sshd_config

Abhörender TCP-Port; Mehrere Port-Anweisungen sind zulässig. Stellen Sie sicher, dass die Firewall und die Clients den gewählten Port zulassen.

Port 2222

Lokale Adresse, die sshd abhört. Eine Adresse kann einen Port enthalten; Stellen Sie sicher, dass es auf dem Server vorhanden ist.

ListenAddress 192.0.2.10

Wählen Sie die Adressfamilie aus: beliebig, inet für IPv4 oder inet6 für IPv6.

AddressFamily inet

Pfad zu einem privaten Server-Hostschlüssel; Dies ist nicht der Authentifizierungsschlüssel eines Benutzers. Schützen Sie die private Datei.

HostKey /etc/ssh/ssh_host_ed25519_key

Pfad zu einem Server-Host-Zertifikat, das einem konfigurierten Host-Schlüssel entspricht.

HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

Passwortauthentifizierung zulassen oder verweigern. Überprüfen Sie eine andere Anmeldemethode, bevor Sie sie deaktivieren.

PasswordAuthentication no

Erlauben oder verweigern Sie die Authentifizierung mit öffentlichem Schlüssel. Serverberechtigungen und autorisierte Schlüssel gelten weiterhin.

PubkeyAuthentication yes

Tastaturinteraktive Authentifizierung zulassen. Die Eingabeaufforderungen und verfügbaren Methoden hängen vom Server und dem Authentifizierungs-Backend ab.

KbdInteractiveAuthentication yes

Erfordert eine der durch Leerzeichen getrennten Methodenlisten. Jede durch Kommas getrennte Methode in einer Liste muss erfolgreich sein. Jede Methode muss außerdem aktiviert sein.

AuthenticationMethods publickey,keyboard-interactive

Kontrollieren Sie die Root-Anmeldung: Ja, Passwort verbieten, nur erzwungene Befehle oder Nein. Testen Sie zunächst einen alternativen Administrator-Login.

PermitRootLogin no

Ermöglichen Sie Konten mit leeren Passwörtern die Authentifizierung mithilfe der Passwortauthentifizierung. Dies zu aktivieren ist unsicher.

PermitEmptyPasswords no

Pfade zu Dateien, die autorisierte öffentliche Schlüssel enthalten. Relative Pfade werden aus dem Home-Verzeichnis des Benutzers aufgelöst; Token werden unterstützt.

AuthorizedKeysFile .ssh/authorized_keys

Überprüfen Sie den Besitz und die Berechtigungen von Benutzerdateien und Home-Verzeichnissen, bevor Sie die Anmeldung akzeptieren.

StrictModes yes

Nur die aufgelisteten Benutzernamenmuster zulassen; USER@HOST-Muster können den Ursprung einschränken. Darüber hinaus unterliegt der Kontozugriff weiteren Einschränkungen.

AllowUsers alice bob

Verweigern Sie übereinstimmende Benutzernamenmuster. Verweigerungsregeln haben Vorrang vor entsprechenden Zulassungsregeln.

DenyUsers guest

Lassen Sie nur Benutzer in übereinstimmenden benannten Gruppen zu, vorbehaltlich anderer Zugriffsregeln.

AllowGroups sshusers

Verweigern Sie Benutzern übereinstimmende benannte Gruppen. Es werden Gruppennamen und keine numerischen IDs verwendet.

DenyGroups restricted

Steuern Sie die TCP-Weiterleitung: Ja oder alle, Nein, lokal oder remote. Dies allein kann eine Weiterleitung durch Benutzer mit uneingeschränktem Shell-Zugriff nicht verhindern.

AllowTcpForwarding local

Deaktivieren Sie die Weiterleitungsfunktionen und überschreiben Sie andere Weiterleitungseinstellungen. Dadurch können Tunnel und Agent- oder X11-Weiterleitungen unterbrochen werden.

DisableForwarding yes

Steuern Sie die Remote-Weiterleitung an Bindungsadressen: „Nein“ bindet Loopback, „Ja“ bindet Platzhalter und „Clientspecified“ lässt vom Client ausgewählte Adressen zu. Das Offenlegen von Ports hat Auswirkungen auf die Sicherheit.

GatewayPorts no

Beschränken Sie Ziele für die lokale TCP-Weiterleitung. Verwenden Sie Host:Port-Einträge, „any“ oder „none“. Namen werden für den Abgleich nicht aufgelöst.

PermitOpen db.example.com:5432

Beschränken Sie Abhöradressen und Ports für die Remote-Weiterleitung. GatewayPorts wirkt sich auch auf die Bindung aus.

PermitListen localhost:18080

Erlauben Sie die Weiterleitung des SSH-Authentifizierungsagenten. Ein Remote-Prozess mit Zugriff auf den Agent-Socket kann Signaturen anfordern.

AllowAgentForwarding no

Steuern Sie die Unix-Domänen-Socket-Weiterleitung: Ja oder alle, Nein, lokal oder remote.

AllowStreamLocalForwarding no

Aktivieren Sie die X11-Anzeigeweiterleitung. Aktivieren Sie die Funktion nur dort, wo sie benötigt wird, und verstehen Sie das Risiko des Fernzugriffs auf die Anzeige.

X11Forwarding no

Maximale Authentifizierungsversuche pro Verbindung vor der Trennung. Der Server protokolliert Fehler möglicherweise früher.

MaxAuthTries 4

Maximale Shell-, Anmelde- oder Subsystemsitzungen pro SSH-Verbindung. Durch die Einstellung Null werden Sitzungen verhindert, die Weiterleitung kann jedoch weiterhin möglich sein.

MaxSessions 10

Beschränken Sie nicht authentifizierte Verbindungen. Das start:rate:full-Formular lehnt Verbindungen unter Last zunehmend ab.

MaxStartups 10:30:100

Für die Authentifizierung vorgesehene Zeit; Eine Dauer von Null bedeutet keine zeitliche Begrenzung.

LoginGraceTime 60s

Intervall in Sekunden für verschlüsselte Client-Alive-Probes auf SSH-Ebene; Null deaktiviert diese Sonden.

ClientAliveInterval 30

Anzahl der unbeantworteten Client-Alive-Prüfungen auf SSH-Ebene, die toleriert werden, bevor die Verbindung getrennt wird. Verwendung mit ClientAliveInterval.

ClientAliveCountMax 3

Steuern Sie TCP-Keepalive-Nachrichten. Diese unterscheiden sich von verschlüsselten SSH-Client-Alive-Probes.

TCPKeepAlive yes

Aktivieren Sie die PAM-Integration für Builds, die sie unterstützen. Die PAM-Richtlinie und die verfügbaren Authentifizierungsmethoden variieren je nach System.

UsePAM yes

Zuweisung eines Pseudo-Terminals zulassen. Die Deaktivierung wirkt sich auf interaktive Sitzungen aus.

PermitTTY yes

Ersetzen Sie den angeforderten Befehl durch einen festen Befehl. Überprüfen Sie den Zugriff und die Einschränkungen sorgfältig, bevor Sie die Funktion aktivieren.

ForceCommand internal-sftp

Definieren Sie ein benanntes Subsystem und seinen Befehl. internal-sftp ist der integrierte SFTP-Server.

Subsystem sftp internal-sftp

Beschränken Sie eine Sitzung nach der Authentifizierung auf ein Verzeichnis. Der Besitz und die Berechtigungen des Verzeichnisses werden streng überprüft. Bereitstellung erforderlicher Dateien für die geplante Sitzung.

ChrootDirectory /srv/sftp/%u

Starten Sie einen bedingten Block für übereinstimmende Benutzer, Gruppen, Adressen oder andere unterstützte Kriterien. Darin sind nur bestimmte Anweisungen zulässig.

Match User sftpuser
    ForceCommand internal-sftp

Fügen Sie Konfigurationsdateien nach Pfad oder Glob hinzu. Die Reihenfolge ist wichtig, da im Allgemeinen der zuerst ermittelte Wert gilt.

Include /etc/ssh/sshd_config.d/*.conf

Legen Sie die Ausführlichkeit der Protokollierung fest, z. B. QUIET, FATAL, ERROR, INFO, VERBOSE oder DEBUG. Detaillierte Protokolle können vertrauliche Informationen preisgeben.

LogLevel INFO

Wählen Sie die Syslog-Funktion aus, die für SSH-Servernachrichten verwendet wird. Die Konfiguration der Systemprotokollierung bestimmt, wo sie angezeigt werden.

SyslogFacility AUTH

Senden Sie den Inhalt einer angegebenen Datei vor der Authentifizierung. Verwenden Sie „Keine“, um ein konfiguriertes Banner zu deaktivieren.

Banner /etc/issue.net

Benannte, vom Client bereitgestellte Umgebungsvariablen zulassen. Einige Variablen können eingeschränkte Umgebungen umgehen, also lassen Sie nur das zu, was benötigt wird.

AcceptEnv LANG LC_*

Steuern Sie vom Benutzer bereitgestellte Umgebungseinstellungen. Durch ihre Aktivierung können Einschränkungen durch Umgebungsvariablen umgangen werden.

PermitUserEnvironment no

Steuern Sie, ob sshd bei der interaktiven Anmeldung die Nachricht des Tages druckt. PAM oder ein anderer Dienst können es auch ausdrucken.

PrintMotd no

Komprimierung steuern. Die unterstützten Werte und das Timing variieren je nach OpenSSH-Version.

Compression no

Legen Sie den Datenschwellenwert und optional das Zeitintervall für die Neueingabe fest. Verwenden Sie für die Serverversion geeignete Werte.

RekeyLimit 1G 1h

Wählen Sie zulässige Verschlüsselungsalgorithmen aus. Das Ersetzen der Standardliste kann die Kompatibilität beeinträchtigen. Verwenden Sie ssh -Q cipher, um vom Client unterstützte Algorithmen zu überprüfen.

Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com

Wählen Sie Schlüsselaustauschalgorithmen aus. Das Einschränken dieser Liste kann dazu führen, dass Clients beschädigt werden. Überprüfen Sie die Unterstützung auf beiden Seiten.

KexAlgorithms curve25519-sha256

Wählen Sie zulässige Public-Key-Signaturalgorithmen für die Benutzerauthentifizierung aus. Überprüfen Sie die Kompatibilität, bevor Sie die Standardliste ändern.

PubkeyAcceptedAlgorithms ssh-ed25519

Wählen Sie die vom Server angebotenen Hostschlüssel-Signaturalgorithmen aus. Der konfigurierte Hostschlüssel muss den gewählten Algorithmus unterstützen.

HostKeyAlgorithms ssh-ed25519

Datei mit öffentlichen Schlüsseln vertrauenswürdiger Benutzerzertifizierungsstellen für die Zertifikatauthentifizierung.

TrustedUserCAKeys /etc/ssh/user_ca.pub

Datei, die widerrufene öffentliche Schlüssel oder eine Schlüsselwiderrufsliste enthält. Eine fehlende oder nicht lesbare konfigurierte Datei kann die Authentifizierung mit öffentlichem Schlüssel verhindern.

RevokedKeys /etc/ssh/revoked_keys

Datei listet Prinzipale auf, die für ein von einer vertrauenswürdigen Zertifizierungsstelle signiertes Benutzerzertifikat zulässig sind. Token-Erweiterung wird unterstützt.

AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u

Text an das SSH-Protokoll-Banner anhängen; none deaktiviert den hinzugefügten Text.

VersionAddendum none

Führen Sie ein vertrauenswürdiges Root-Programm aus, um öffentliche Schlüssel zu erhalten. Konfigurieren Sie das Ausführungskonto und befolgen Sie die Eigentumsvoraussetzungen im Handbuch.

AuthorizedKeysCommand /usr/local/libexec/ssh-keys %u

Konto, das zum Ausführen von AuthorizedKeysCommand verwendet wird; Ein dediziertes Konto wird empfohlen.

AuthorizedKeysCommandUser sshkeys

Führen Sie ein vertrauenswürdiges Programm aus, um zulässige Zertifikatsprinzipale zu erhalten. Konfigurieren Sie das Ausführungskonto separat.

AuthorizedPrincipalsCommand /usr/local/libexec/ssh-principals %u

Konto, das zum Ausführen von AuthorizedPrincipalsCommand verwendet wird; Verwenden Sie ein dediziertes Konto.

AuthorizedPrincipalsCommandUser sshprincipals

Beschränken Sie die für SSH-Zertifikate akzeptierten Signaturalgorithmen der Zertifizierungsstelle. Überprüfen Sie vor Änderungen die Kompatibilität von Zertifizierungsstelle und Client.

CASignatureAlgorithms ssh-ed25519

Inaktive Kanäle nach Kanaltyp und -dauer ablaufen lassen; Verfügbarkeit und unterstützte Kanaltypen hängen von der Version ab. Der Ablauf muss die SSH-Verbindung nicht beenden.

ChannelTimeout session=1h

Authentifizierungsinformationen über eine temporäre Datei verfügbar machen, auf die von SSH_USER_AUTH verwiesen wird; Erwägen Sie den Zugriff auf Authentifizierungsdetails.

ExposeAuthInfo no

Wählen Sie den Hash aus, der für Schlüsselfingerabdrücke verwendet wird, z. B. sha256 oder md5. Bevorzugen Sie SHA-256.

FingerprintHash sha256

Steuern Sie die GSSAPI-Benutzerauthentifizierung, wenn dies vom Server-Build unterstützt wird.

GSSAPIAuthentication no

Steuern Sie, ob delegierte GSSAPI-Anmeldeinformationen beim Abmelden zerstört werden. Die Build-Unterstützung variiert.

GSSAPICleanupCredentials yes

Steuern Sie das Speichern delegierter GSSAPI-Anmeldeinformationen für Benutzersitzungen, sofern dies unterstützt wird.

GSSAPIDelegateCredentials no

Steuern Sie, ob der Server die richtige GSSAPI-Hostidentität benötigt. Das Deaktivieren der Überprüfung hat Auswirkungen auf die Sicherheit.

GSSAPIStrictAcceptorCheck yes

Wählen Sie Algorithmen aus, die für die hostbasierte Authentifizierung akzeptiert werden. Die Verfügbarkeit variiert je nach OpenSSH-Version.

HostbasedAcceptedAlgorithms ssh-ed25519

Steuern Sie die hostbasierte Authentifizierung. es erfordert zusätzliche Vertrauens- und Hostkonfiguration.

HostbasedAuthentication no

Steuern Sie, ob die hostbasierte Authentifizierung den vom Client bereitgestellten Namen anstelle von DNS verwendet. Überprüfen Sie die Auswirkungen auf das Vertrauen.

HostbasedUsesNameFromPacketOnly no

Geben Sie den Agent-Socket an, der für den Zugriff auf private Hostschlüssel verwendet wird. Der Agent und sein Socket müssen für sshd verfügbar sein.

HostKeyAgent /run/ssh-hostkey-agent.sock

Kontrollieren Sie die Verwendung von rhosts- oder shosts-Dateien pro Benutzer für die hostbasierte Authentifizierung. Die akzeptierten Werte variieren je nach Version.

IgnoreRhosts yes

Steuern Sie, ob benutzerspezifische „known_hosts“-Dateien während der hostbasierten Authentifizierung ignoriert werden.

IgnoreUserKnownHosts yes

Steuern Sie die Kerberos-Passwortauthentifizierung, wenn Sie sie mit Kerberos-Unterstützung erstellen und konfigurieren.

KerberosAuthentication no

Steuern Sie den Erhalt eines AFS-Tokens für einen Kerberos-authentifizierten Benutzer, sofern der Build dies unterstützt.

KerberosGetAFSToken no

Steuern Sie, ob die fehlgeschlagene Kerberos-Passwortvalidierung auf die lokale Passwortauthentifizierung zurückgreift.

KerberosOrLocalPasswd no

Steuern Sie das Entfernen des Kerberos-Ticketcaches eines Benutzers beim Abmelden, sofern dies unterstützt wird.

KerberosTicketCleanup yes

Überschreiben Sie die Ausführlichkeit der Protokollierung für übereinstimmende Quellorte. Es dient der Fehlerbehebung und kann vertrauliche Informationen preisgeben.

LogVerbose kex.c:*:1000

Pfad zur Moduli-Datei, die für den Diffie-Hellman-Gruppenaustausch verwendet wird; Pflegen Sie es gemäß den Plattformrichtlinien.

ModuliFile /etc/ssh/moduli

Wählen Sie den PAM-Dienstnamen für Builds aus, die diese Anweisung unterstützen. Für den ausgewählten Dienst muss eine PAM-Richtlinie vorhanden sein.

PAMServiceName sshd

Steuern Sie die Geräteweiterleitung: Ja, Punkt-zu-Punkt, Ethernet oder Nein. Möglicherweise sind zusätzliche Systemrechte und Konfiguration erforderlich.

PermitTunnel no

Steuern Sie die Ausführung der SSH-RC-Datei des Benutzers. Die Deaktivierung kann sich auf die Einrichtung der Benutzersitzung auswirken.

PermitUserRC no

Begrenzen Sie gleichzeitige nicht authentifizierte Verbindungen pro Quelladresse oder Quellgruppe. Die Versionsunterstützung variiert.

PerSourceMaxStartups 10

Legen Sie die IPv4- und IPv6-Präfixlängen fest, die zum Gruppieren von Quellen für Verbindungslimits pro Quelle verwendet werden.

PerSourceNetBlockSize 32:128

Konfigurieren Sie Strafen für problematische Quellen. Die unterstützten Straftypen, Werte und Standardeinstellungen variieren je nach OpenSSH-Version.

PerSourcePenalties no

Quelladressen oder CIDR-Bereiche auflisten, die von Strafen pro Quelle ausgenommen sind; Stellen Sie sicher, dass die Ausnahmen eng begrenzt sind.

PerSourcePenaltyExemptList 192.0.2.0/24

Pfad zur Serverprozess-ID-Datei. Stellen Sie sicher, dass der Dienstmanager und die Berechtigungen mit diesem Pfad übereinstimmen.

PidFile /run/sshd.pid

Steuern Sie den Ausdruck der vorherigen Anmeldezeit für interaktive Anmeldungen. Die Verfügbarkeit hängt möglicherweise von der Plattformunterstützung ab.

PrintLastLog yes

Legen Sie Authentifizierungsoptionen mit öffentlichem Schlüssel fest, einschließlich Sicherheitsschlüssel-Berührungs- oder Verifizierungsanforderungen, sofern unterstützt.

PubkeyAuthOptions touch-required

Verweigern Sie eine Verbindung, normalerweise innerhalb eines Match-Blocks. Die Verfügbarkeit variiert je nach Version.

Match User blocked
    RefuseConnection yes

Legen Sie die minimale RSA-Schlüsselgröße fest, die von sshd akzeptiert wird. Niedrigere Werte können die Sicherheit schwächen und einige Versionen erfordern ein Minimum.

RequiredRSASize 3072

Wählen Sie eine Routing-Domäne für die Sitzung auf Plattformen aus, die Routing-Domänen unterstützen. Dies ist plattformspezifisch.

RDomain 1

Pfad zu einer FIDO-Sicherheitsschlüssel-Middleware-Bibliothek; Wenn Sie es nicht aktivieren, wird die integrierte Unterstützung verwendet, sofern verfügbar.

SecurityKeyProvider /usr/local/lib/libsk-libfido2.so

Pfad zum SSHD-Authentifizierungshilfsprogramm auf Versionen und Plattformen, die es unterstützen. Wird normalerweise vom Paket verwaltet.

SshdAuthPath /usr/libexec/sshd-auth

Pfad zum SSHD-Sitzungshilfsprogramm auf Versionen und Plattformen, die es unterstützen. Wird normalerweise vom Paket verwaltet.

SshdSessionPath /usr/libexec/sshd-session

Legen Sie die Erstellungsmaske für den Oktaldateimodus für einen Unix-Domänen-Weiterleitungssocket fest.

StreamLocalBindMask 0177

Steuern Sie, ob ein vorhandener Unix-Domänen-Socket entfernt wird, bevor ein Weiterleitungs-Listener erstellt wird.

StreamLocalBindUnlink no

Schließen Sie Verbindungen ohne offene Kanäle nach der angegebenen Zeit. Das betroffene Verhalten und die Verfügbarkeit variieren je nach Version.

UnusedConnectionTimeout 5m

Legen Sie die erste für die X11-Weiterleitung verfügbare Displaynummer fest.

X11DisplayOffset 10

Binden Sie den X11-Weiterleitungsserver an den Loopback, wenn er aktiviert ist. Durch Deaktivieren kann die Anzeige breiter angezeigt werden.

X11UseLocalhost yes

Pfad zum xauth-Programm, das ggf. für die X11-Weiterleitung verwendet wird.

XAuthLocation /usr/bin/xauth

Legen Sie IP-Quality-of-Service-Markierungen für interaktive und nicht interaktive Sitzungen fest. Netzwerkgeräte können diese Markierungen interpretieren oder ignorieren.

IPQoS lowdelay throughput

Wählen Sie Algorithmen für den Nachrichtenauthentifizierungscode aus. Das Ändern der Standardeinstellungen kann Auswirkungen auf die Sicherheit und Clientkompatibilität haben.

MACs hmac-sha2-256-etm@openssh.com

Legen Sie Umgebungsvariablen für untergeordnete Sitzungen fest. Diese Werte überschreiben Variablen, die von Clients oder Benutzerumgebungsdateien akzeptiert werden.

SetEnv LANG=en_US.UTF-8

Steuern Sie die Reverse-DNS-Suche und -Verifizierung für die Verbindung von Clients. Die Aktivierung kann zu Verzögerungen führen, wenn DNS langsam ist.

UseDNS no