sshd_config

Puerto TCP de escucha; Se permiten varias directivas de puerto. Asegúrese de que el firewall y los clientes permitan el puerto elegido.

Port 2222

Dirección local en la que escucha sshd. Una dirección puede incluir un puerto; asegúrese de que exista en el servidor.

ListenAddress 192.0.2.10

Seleccione la familia de direcciones: cualquiera, inet para IPv4 o inet6 para IPv6.

AddressFamily inet

Ruta a una clave de host privada del servidor; esta no es la clave de autenticación de un usuario. Protege el archivo privado.

HostKey /etc/ssh/ssh_host_ed25519_key

Ruta a un certificado de host del servidor que coincide con una clave de host configurada.

HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

Permitir o denegar la autenticación de contraseña. Verifique otro método de inicio de sesión antes de desactivarlo.

PasswordAuthentication no

Permitir o denegar la autenticación de clave pública. Los permisos del servidor y las claves autorizadas aún se aplican.

PubkeyAuthentication yes

Permitir la autenticación interactiva con el teclado. Las indicaciones y los métodos disponibles dependen del servidor y del backend de autenticación.

KbdInteractiveAuthentication yes

Requerir una de las listas de métodos separados por espacios; todos los métodos separados por comas en una lista deben tener éxito. Cada método también debe estar habilitado.

AuthenticationMethods publickey,keyboard-interactive

Controlar el inicio de sesión raíz: sí, contraseña prohibida, solo comandos forzados o no. Pruebe primero un inicio de sesión administrativo alternativo.

PermitRootLogin no

Permita que las cuentas con contraseñas vacías se autentiquen mediante la autenticación de contraseña. Habilitar esto no es seguro.

PermitEmptyPasswords no

Rutas a archivos que contienen claves públicas autorizadas. Las rutas relativas se resuelven desde el directorio de inicio del usuario; Se admiten tokens.

AuthorizedKeysFile .ssh/authorized_keys

Verifique la propiedad y los permisos de los archivos de usuario y los directorios de inicio antes de aceptar el inicio de sesión.

StrictModes yes

Permitir sólo los patrones de nombres de usuario enumerados; Los patrones USER@HOST pueden restringir el origen. El acceso a la cuenta también está sujeto a otras restricciones.

AllowUsers alice bob

Denegar patrones de nombres de usuario coincidentes. Las reglas de denegación tienen prioridad sobre las reglas de permiso correspondientes.

DenyUsers guest

Permitir solo usuarios en grupos con nombres coincidentes, sujeto a otras reglas de acceso.

AllowGroups sshusers

Denegar usuarios en grupos con nombres coincidentes; Se utilizan nombres de grupo, no ID numéricos.

DenyGroups restricted

Controlar el reenvío TCP: sí o todos, no, local o remoto. Esto por sí solo no puede impedir el reenvío por parte de usuarios con acceso shell sin restricciones.

AllowTcpForwarding local

Deshabilite las funciones de reenvío y anule otras configuraciones de reenvío. Esto puede romper los túneles y el agente o el reenvío X11.

DisableForwarding yes

Controle las direcciones de enlace de reenvío remoto: sin enlaces de bucle invertido, sí enlaces comodín y los permisos especificados por el cliente permiten direcciones seleccionadas por el cliente. Exponer los puertos tiene implicaciones de seguridad.

GatewayPorts no

Restringir destinos para el reenvío TCP local; utilice host: entradas de puerto, cualquiera o ninguna. Los nombres no se resuelven para que coincidan.

PermitOpen db.example.com:5432

Restringir direcciones de escucha y puertos para reenvío remoto; GatewayPorts también afecta el enlace.

PermitListen localhost:18080

Permitir el reenvío del agente de autenticación SSH. Un proceso remoto con acceso al socket del agente puede solicitar firmas.

AllowAgentForwarding no

Controlar el reenvío de sockets de dominio Unix: sí o todos, no, local o remoto.

AllowStreamLocalForwarding no

Habilite el reenvío de pantalla X11. Habilítelo solo cuando sea necesario y comprenda el riesgo de acceso remoto a la pantalla.

X11Forwarding no

Intentos de autenticación máximos por conexión antes de desconectarse. El servidor puede registrar fallas antes.

MaxAuthTries 4

Sesiones máximas de shell, inicio de sesión o subsistema por conexión SSH. Establecer cero evita las sesiones, pero aún puede permitir el reenvío.

MaxSessions 10

Limite las conexiones no autenticadas. La forma start:rate:full rechaza progresivamente las conexiones bajo carga.

MaxStartups 10:30:100

Tiempo permitido para la autenticación; una duración de cero significa que no hay límite de tiempo.

LoginGraceTime 60s

Intervalo en segundos para sondas de cliente activo de nivel SSH cifradas; cero desactiva estas sondas.

ClientAliveInterval 30

Número de sondeos de cliente activo a nivel SSH sin respuesta tolerados antes de desconectarse. Úselo con ClientAliveInterval.

ClientAliveCountMax 3

Controle los mensajes de mantenimiento de TCP. Estos son independientes de las sondas cifradas de cliente SSH activo.

TCPKeepAlive yes

Habilite la integración de PAM en compilaciones que la admitan. La política PAM y los métodos de autenticación disponibles varían según el sistema.

UsePAM yes

Permitir la asignación de un pseudoterminal. Deshabilitarlo afecta las sesiones interactivas.

PermitTTY yes

Reemplace el comando solicitado con un comando fijo. Valide el acceso y las restricciones cuidadosamente antes de habilitarlo.

ForceCommand internal-sftp

Definir un subsistema con nombre y su comando; internal-sftp es el servidor SFTP integrado.

Subsystem sftp internal-sftp

Confine una sesión a un directorio después de la autenticación. La propiedad y los permisos del directorio se controlan estrictamente; proporcionar los archivos necesarios para la sesión prevista.

ChrootDirectory /srv/sftp/%u

Inicie un bloque condicional para hacer coincidir usuarios, grupos, direcciones u otros criterios admitidos. En su interior sólo se permiten determinadas directivas.

Match User sftpuser
    ForceCommand internal-sftp

Incluya archivos de configuración por ruta o global. El pedido es importante porque generalmente se aplica el primer valor obtenido.

Include /etc/ssh/sshd_config.d/*.conf

Establezca el nivel de detalle del registro, como QUIET, FATAL, ERROR, INFO, VERBOSE o DEBUG. Los registros detallados pueden exponer información confidencial.

LogLevel INFO

Elija la función syslog utilizada para los mensajes del servidor SSH; La configuración de registro del sistema determina dónde aparecen.

SyslogFacility AUTH

Envíe el contenido de un archivo específico antes de la autenticación. Utilice none para desactivar un banner configurado.

Banner /etc/issue.net

Permitir variables de entorno nombradas proporcionadas por el cliente. Algunas variables pueden eludir entornos restringidos, por lo tanto, permita solo lo que sea necesario.

AcceptEnv LANG LC_*

Controle la configuración del entorno proporcionada por el usuario. Habilitarlos puede evitar las restricciones a través de variables de entorno.

PermitUserEnvironment no

Controle si sshd imprime el mensaje del día al iniciar sesión de forma interactiva. PAM u otro servicio también puede imprimirlo.

PrintMotd no

Controlar la compresión. Los valores y tiempos admitidos varían según la versión de OpenSSH.

Compression no

Establezca el umbral de datos y, opcionalmente, el intervalo de tiempo para la reintroducción. Utilice valores apropiados para la versión del servidor.

RekeyLimit 1G 1h

Seleccione los algoritmos de cifrado permitidos. Reemplazar la lista predeterminada puede reducir la compatibilidad; utilice el cifrado ssh -Q para inspeccionar los algoritmos compatibles con el cliente.

Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com

Seleccione algoritmos de intercambio de claves. Restringir esta lista puede arruinar a los clientes; Verifique el apoyo en ambos lados.

KexAlgorithms curve25519-sha256

Seleccione algoritmos de firma de clave pública permitidos para la autenticación de usuarios. Verifique la compatibilidad antes de cambiar la lista predeterminada.

PubkeyAcceptedAlgorithms ssh-ed25519

Seleccione los algoritmos de firma de clave de host ofrecidos por el servidor. La clave de host configurada debe admitir el algoritmo elegido.

HostKeyAlgorithms ssh-ed25519

Archivo que contiene claves públicas de autoridad de certificación de usuario confiable para la autenticación de certificados.

TrustedUserCAKeys /etc/ssh/user_ca.pub

Archivo que contiene claves públicas revocadas o una lista de revocación de claves. Un archivo configurado faltante o ilegible puede impedir la autenticación de clave pública.

RevokedKeys /etc/ssh/revoked_keys

Archivo que enumera los principales permitidos para un certificado de usuario firmado por una CA confiable; Se admite la expansión de tokens.

AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u

Agregue texto al banner del protocolo SSH; none desactiva el texto agregado.

VersionAddendum none

Ejecute un programa confiable y propiedad de root para obtener claves públicas. Configure su cuenta de ejecución y siga los requisitos de propiedad del manual.

AuthorizedKeysCommand /usr/local/libexec/ssh-keys %u

Cuenta utilizada para ejecutar AuthorizedKeysCommand; Se recomienda una cuenta dedicada.

AuthorizedKeysCommandUser sshkeys

Ejecute un programa confiable para obtener entidades principales de certificado permitidas. Configure su cuenta de ejecución por separado.

AuthorizedPrincipalsCommand /usr/local/libexec/ssh-principals %u

Cuenta utilizada para ejecutar AuthorizedPrincipalsCommand; Utilice una cuenta dedicada.

AuthorizedPrincipalsCommandUser sshprincipals

Restringir los algoritmos de firma de la autoridad certificadora aceptados para los certificados SSH. Verifique la compatibilidad de CA y del cliente antes de realizar cambios.

CASignatureAlgorithms ssh-ed25519

Caducar canales inactivos por tipo de canal y duración; La disponibilidad y los tipos de canales admitidos dependen de la versión. La caducidad no necesita terminar la conexión SSH.

ChannelTimeout session=1h

Exponer información de autenticación a través de un archivo temporal al que hace referencia SSH_USER_AUTH; considere el acceso a los detalles de autenticación.

ExposeAuthInfo no

Seleccione el hash utilizado para las huellas digitales clave, como sha256 o md5. Prefiere SHA-256.

FingerprintHash sha256

Controle la autenticación de usuarios GSSAPI cuando la compilación del servidor lo admita.

GSSAPIAuthentication no

Controlar si las credenciales GSSAPI delegadas se destruyen al cerrar sesión; El soporte de construcción varía.

GSSAPICleanupCredentials yes

Controle el almacenamiento de credenciales GSSAPI delegadas para sesiones de usuario cuando sea compatible.

GSSAPIDelegateCredentials no

Controle si el servidor requiere la identidad de host GSSAPI correcta. Deshabilitar la verificación tiene implicaciones de seguridad.

GSSAPIStrictAcceptorCheck yes

Seleccione los algoritmos aceptados para la autenticación basada en host. La disponibilidad varía según la versión de OpenSSH.

HostbasedAcceptedAlgorithms ssh-ed25519

Controlar la autenticación basada en host; requiere confianza adicional y configuración de host.

HostbasedAuthentication no

Controle si la autenticación basada en host utiliza el nombre proporcionado por el cliente en lugar de DNS. Revise las implicaciones de confianza.

HostbasedUsesNameFromPacketOnly no

Especifique el socket del agente utilizado para acceder a las claves privadas del host. El agente y su socket deben estar disponibles para sshd.

HostKeyAgent /run/ssh-hostkey-agent.sock

Controle el uso de archivos rhosts o shosts por usuario para la autenticación basada en host; Los valores aceptados varían según la versión.

IgnoreRhosts yes

Controle si los archivos de hosts_conocidos específicos del usuario se ignoran durante la autenticación basada en host.

IgnoreUserKnownHosts yes

Controle la autenticación de contraseña de Kerberos cuando esté construida y configurada con soporte de Kerberos.

KerberosAuthentication no

Controle la obtención de un token AFS para un usuario autenticado por Kerberos cuando la compilación lo admita.

KerberosGetAFSToken no

Controle si la validación fallida de la contraseña de Kerberos recurre a la autenticación de contraseña local.

KerberosOrLocalPasswd no

Controle la eliminación de la caché de tickets Kerberos de un usuario al cerrar sesión, cuando sea compatible.

KerberosTicketCleanup yes

Anule la detalle del registro para hacer coincidir las ubicaciones de origen. Está destinado a la resolución de problemas y puede exponer información confidencial.

LogVerbose kex.c:*:1000

Ruta al archivo de módulos utilizado para el intercambio de grupos Diffie-Hellman; manténgalo de acuerdo con las instrucciones de la plataforma.

ModuliFile /etc/ssh/moduli

Seleccione el nombre del servicio PAM en las compilaciones que admitan esta directiva; Debe existir una política PAM para el servicio seleccionado.

PAMServiceName sshd

Controlar el reenvío de dispositivos: sí, punto a punto, ethernet o no. Es posible que se requieran privilegios y configuración adicionales del sistema.

PermitTunnel no

Controlar la ejecución del archivo SSH rc del usuario. Deshabilitarlo puede afectar la configuración de la sesión del usuario.

PermitUserRC no

Limite las conexiones simultáneas no autenticadas por dirección de origen o grupo de origen; El soporte de versiones varía.

PerSourceMaxStartups 10

Establezca las longitudes de prefijo IPv4 e IPv6 utilizadas para agrupar fuentes para límites de conexión por fuente.

PerSourceNetBlockSize 32:128

Configurar sanciones para fuentes problemáticas. Los tipos de penalización, valores y valores predeterminados admitidos varían según la versión de OpenSSH.

PerSourcePenalties no

Enumere las direcciones de origen o los rangos de CIDR exentos de sanciones por fuente; garantizar que las exenciones tengan un alcance limitado.

PerSourcePenaltyExemptList 192.0.2.0/24

Ruta al archivo de ID del proceso del servidor. Asegúrese de que el administrador de servicios y los permisos estén de acuerdo con esta ruta.

PidFile /run/sshd.pid

Controle la impresión de la hora de inicio de sesión anterior para inicios de sesión interactivos. La disponibilidad puede depender del soporte de la plataforma.

PrintLastLog yes

Establezca opciones de autenticación de clave pública, incluidos los requisitos de verificación o toque de clave de seguridad cuando sea compatible.

PubkeyAuthOptions touch-required

Rechazar una conexión, normalmente dentro de un bloque Match. La disponibilidad varía según la versión.

Match User blocked
    RefuseConnection yes

Establezca el tamaño mínimo de clave RSA aceptado por sshd. Los valores más bajos pueden debilitar la seguridad y algunas versiones imponen un mínimo.

RequiredRSASize 3072

Seleccione un dominio de enrutamiento para la sesión en plataformas que admitan dominios de enrutamiento. Esto es específico de la plataforma.

RDomain 1

Ruta a una biblioteca de middleware de claves de seguridad FIDO; dejarlo sin configurar utiliza el soporte integrado cuando esté disponible.

SecurityKeyProvider /usr/local/lib/libsk-libfido2.so

Ruta al asistente de autenticación sshd en versiones y plataformas que lo admiten. Normalmente gestionado por el paquete.

SshdAuthPath /usr/libexec/sshd-auth

Ruta al asistente de sesión sshd en versiones y plataformas que lo admiten. Normalmente gestionado por el paquete.

SshdSessionPath /usr/libexec/sshd-session

Establezca la máscara de creación del modo de archivo octal para un socket de reenvío de dominio Unix.

StreamLocalBindMask 0177

Controle si se elimina un socket de dominio Unix existente antes de crear un oyente de reenvío.

StreamLocalBindUnlink no

Cierra las conexiones sin canales abiertos después del tiempo especificado. El comportamiento afectado y la disponibilidad varían según la versión.

UnusedConnectionTimeout 5m

Configure el primer número de pantalla disponible para el desvío X11.

X11DisplayOffset 10

Vincular el servidor de reenvío X11 al bucle invertido cuando esté habilitado; deshabilitarlo puede exponer la pantalla más ampliamente.

X11UseLocalhost yes

Ruta al programa xauth utilizado para el reenvío X11 cuando corresponda.

XAuthLocation /usr/bin/xauth

Establezca marcas de calidad de servicio IP para sesiones interactivas y no interactivas. Los dispositivos de red pueden interpretar o ignorar estas marcas.

IPQoS lowdelay throughput

Seleccione algoritmos de código de autenticación de mensajes. Cambiar los valores predeterminados puede afectar la seguridad y la compatibilidad del cliente.

MACs hmac-sha2-256-etm@openssh.com

Establezca variables de entorno para sesiones secundarias. Estos valores anulan las variables aceptadas de los archivos de entorno del cliente o del usuario.

SetEnv LANG=en_US.UTF-8

Controle la búsqueda y verificación de DNS inversa para los clientes conectados. Habilitarlo puede agregar retraso si el DNS es lento.

UseDNS no