潜在的恶意登录尝试，例如暴力破解攻击。如果btmp日志文件变得非常大，例如超过1MB，这可能会影响系统的性能，包括登录速度。