1、监听端口及IP设置
Port 22
AddressFamily any
ListenAddress 0.0.0.0
ListenAddress ::
Protocol 2
/*
Port:sshd服务端口,预设22,也可以开放多个端口
AddressFamily:使用地址族,any(默认)、inet(仅IPv4)、inet6(仅IPv6)
ListenAddress:设置监听的地址
Protocol:SSH协议版本
*/
2、私钥存放位置
# HostKey for protocol version 1
HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
/*
主机私钥存放位置
*/
3、秘钥过期时间和大小
KeyRegenerationInterval 1h
ServerKeyBits 1024
/*
对于SSH-1协议中秘钥的过期时间和大小
*/
4、日志相关设置
# Logging
SyslogFacility AUTH
SyslogFacility AUTHPRIV
LogLevel INFO
/*
SyslogFacility:日志系统选择
LogLevel:日志等级选择
*/
5、权限限制设置
# Authentication:
LoginGraceTime 2m
PermitRootLogin yes
StrictModes yes
MaxAuthTries 6 #MaxAuthTries,指定每个连接最大允许的认证次数。默认值是6
MaxSessions 10
/*
LoginGraceTime:限制认证时限
PermitRootLogin:允许ROOT账户登录,prohibit-password禁止root登录,同no
StrictModes:检查用户主目录和相关的配置文件
MaxAuthTries:最大认证次数
MaxSessions:最大保持连接数
*/
6、公钥认证
RSAAuthentication yes
PubkeyAuthentication yes
# The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2
# but this is overridden so installations will only check .ssh/authorized_keys
AuthorizedKeysFile .ssh/authorized_keys
/*
RSAAuthentication:SSH-1公钥认证
PubkeyAuthentication:SSH-2公钥认证
AuthorizedKeysFile:授权秘钥文件
*/
7、SSH-1/2可信主机
# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
/*
RhostsRSAAuthentication:SSH-1强可信主机
HostbasedAuthentication:SSH-2强可信主机
IgnoreUserKnownHosts:认证过程中忽略用户的 ~/.ssh/known_hosts 文件
IgnoreRhosts:认证过程中忽略 .rhosts 和 .shosts 文件
*/
8、密码认证设置
# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication yes
PermitEmptyPasswords no
/*
PasswordAuthentication:yes使用密码认证
PermitEmptyPasswords:允许密码为空账户登录
*/
9、是否允许质疑-应答
# Change to no to disable s/key passwords
ChallengeResponseAuthentication yes
/*
ChallengeResponseAuthentication:是否允许质疑-应答(challenge-response)认证
*/
10、Kerberos认证
# Kerberos options
KerberosAuthentication no
KerberosOrLocalPasswd yes
KerberosTicketCleanup yes
KerberosGetAFSToken no
/*
KerberosAuthentication:是否使用Kerberos认证
KerberosOrLocalPasswd:如果 Kerberos 密码认证失败,那么该密码还将要通过其它的认证机制
KerberosTicketCleanup:是否在用户退出登录后自动销毁用户的 ticket
KerberosGetAFSToken:尝试获取一个 AFS token
*/
11、GSSAPI 的用户认证
# GSSAPI options
GSSAPIAuthentication yes
GSSAPICleanupCredentials no
GSSAPIStrictAcceptorCheck yes
/*
GSSAPIAuthentication:是否允许使用基于 GSSAPI 的用户认证
GSSAPICleanupCredentials:是否在用户退出登录后自动销毁用户凭证缓存
GSSAPIStrictAcceptorCheck:是否严格检查GSSAPI的用户认证
*/
12、PAM认证登录
# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
# WARNING: 'UsePAM no' is not supported in Red Hat Enterprise Linux and may cause several
# problems.
UsePAM yes/*
UsePAM:是否使用PAM认证登录
*/
13、X11转发设置
AllowAgentForwarding yes
AllowTcpForwarding yes
GatewayPorts noX11Forwarding yes
X11DisplayOffset 10
X11UseLocalhost yes
PermitTTY yes
PrintMotd yes
PrintLastLog yes #PrintLastLog参数控制是否显示上一次登录信息,默认是yes,即显示
TCPKeepAlive yes
UseLogin no
UsePrivilegeSeparation sandbox #Default for new installations.
PermitUserEnvironment no
Compression delayed
ClientAliveInterval 0
ClientAliveCountMax 3
ShowPatchLevel no
UseDNS yes
PidFile /var/run/sshd.pid
MaxStartups 10:30:100
PermitTunnel no
ChrootDirectory none
VersionAddendum none
/*
AllowAgentForwarding:是否允许转发ssh-agent
AllowTcpForwarding:是否允许TCP转发
GatewayPorts:是否允许远程主机连接本地的转发端口
X11Forwarding:是否允许进行 X11 转发
X11DisplayOffset:指定X11 转发的第一个可用的显示区(display)数字
X11UseLocalhost:是否应当将X11转发服务器绑定到本地loopback地址
PermitTTY:是否允许pty分配
PrintMotd:是否在每一次交互式登录时打印 /etc/motd 文件的内容
PrintLastLog:是否在每一次交互式登录时打印最后一位用户的登录时间
TCPKeepAlive:是否向客户端发送 TCP keepalive 消息
UseLogin:是否在交互式会话的登录过程中使用 login
UsePrivilegeSeparation:是否让 sshd 通过创建非特权子进程处理接入请求的方法来进行权限分离
PermitUserEnvironment:是否允许 sshd处理environment
Compression:是否对通信数据进行加密,可用值:“yes", "delayed"(默认,延迟认证成功后加密), "no"
ClientAliveInterval:设置时长(秒),向客户端发送一个”alive”消息并等候应答,默认是0, 不发送
ClientAliveCountMax:sshd 在未收到任何客户端回应前最多允许发送多少个”alive”消息
ShowPatchLevel:是否显示ssh的补丁信息
UseDNS:是否应该对远程主机名进行反向解析
PidFile:pid文件位置
MaxStartups:指定并发未认证的最大数量节点到SSH守护进程,10:30:100表示如果超过10个并发初始连接,则后续的连接由30%的概率直接关闭,如果超过100个连接,则所有新连接100%直接关闭。
PermitTunnel:是否允许 tun 设备转发
ChrootDirectory:指定chroot认证的路径名
VersionAddendum:连接时指定附加文本
*/
14、显示信息给远程用户
# no default banner path
Banner none
/*
Banner:将这个指令指定的文件中的内容在用户进行认证前显示给远程用户
*/
15、传递到会话环境中的环境变量
# Accept locale-related environment variables
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
/*
AcceptEnv:指定客户端发送的哪些环境变量将会被传递到会话环境中
*/
16、配置一个外部子系统
# override default of no subsystems
Subsystem sftp /usr/libexec/openssh/sftp-server
/*
Subsystem:配置一个外部子系统
*/
17、简单优化sshd配置
实际上sshd_config参数除了如下表格中,还有很多,只是我们大部分我们都使用默认值即可。果想了解每个参数的用途和说明,我们可以使用man sshd_config命令进行查看。
[root@java382 ~]# Vim /etc/ssh/sshd_conf
PermitRootLogin no #阻止root用户登录;
PermitRootLogin without-password #充许root基于密钥登录;
PasswordAuthentication no /#禁止使用SSH进行密码身份验证登录。
port 6022 #取消注释此项止,设定ssh端口,默认为22
GSSAPIAuthentication no #设置为no可以加快ssh连接速度
MaxSessions 1000 #最大保持连接数
MaxStartups 100:30:1000 #配置并发连接数关闭策略,防git和sftp经常性无法连接
UseDNS no #设置为no可以加快ssh连接速度
#Subsystem sftp /usr/libexec/openssh/sftp-server #注释此项关闭sftp工作模式,禁用sftp登录
[root@java382 ~]# systemctl restart sshd #保存修改,重启服务生效