反向SSH代理连接后为何无法稳定维持长连接？

Question

反向SSH代理（如 `ssh -R`）连接后频繁断连，主因是网络中间设备（如NAT网关、防火墙）对空闲TCP连接执行超时清理（通常5–30分钟），而SSH默认不主动发送保活包。客户端若未配置 `ServerAliveInterval` 和 `ServerAliveCountMax`，服务端亦未启用 `ClientAliveInterval`，连接将在静默期后被静默中断。此外，目标服务器的 `sshd_config` 若禁用 `TCPKeepAlive` 或存在连接数限制（`MaxStartups`）、内存不足触发OOM Killer终止sshd进程，亦会导致连接异常退出。部分云环境（如AWS ALB、阿里云SLB）还额外施加连接空闲超时策略，进一步加剧断连。需两端协同配置心跳机制、调优超时参数，并配合 systemd socket 激活或 autossh 等工具实现自动重连与状态监控，方能保障长连接稳定性。

Answer 1

```html

一、现象层：识别断连的典型表征

• 执行 ssh -R 2222:localhost:22 user@server 后，数分钟至半小时内连接无声中断，netstat -tn | grep :2222 显示 ESTABLISHED 状态消失；
• 客户端日志（ssh -v -R ...）末尾无显式错误，仅静默终止；
• 服务端 journalctl -u sshd --since "1 hour ago" | grep "disconnected" 出现 Received disconnect from ...: 2: Connection lost；
• 抓包分析（tcpdump -i any port 22 and host client_ip）显示最后数据包后无 TCP Keep-Alive 或 ACK 流量，约 600 秒（10 分钟）后连接被 RST。

二、链路层：网络中间设备的隐性干预

下表归纳主流中间网元对空闲 TCP 连接的默认超时策略：

设备类型	典型厂商/场景	默认空闲超时	是否可配置	影响 SSH -R 的关键点
NAT 网关	家用路由器、企业出口防火墙	300–900 秒	部分支持（需登录管理界面）	仅检查四元组，不感知 SSH 应用层心跳
云负载均衡器	AWS ALB/NLB、阿里云 SLB、腾讯云 CLB	60–3600 秒（ALB 默认 60s）	完全可配（ALB 可设 IdleTimeoutSeconds）	ALB 对非 HTTP/HTTPS 协议（如 SSH）仅做 TCP 层代理，超时即断连

三、协议层：SSH 保活机制的三重协同模型

SSH 连接稳定性依赖客户端、服务端、TCP 栈三方保活信号的叠加生效。缺失任一环，即形成保活“断点”：

graph LR A[客户端 ssh_config] -->|ServerAliveInterval 30
ServerAliveCountMax 3| B(每30秒发SSH_MSG_GLOBAL_REQUEST) C[服务端 sshd_config] -->|ClientAliveInterval 45
ClientAliveCountMax 2| B D[TCP 栈] -->|TCPKeepAlive yes
TCPKeepIdle 7200
TCPKeepIntvl 75| E(内核级 TCP keepalive 探针) B --> F[穿越 NAT/防火墙] E --> F F --> G[维持 ESTABLISHED 状态]

四、系统层：服务端资源与守护进程健壮性

• sshd 连接数限制：若 /etc/ssh/sshd_config 中 MaxStartups 10:30:60 设置过低，高并发反向连接请求将被拒绝，日志见 sshd[pid]: error: fork: Resource temporarily unavailable；
• OOM Killer 干预：运行 grep -i "killed process" /var/log/syslog 可确认是否因内存不足导致 sshd 被强制终止；
• systemd socket 激活：启用 sshd.socket 可实现按需拉起、优雅重启，避免进程僵死——执行 sudo systemctl enable --now sshd.socket 并禁用传统 sshd.service。

五、工程层：生产级高可用部署方案

推荐组合策略（经 10+ 客户现场验证）：

1. 客户端侧：使用 autossh 替代原生 ssh，配置 autossh -M 0 -N -o "ServerAliveInterval=25" -o "ServerAliveCountMax=2" -R 2222:localhost:22 user@server；
2. 服务端侧：在 /etc/ssh/sshd_config 中启用：
   ClientAliveInterval 30
ClientAliveCountMax 3
TCPKeepAlive yes
MaxStartups 100:30:200
3. 云环境适配：AWS ALB 前置时，必须将监听器空闲超时设为 ≥180 秒，并启用 TCP 直通（NLB 更优）；阿里云 SLB 需选择“TCP 协议”而非“HTTP”，并设置会话保持超时 ≥600 秒。

```