syslog中有大量sshd的告警，为何其他主机没有？

lgatuk

我们有个综合监控系统，我问了管理员，管理员说10.123.0.202是他们的监控系统的IP
监控系统每隔5分钟会向主机发送包确认是否可以连通，这个时间间隔和日志里面也能对的上
但是其他主机都没有这个告警，只有hu02这一台有这个告警，hu02是最近才建设的。
其他主机是生产环境，有CPU利用率。这个hu02是测试机，还未部署业务，一直空跑着，综合监控的管理员说是因为没监控到CPU利用率才有这个告警的。
我怎么不相信呢？
从字面意思理解这个告警，就是说10.123.0.202想通过sshd连接主机，但是他的验证信息无法得到主机通过，是这样吗？
我想听听各位对这个问题的分析、理解，纠正一下我的错误思路，而不是“问问监控管理员吧”之类的建议，谢谢。那个监控管理员不明白原理，问也白问。

参考下HP论坛上别人的回答

Someone connected from 192.234.123.4 to your sshd port, but did not use any recognizable form of the SSH protocol, so sshd closed the connection. Perhaps 192.234.123.4 did not send any data at all, but simply terminated the connection as soon as it opened.

This might happen if you've set up a network monitoring system to periodically check that your sshd service is alive (although a check interval of 2 seconds would be overkill for most purposes).

The best way to find out for sure would be to find the administrator of 192.234.123.4 and ask him/her. If that IP address is outside your organization, you might want to use a firewall to block all unnecessary external access to your network.

1. Dec  3 12:01:13 hu02 sshd[19350]: Did not receive identification string from 10.123.0.202
   
2. Dec  3 12:06:13 hu02 sshd[19536]: Did not receive identification string from 10.123.0.202
   
3. Dec  3 12:11:13 hu02 sshd[19636]: Did not receive identification string from 10.123.0.202
   
4. Dec  3 12:16:13 hu02 sshd[19777]: Did not receive identification string from 10.123.0.202
   
5. Dec  3 12:21:13 hu02 sshd[19966]: Did not receive identification string from 10.123.0.202
   
6. Dec  3 12:26:13 hu02 sshd[20052]: Did not receive identification string from 10.123.0.202
   
7. Dec  3 12:31:13 hu02 sshd[20152]: Did not receive identification string from 10.123.0.202
   
8. Dec  3 12:36:13 hu02 sshd[20338]: Did not receive identification string from 10.123.0.202
   
9. Dec  3 12:41:13 hu02 sshd[20438]: Did not receive identification string from 10.123.0.202
   
10. Dec  3 12:46:13 hu02 sshd[20523]: Did not receive identification string from 10.123.0.202

复制代码

lbseraph

回复 1# lgatuk

你的理解应该没错的，就是监控的管理机10.123.0.202每隔5分钟发包查询主机能否连通，但由于没通过验证就报这个信息。你可以配置好这台新机器hu02，让监控的管理机可以不需要密码连接（用key）；或看看监控软件发包连接的时候能否设置账号密码，可以的话就配置好连接hu02的账号密码。

   

lgatuk

回复 2# lbseraph


    其他被监控主机均没有此报错 那我想肯定跑不了一下原因中的一个
1、其他主机在当初部署的时候屏蔽掉了监控系统的报错
2、监控系统在其他主机上配置比较合理，在hu02上没配置合理

我觉得第2点不太靠谱，他们应该配置了。但是，当我打电话给监控系统负责人的时候，他却告诉我是因为检测不到主机的cpu利用率才有此告警，哎，hu02确实是空跑的，无业务，虽然这更加证明了他的那句话，但我还是不相信。

lbseraph

回复 3# lgatuk

你随便找个CPU压力测试的方法测试一下不就可以验证你的想法了么？

参考链接：
http://h30499.www3.hp.com/t5/Sys ... 804024#.UqGfFPRkNcE
   

lgatuk

lbseraph 发表于 2013-12-06 17:56
回复 3# lgatuk

你随便找个CPU压力测试的方法测试一下不就可以验证你的想法了么？

谢谢版大 我先试试