sshd_config

Port TCP d'écoute ; plusieurs directives de port sont autorisées. Assurez-vous que le pare-feu et les clients autorisent le port choisi.

Port 2222

Adresse locale sur laquelle sshd écoute. Une adresse peut inclure un port ; assurez-vous qu'il existe sur le serveur.

ListenAddress 192.0.2.10

Sélectionnez la famille d'adresses : any, inet pour IPv4 ou inet6 pour IPv6.

AddressFamily inet

Chemin d'accès à une clé d'hôte privée du serveur ; ce n'est pas la clé d'authentification d'un utilisateur. Protégez le fichier privé.

HostKey /etc/ssh/ssh_host_ed25519_key

Chemin d'accès à un certificat d'hôte de serveur correspondant à une clé d'hôte configurée.

HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

Autoriser ou refuser l'authentification par mot de passe. Vérifiez une autre méthode de connexion avant de la désactiver.

PasswordAuthentication no

Autoriser ou refuser l'authentification par clé publique. Les autorisations du serveur et les clés autorisées s'appliquent toujours.

PubkeyAuthentication yes

Autoriser l'authentification interactive au clavier. Les invites et les méthodes disponibles dépendent du serveur et du backend d'authentification.

KbdInteractiveAuthentication yes

Exiger l’une des listes de méthodes séparées par des espaces ; chaque méthode séparée par des virgules dans une liste doit réussir. Chaque méthode doit également être activée.

AuthenticationMethods publickey,keyboard-interactive

Contrôler la connexion root : oui, interdire le mot de passe, les commandes forcées uniquement ou non. Testez d’abord une autre connexion administrative.

PermitRootLogin no

Autorisez les comptes avec des mots de passe vides à s'authentifier à l'aide de l'authentification par mot de passe. L’activer n’est pas sûr.

PermitEmptyPasswords no

Chemins d'accès aux fichiers contenant les clés publiques autorisées. Les chemins relatifs sont résolus à partir du répertoire personnel de l'utilisateur ; les jetons sont pris en charge.

AuthorizedKeysFile .ssh/authorized_keys

Vérifiez la propriété et les autorisations des fichiers utilisateur et des répertoires personnels avant d'accepter la connexion.

StrictModes yes

Autoriser uniquement les modèles de nom d'utilisateur répertoriés ; Les modèles USER@HOST peuvent contraindre l'origine. L'accès au compte est également soumis à d'autres restrictions.

AllowUsers alice bob

Refuser les modèles de nom d'utilisateur correspondants. Les règles de refus ont priorité sur les règles d'autorisation correspondantes.

DenyUsers guest

Autoriser uniquement les utilisateurs appartenant à des groupes nommés correspondants, sous réserve d'autres règles d'accès.

AllowGroups sshusers

Refuser aux utilisateurs de faire correspondre des groupes nommés ; les noms de groupe, et non les identifiants numériques, sont utilisés.

DenyGroups restricted

Contrôlez le transfert TCP : oui ou tout, non, local ou distant. Cela ne peut à lui seul empêcher le transfert par les utilisateurs disposant d'un accès shell illimité.

AllowTcpForwarding local

Désactivez les fonctionnalités de transfert, en remplaçant les autres paramètres de transfert. Cela peut interrompre les tunnels et le transfert d'agent ou X11.

DisableForwarding yes

Contrôlez les adresses de liaison de transfert à distance : aucun bouclage de liaison, oui lie le caractère générique et le client spécifié autorise les adresses sélectionnées par le client. L’exposition des ports a des implications en matière de sécurité.

GatewayPorts no

Restreindre les destinations pour le transfert TCP local ; utilisez les entrées host:port, any ou none. Les noms ne sont pas résolus pour la correspondance.

PermitOpen db.example.com:5432

Restreindre les adresses et les ports d'écoute pour le transfert à distance ; GatewayPorts affecte également la liaison.

PermitListen localhost:18080

Autoriser le transfert de l'agent d'authentification SSH. Un processus distant ayant accès au socket de l'agent peut demander des signatures.

AllowAgentForwarding no

Contrôlez le transfert de socket de domaine Unix : oui ou tout, non, local ou distant.

AllowStreamLocalForwarding no

Activez le transfert d’affichage X11. Activez uniquement là où cela est nécessaire et comprenez le risque d’accès à l’écran à distance.

X11Forwarding no

Nombre maximal de tentatives d'authentification par connexion avant la déconnexion. Le serveur peut enregistrer les échecs plus tôt.

MaxAuthTries 4

Nombre maximal de sessions shell, de connexion ou de sous-système par connexion SSH. La définition de zéro empêche les sessions mais peut toujours permettre le transfert.

MaxSessions 10

Limitez les connexions non authentifiées. La forme start:rate:full rejette progressivement les connexions sous charge.

MaxStartups 10:30:100

Temps alloué pour l'authentification ; une durée de zéro signifie aucune limite de temps.

LoginGraceTime 60s

Intervalle en secondes pour les sondes client-actives chiffrées au niveau SSH ; zéro désactive ces sondes.

ClientAliveInterval 30

Nombre de vérifications client actives au niveau SSH sans réponse tolérées avant la déconnexion. À utiliser avec ClientAliveInterval.

ClientAliveCountMax 3

Contrôlez les messages TCP keepalive. Celles-ci sont distinctes des sondes client SSH chiffrées.

TCPKeepAlive yes

Activez l’intégration PAM sur les builds qui la prennent en charge. La politique PAM et les méthodes d'authentification disponibles varient selon le système.

UsePAM yes

Autoriser l'attribution d'un pseudo-terminal. Sa désactivation affecte les sessions interactives.

PermitTTY yes

Remplacez la commande demandée par une commande fixe. Validez soigneusement l’accès et les restrictions avant de les activer.

ForceCommand internal-sftp

Définir un sous-système nommé et sa commande ; internal-sftp est le serveur SFTP intégré.

Subsystem sftp internal-sftp

Confiner une session à un répertoire après authentification. La propriété et les autorisations du répertoire sont strictement vérifiées ; fournir les fichiers requis pour la session prévue.

ChrootDirectory /srv/sftp/%u

Démarrez un blocage conditionnel pour faire correspondre les utilisateurs, les groupes, les adresses ou d'autres critères pris en charge. Seules certaines directives y sont autorisées.

Match User sftpuser
    ForceCommand internal-sftp

Incluez les fichiers de configuration par chemin ou glob. L'ordre est important car la première valeur obtenue s'applique généralement.

Include /etc/ssh/sshd_config.d/*.conf

Définissez la verbosité de la journalisation, telle que QUIET, FATAL, ERROR, INFO, VERBOSE ou DEBUG. Les journaux détaillés peuvent exposer des informations sensibles.

LogLevel INFO

Choisissez la fonction syslog utilisée pour les messages du serveur SSH ; la configuration de la journalisation système détermine où ils apparaissent.

SyslogFacility AUTH

Envoyez le contenu d'un fichier spécifié avant l'authentification. Utilisez none pour désactiver une bannière configurée.

Banner /etc/issue.net

Autoriser les variables d'environnement nommées fournies par le client. Certaines variables peuvent contourner les environnements restreints, n'autorisez donc que ce qui est nécessaire.

AcceptEnv LANG LC_*

Contrôlez les paramètres d’environnement fournis par l’utilisateur. Leur activation peut contourner les restrictions via les variables d'environnement.

PermitUserEnvironment no

Contrôlez si sshd imprime le message du jour lors de la connexion interactive. PAM ou un autre service peut également l'imprimer.

PrintMotd no

Contrôler la compression. Les valeurs et la synchronisation prises en charge varient selon la version d'OpenSSH.

Compression no

Définissez le seuil de données et éventuellement l'intervalle de temps pour la nouvelle saisie. Utilisez des valeurs appropriées à la version du serveur.

RekeyLimit 1G 1h

Sélectionnez les algorithmes de cryptage autorisés. Le remplacement de la liste par défaut peut réduire la compatibilité ; utilisez le chiffrement ssh -Q pour inspecter les algorithmes pris en charge par le client.

Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com

Sélectionnez les algorithmes d'échange de clés. Restreindre cette liste peut interrompre les clients ; vérifier le soutien des deux côtés.

KexAlgorithms curve25519-sha256

Sélectionnez les algorithmes de signature à clé publique autorisés pour l’authentification des utilisateurs. Vérifiez la compatibilité avant de modifier la liste par défaut.

PubkeyAcceptedAlgorithms ssh-ed25519

Sélectionnez les algorithmes de signature de clé hôte proposés par le serveur. La clé d'hôte configurée doit prendre en charge l'algorithme choisi.

HostKeyAlgorithms ssh-ed25519

Fichier contenant les clés publiques de l'autorité de certification d'utilisateur de confiance pour l'authentification par certificat.

TrustedUserCAKeys /etc/ssh/user_ca.pub

Fichier contenant des clés publiques révoquées ou une liste de révocation de clés. Un fichier configuré manquant ou illisible peut empêcher l’authentification par clé publique.

RevokedKeys /etc/ssh/revoked_keys

Fichier répertoriant les principaux autorisés pour un certificat utilisateur signé par une autorité de certification de confiance ; L'extension des jetons est prise en charge.

AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u

Ajoutez du texte à la bannière du protocole SSH ; aucun ne désactive le texte ajouté.

VersionAddendum none

Exécutez un programme fiable appartenant à root pour obtenir des clés publiques. Configurez son compte d'exécution et suivez les exigences de propriété du manuel.

AuthorizedKeysCommand /usr/local/libexec/ssh-keys %u

Compte utilisé pour exécuter AuthorizedKeysCommand ; un compte dédié est recommandé.

AuthorizedKeysCommandUser sshkeys

Exécutez un programme approuvé pour obtenir les principaux de certificat autorisés. Configurez son compte d'exécution séparément.

AuthorizedPrincipalsCommand /usr/local/libexec/ssh-principals %u

Compte utilisé pour exécuter AuthorizedPrincipalsCommand ; utilisez un compte dédié.

AuthorizedPrincipalsCommandUser sshprincipals

Restreindre les algorithmes de signature des autorités de certification acceptés pour les certificats SSH. Vérifiez la compatibilité de l'autorité de certification et du client avant toute modification.

CASignatureAlgorithms ssh-ed25519

Faire expirer les canaux inactifs par type de canal et par durée ; la disponibilité et les types de canaux pris en charge dépendent de la version. L'expiration ne doit pas nécessairement mettre fin à la connexion SSH.

ChannelTimeout session=1h

Exposer les informations d'authentification via un fichier temporaire référencé par SSH_USER_AUTH ; envisagez l’accès aux détails d’authentification.

ExposeAuthInfo no

Sélectionnez le hachage utilisé pour les empreintes digitales clés, telles que sha256 ou md5. Préférez SHA-256.

FingerprintHash sha256

Contrôlez l’authentification des utilisateurs GSSAPI lorsqu’elle est prise en charge par la version du serveur.

GSSAPIAuthentication no

Contrôler si les informations d'identification GSSAPI déléguées sont détruites lors de la déconnexion ; le support de construction varie.

GSSAPICleanupCredentials yes

Contrôlez le stockage des informations d'identification GSSAPI déléguées pour les sessions utilisateur lorsqu'elles sont prises en charge.

GSSAPIDelegateCredentials no

Contrôlez si le serveur requiert la bonne identité d'hôte GSSAPI. La désactivation de la vérification a des implications en matière de sécurité.

GSSAPIStrictAcceptorCheck yes

Sélectionnez les algorithmes acceptés pour l'authentification basée sur l'hôte. La disponibilité varie selon la version d'OpenSSH.

HostbasedAcceptedAlgorithms ssh-ed25519

Contrôler l'authentification basée sur l'hôte ; cela nécessite une confiance supplémentaire et une configuration de l'hôte.

HostbasedAuthentication no

Contrôlez si l'authentification basée sur l'hôte utilise le nom fourni par le client au lieu du DNS. Examinez les implications en matière de confiance.

HostbasedUsesNameFromPacketOnly no

Spécifiez le socket d'agent utilisé pour accéder aux clés privées de l'hôte. L'agent et son socket doivent être disponibles pour sshd.

HostKeyAgent /run/ssh-hostkey-agent.sock

Contrôlez l'utilisation des fichiers rhosts ou shosts par utilisateur pour l'authentification basée sur l'hôte ; les valeurs acceptées varient selon la version.

IgnoreRhosts yes

Contrôlez si les fichiers known_hosts spécifiques à l'utilisateur sont ignorés lors de l'authentification basée sur l'hôte.

IgnoreUserKnownHosts yes

Contrôlez l'authentification par mot de passe Kerberos lorsqu'elle est créée et configurée avec la prise en charge de Kerberos.

KerberosAuthentication no

Contrôlez l’obtention d’un jeton AFS pour un utilisateur authentifié Kerberos là où la build le prend en charge.

KerberosGetAFSToken no

Contrôlez si l'échec de la validation du mot de passe Kerberos revient à l'authentification par mot de passe local.

KerberosOrLocalPasswd no

Contrôlez la suppression du cache de tickets Kerberos d'un utilisateur lors de la déconnexion, lorsque cela est pris en charge.

KerberosTicketCleanup yes

Remplacez la verbosité de la journalisation pour les emplacements sources correspondants. Il est destiné au dépannage et peut exposer des informations sensibles.

LogVerbose kex.c:*:1000

Chemin d'accès au fichier de modules utilisé pour l'échange de groupe Diffie-Hellman ; maintenez-le conformément aux instructions de la plate-forme.

ModuliFile /etc/ssh/moduli

Sélectionnez le nom du service PAM sur les builds qui prennent en charge cette directive ; La stratégie PAM pour le service sélectionné doit exister.

PAMServiceName sshd

Contrôlez le transfert de périphérique : oui, point à point, Ethernet ou non. Des privilèges système et une configuration supplémentaires peuvent être requis.

PermitTunnel no

Contrôler l'exécution du fichier SSH rc de l'utilisateur. Sa désactivation peut affecter la configuration de la session utilisateur.

PermitUserRC no

Limiter les connexions non authentifiées simultanées par adresse source ou groupe source ; la prise en charge des versions varie.

PerSourceMaxStartups 10

Définissez les longueurs de préfixes IPv4 et IPv6 utilisées pour regrouper les sources pour les limites de connexion par source.

PerSourceNetBlockSize 32:128

Configurez des pénalités pour les sources problématiques. Les types de pénalités, les valeurs et les valeurs par défaut pris en charge varient selon la version d'OpenSSH.

PerSourcePenalties no

Répertoriez les adresses sources ou les plages CIDR exemptées de pénalités par source ; veiller à ce que les exemptions soient d’une portée étroite.

PerSourcePenaltyExemptList 192.0.2.0/24

Chemin d'accès au fichier d'ID de processus du serveur. Assurez-vous que le gestionnaire de services et les autorisations correspondent à ce chemin.

PidFile /run/sshd.pid

Contrôlez l'impression de l'heure de connexion précédente pour les connexions interactives. La disponibilité peut dépendre de la prise en charge de la plateforme.

PrintLastLog yes

Définissez les options d'authentification par clé publique, y compris les exigences de toucher ou de vérification de la clé de sécurité lorsqu'elles sont prises en charge.

PubkeyAuthOptions touch-required

Refuser une connexion, généralement à l’intérieur d’un bloc Match. La disponibilité varie selon la version.

Match User blocked
    RefuseConnection yes

Définissez la taille minimale de la clé RSA acceptée par sshd. Des valeurs inférieures peuvent affaiblir la sécurité et certaines versions imposent un minimum.

RequiredRSASize 3072

Sélectionnez un domaine de routage pour la session sur les plateformes prenant en charge les domaines de routage. Ceci est spécifique à la plate-forme.

RDomain 1

Chemin d'accès à une bibliothèque middleware de clé de sécurité FIDO ; le laisser non défini utilise le support intégré lorsqu'il est disponible.

SecurityKeyProvider /usr/local/lib/libsk-libfido2.so

Chemin d'accès à l'assistant d'authentification sshd sur les versions et plates-formes qui le prennent en charge. Normalement géré par le package.

SshdAuthPath /usr/libexec/sshd-auth

Chemin d'accès à l'assistant de session sshd sur les versions et plates-formes qui le prennent en charge. Normalement géré par le package.

SshdSessionPath /usr/libexec/sshd-session

Définissez le masque de création du mode fichier octal pour un socket de transfert de domaine Unix.

StreamLocalBindMask 0177

Contrôlez si un socket de domaine Unix existant est supprimé avant de créer un écouteur de transfert.

StreamLocalBindUnlink no

Fermez les connexions sans canaux ouverts après l’heure spécifiée. Le comportement et la disponibilité concernés varient selon la version.

UnusedConnectionTimeout 5m

Définissez le premier numéro d'affichage disponible pour le transfert X11.

X11DisplayOffset 10

Liez le serveur de transfert X11 au bouclage lorsqu'il est activé ; sa désactivation peut exposer l'écran plus largement.

X11UseLocalhost yes

Chemin d'accès au programme xauth utilisé pour le transfert X11, le cas échéant.

XAuthLocation /usr/bin/xauth

Définissez des marquages ​​de qualité de service IP pour les sessions interactives et non interactives. Les périphériques réseau peuvent interpréter ou ignorer ces marquages.

IPQoS lowdelay throughput

Sélectionnez les algorithmes de code d'authentification des messages. La modification des valeurs par défaut peut affecter la sécurité et la compatibilité client.

MACs hmac-sha2-256-etm@openssh.com

Définissez les variables d'environnement pour les sessions enfants. Ces valeurs remplacent les variables acceptées par les clients ou les fichiers d'environnement utilisateur.

SetEnv LANG=en_US.UTF-8

Contrôlez la recherche DNS inversée et la vérification pour la connexion des clients. L'activer peut ajouter un délai si le DNS est lent.

UseDNS no