sshd_config

Porta TCP in ascolto; sono consentite più direttive Port. Assicurarsi che il firewall e i client consentano la porta scelta.

Port 2222

Indirizzo locale su cui sshd è in ascolto. Un indirizzo può includere una porta; assicurarsi che esista sul server.

ListenAddress 192.0.2.10

Seleziona la famiglia di indirizzi: qualsiasi, inet per IPv4 o inet6 per IPv6.

AddressFamily inet

Percorso della chiave host privata del server; questa non è la chiave di autenticazione dell'utente. Proteggi il file privato.

HostKey /etc/ssh/ssh_host_ed25519_key

Percorso di un certificato host del server che corrisponde a una chiave host configurata.

HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

Consenti o nega l'autenticazione della password. Verifica un altro metodo di accesso prima di disabilitarlo.

PasswordAuthentication no

Consenti o nega l'autenticazione con chiave pubblica. Le autorizzazioni del server e le chiavi autorizzate continuano a essere valide.

PubkeyAuthentication yes

Consenti l'autenticazione interattiva da tastiera. Le richieste e i metodi disponibili dipendono dal server e dal backend di autenticazione.

KbdInteractiveAuthentication yes

Richiedere uno degli elenchi di metodi separati da spazi; ogni metodo separato da virgole in un elenco deve avere esito positivo. Ciascun metodo deve inoltre essere abilitato.

AuthenticationMethods publickey,keyboard-interactive

Controlla l'accesso root: sì, proibisci la password, solo comandi forzati o no. Testare prima un accesso amministrativo alternativo.

PermitRootLogin no

Consenti agli account con password vuote di autenticarsi utilizzando l'autenticazione tramite password. Abilitarlo non è sicuro.

PermitEmptyPasswords no

Percorsi di file contenenti chiavi pubbliche autorizzate. I percorsi relativi vengono risolti dalla directory home dell'utente; i token sono supportati.

AuthorizedKeysFile .ssh/authorized_keys

Controlla la proprietà e le autorizzazioni dei file utente e delle directory home prima di accettare l'accesso.

StrictModes yes

Consenti solo i modelli di nome utente elencati; I modelli USER@HOST possono vincolare l'origine. L'accesso all'account è soggetto anche ad altre restrizioni.

AllowUsers alice bob

Nega modelli di nomi utente corrispondenti. Le regole Nega hanno la precedenza sulle regole Consenti corrispondenti.

DenyUsers guest

Consenti solo gli utenti nei gruppi denominati corrispondenti, soggetti ad altre regole di accesso.

AllowGroups sshusers

Nega agli utenti la corrispondenza nei gruppi denominati; vengono utilizzati i nomi dei gruppi e non gli ID numerici.

DenyGroups restricted

Controlla l'inoltro TCP: sì o tutti, no, locale o remoto. Questo da solo non può impedire l'inoltro da parte di utenti con accesso illimitato alla shell.

AllowTcpForwarding local

Disabilita le funzionalità di inoltro, ignorando altre impostazioni di inoltro. Ciò può interrompere i tunnel e l'agente o l'inoltro X11.

DisableForwarding yes

Controlla gli indirizzi di collegamento dell'inoltro remoto: no collega il loopback, sì lega il carattere jolly e clientspecificato consente gli indirizzi selezionati dal client. L'esposizione delle porte ha implicazioni sulla sicurezza.

GatewayPorts no

Limitare le destinazioni per l'inoltro TCP locale; utilizzare le voci host:porta, qualsiasi o nessuna. I nomi non vengono risolti per la corrispondenza.

PermitOpen db.example.com:5432

Limitare gli indirizzi e le porte di ascolto per l'inoltro remoto; GatewayPorts influisce anche sull'associazione.

PermitListen localhost:18080

Consenti l'inoltro dell'agente di autenticazione SSH. Un processo remoto con accesso al socket dell'agente può richiedere firme.

AllowAgentForwarding no

Controlla l'inoltro del socket del dominio Unix: sì o tutti, no, locale o remoto.

AllowStreamLocalForwarding no

Abilita l'inoltro del display X11. Abilita solo dove necessario e comprendi il rischio di accesso remoto al display.

X11Forwarding no

Numero massimo di tentativi di autenticazione per connessione prima della disconnessione. Il server potrebbe registrare gli errori in precedenza.

MaxAuthTries 4

Numero massimo di sessioni di shell, accesso o sottosistema per connessione SSH. L'impostazione su zero impedisce le sessioni ma può comunque consentire l'inoltro.

MaxSessions 10

Limita le connessioni non autenticate. Il modulo start:rate:full rifiuta progressivamente le connessioni sotto carico.

MaxStartups 10:30:100

Tempo concesso per l'autenticazione; una durata pari a zero significa nessun limite di tempo.

LoginGraceTime 60s

Intervallo in secondi per le sonde client-alive crittografate a livello SSH; zero disabilita queste sonde.

ClientAliveInterval 30

Numero di sondaggi client-vivo a livello SSH senza risposta tollerati prima della disconnessione. Utilizzare con ClientAliveInterval.

ClientAliveCountMax 3

Controlla i messaggi keepalive TCP. Questi sono separati dalle sonde client-alive SSH crittografate.

TCPKeepAlive yes

Abilita l'integrazione PAM sulle build che la supportano. La politica PAM e i metodi di autenticazione disponibili variano in base al sistema.

UsePAM yes

Consenti l'allocazione di uno pseudo-terminale. La sua disabilitazione influisce sulle sessioni interattive.

PermitTTY yes

Sostituisci il comando richiesto con un comando fisso. Convalidare attentamente l'accesso e le restrizioni prima di abilitarli.

ForceCommand internal-sftp

Definire un sottosistema denominato e il relativo comando; internal-sftp è il server SFTP integrato.

Subsystem sftp internal-sftp

Limitare una sessione a una directory dopo l'autenticazione. La proprietà e le autorizzazioni della directory sono rigorosamente controllate; fornire i file richiesti per la sessione prevista.

ChrootDirectory /srv/sftp/%u

Avvia un blocco condizionale per la corrispondenza di utenti, gruppi, indirizzi o altri criteri supportati. Al suo interno sono ammesse solo alcune direttive.

Match User sftpuser
    ForceCommand internal-sftp

Includi file di configurazione per percorso o glob. L'ordine è importante perché generalmente si applica il primo valore ottenuto.

Include /etc/ssh/sshd_config.d/*.conf

Imposta il livello di dettaglio della registrazione, ad esempio QUIET, FATAL, ERROR, INFO, VERBOSE o DEBUG. I registri dettagliati potrebbero esporre informazioni riservate.

LogLevel INFO

Scegli la struttura syslog utilizzata per i messaggi del server SSH; la configurazione della registrazione del sistema determina dove appaiono.

SyslogFacility AUTH

Invia il contenuto di un file specificato prima dell'autenticazione. Non utilizzare nessuno per disabilitare un banner configurato.

Banner /etc/issue.net

Consenti variabili di ambiente denominate fornite dal client. Alcune variabili possono ignorare gli ambienti limitati, quindi consenti solo ciò che è necessario.

AcceptEnv LANG LC_*

Controlla le impostazioni dell'ambiente fornite dall'utente. Abilitandoli è possibile aggirare le restrizioni attraverso le variabili di ambiente.

PermitUserEnvironment no

Controlla se sshd stampa il messaggio del giorno all'accesso interattivo. Anche PAM o un altro servizio potrebbero stamparlo.

PrintMotd no

Controllare la compressione. I valori e i tempi supportati variano in base alla versione di OpenSSH.

Compression no

Imposta la soglia dei dati e facoltativamente l'intervallo di tempo per la ricodifica. Utilizzare valori appropriati per la versione del server.

RekeyLimit 1G 1h

Seleziona gli algoritmi di crittografia consentiti. La sostituzione dell'elenco predefinito può ridurre la compatibilità; utilizzare la crittografia ssh -Q per ispezionare gli algoritmi supportati dal client.

Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com

Seleziona gli algoritmi di scambio delle chiavi. Limitare questo elenco può interrompere i client; verificare il supporto su entrambi i lati.

KexAlgorithms curve25519-sha256

Selezionare gli algoritmi di firma a chiave pubblica consentiti per l'autenticazione dell'utente. Verificare la compatibilità prima di modificare l'elenco predefinito.

PubkeyAcceptedAlgorithms ssh-ed25519

Seleziona gli algoritmi di firma della chiave host offerti dal server. La chiave host configurata deve supportare l'algoritmo scelto.

HostKeyAlgorithms ssh-ed25519

File contenente le chiavi pubbliche dell'autorità di certificazione dell'utente attendibile per l'autenticazione del certificato.

TrustedUserCAKeys /etc/ssh/user_ca.pub

File contenente chiavi pubbliche revocate o un elenco di revoche di chiavi. Un file configurato mancante o illeggibile può impedire l'autenticazione con chiave pubblica.

RevokedKeys /etc/ssh/revoked_keys

Entità di elenco dei file consentite per un certificato utente firmato da una CA attendibile; l'espansione dei token è supportata.

AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u

Aggiungi testo al banner del protocollo SSH; nessuno disabilita il testo aggiunto.

VersionAddendum none

Esegui un programma affidabile di proprietà root per ottenere le chiavi pubbliche. Configura il suo account di esecuzione e segui i requisiti di proprietà del manuale.

AuthorizedKeysCommand /usr/local/libexec/ssh-keys %u

Account utilizzato per eseguire AuthorizedKeysCommand; si consiglia un account dedicato.

AuthorizedKeysCommandUser sshkeys

Eseguire un programma attendibile per ottenere le entità certificato consentite. Configura il suo account di esecuzione separatamente.

AuthorizedPrincipalsCommand /usr/local/libexec/ssh-principals %u

Account utilizzato per eseguire AuthorizedPrincipalsCommand; utilizzare un account dedicato.

AuthorizedPrincipalsCommandUser sshprincipals

Limita gli algoritmi di firma dell'autorità di certificazione accettati per i certificati SSH. Verificare la compatibilità tra CA e client prima delle modifiche.

CASignatureAlgorithms ssh-ed25519

Scadenza dei canali inattivi per tipo di canale e durata; la disponibilità e i tipi di canali supportati dipendono dalla versione. La scadenza non deve necessariamente terminare la connessione SSH.

ChannelTimeout session=1h

Esporre le informazioni di autenticazione tramite un file temporaneo a cui fa riferimento SSH_USER_AUTH; prendere in considerazione l'accesso ai dettagli di autenticazione.

ExposeAuthInfo no

Seleziona l'hash utilizzato per le impronte digitali delle chiavi, come sha256 o md5. Preferisco SHA-256.

FingerprintHash sha256

Controlla l'autenticazione utente GSSAPI quando supportata dalla build del server.

GSSAPIAuthentication no

Controlla se le credenziali GSSAPI delegate vengono distrutte al momento del logout; il supporto per la creazione varia.

GSSAPICleanupCredentials yes

Controlla la memorizzazione delle credenziali GSSAPI delegate per le sessioni utente, quando supportate.

GSSAPIDelegateCredentials no

Controlla se il server richiede l'identità host GSSAPI corretta. La disabilitazione della verifica ha implicazioni sulla sicurezza.

GSSAPIStrictAcceptorCheck yes

Seleziona gli algoritmi accettati per l'autenticazione basata su host. La disponibilità varia in base alla versione di OpenSSH.

HostbasedAcceptedAlgorithms ssh-ed25519

Controllare l'autenticazione basata su host; richiede ulteriore fiducia e configurazione dell'host.

HostbasedAuthentication no

Controlla se l'autenticazione basata su host utilizza il nome fornito dal client anziché il DNS. Esaminare le implicazioni sulla fiducia.

HostbasedUsesNameFromPacketOnly no

Specificare il socket dell'agente utilizzato per accedere alle chiavi private dell'host. L'agente e il relativo socket devono essere disponibili su sshd.

HostKeyAgent /run/ssh-hostkey-agent.sock

Controllare l'uso dei file rhost o shost per utente per l'autenticazione basata su host; i valori accettati variano in base alla versione.

IgnoreRhosts yes

Controlla se i fileknown_hosts specifici dell'utente vengono ignorati durante l'autenticazione basata sull'host.

IgnoreUserKnownHosts yes

Controlla l'autenticazione della password Kerberos quando creata e configurata con il supporto Kerberos.

KerberosAuthentication no

Controlla l'ottenimento di un token AFS per un utente autenticato Kerberos laddove la build lo supporta.

KerberosGetAFSToken no

Controlla se la convalida della password Kerberos non riuscita ricorre all'autenticazione della password locale.

KerberosOrLocalPasswd no

Controlla la rimozione della cache dei ticket Kerberos di un utente al momento della disconnessione, ove supportato.

KerberosTicketCleanup yes

Sostituisci la verbosità della registrazione per la corrispondenza delle posizioni di origine. È destinato alla risoluzione dei problemi e potrebbe esporre informazioni sensibili.

LogVerbose kex.c:*:1000

Percorso del file dei moduli utilizzato per lo scambio del gruppo Diffie-Hellman; mantenerlo secondo le indicazioni della piattaforma.

ModuliFile /etc/ssh/moduli

Seleziona il nome del servizio PAM sulle build che supportano questa direttiva; La policy PAM per il servizio selezionato deve esistere.

PAMServiceName sshd

Controlla l'inoltro del dispositivo: sì, punto a punto, Ethernet o no. Potrebbero essere necessari privilegi di sistema e configurazioni aggiuntivi.

PermitTunnel no

Controlla l'esecuzione del file rc SSH dell'utente. La sua disabilitazione può influire sulla configurazione della sessione utente.

PermitUserRC no

Limitare le connessioni simultanee non autenticate per indirizzo di origine o gruppo di origine; il supporto della versione varia.

PerSourceMaxStartups 10

Imposta le lunghezze dei prefissi IPv4 e IPv6 utilizzati per raggruppare le origini per i limiti di connessione per origine.

PerSourceNetBlockSize 32:128

Configurare sanzioni per fonti problematiche. I tipi di penalità, i valori e i valori predefiniti supportati variano in base alla versione di OpenSSH.

PerSourcePenalties no

Elenca gli indirizzi di origine o gli intervalli CIDR esenti da penalità per origine; garantire che le esenzioni abbiano una portata ristretta.

PerSourcePenaltyExemptList 192.0.2.0/24

Percorso del file dell'ID del processo del server. Assicurarsi che il gestore del servizio e le autorizzazioni siano d'accordo con questo percorso.

PidFile /run/sshd.pid

Controllare la stampa dell'ora di accesso precedente per gli accessi interattivi. La disponibilità può dipendere dal supporto della piattaforma.

PrintLastLog yes

Imposta le opzioni di autenticazione con chiave pubblica, incluso il tocco della chiave di sicurezza o i requisiti di verifica, se supportati.

PubkeyAuthOptions touch-required

Rifiuta una connessione, in genere all'interno di un blocco Match. La disponibilità varia in base alla versione.

Match User blocked
    RefuseConnection yes

Imposta la dimensione minima della chiave RSA accettata da sshd. Valori più bassi possono indebolire la sicurezza e alcune versioni impongono un minimo.

RequiredRSASize 3072

Seleziona un dominio di instradamento per la sessione su piattaforme che supportano i domini di instradamento. Questo è specifico della piattaforma.

RDomain 1

Percorso di una libreria middleware per chiavi di sicurezza FIDO; lasciandolo non impostato utilizza il supporto integrato ove disponibile.

SecurityKeyProvider /usr/local/lib/libsk-libfido2.so

Percorso dell'assistente per l'autenticazione sshd sulle versioni e sulle piattaforme che lo supportano. Normalmente gestito dal pacchetto.

SshdAuthPath /usr/libexec/sshd-auth

Percorso dell'helper della sessione sshd sulle versioni e piattaforme che lo supportano. Normalmente gestito dal pacchetto.

SshdSessionPath /usr/libexec/sshd-session

Imposta la maschera di creazione della modalità file ottale per un socket di inoltro del dominio Unix.

StreamLocalBindMask 0177

Controlla se un socket di dominio Unix esistente viene rimosso prima di creare un ascoltatore di inoltro.

StreamLocalBindUnlink no

Chiudi le connessioni senza canali aperti dopo il tempo specificato. Il comportamento interessato e la disponibilità variano in base alla versione.

UnusedConnectionTimeout 5m

Imposta il primo numero di visualizzazione disponibile per l'inoltro X11.

X11DisplayOffset 10

Associa il server di inoltro X11 al loopback quando abilitato; disabilitandolo è possibile esporre il display in modo più ampio.

X11UseLocalhost yes

Percorso del programma xauth utilizzato per l'inoltro X11, ove applicabile.

XAuthLocation /usr/bin/xauth

Imposta i contrassegni di qualità del servizio IP per sessioni interattive e non interattive. I dispositivi di rete possono interpretare o ignorare questi contrassegni.

IPQoS lowdelay throughput

Seleziona gli algoritmi del codice di autenticazione del messaggio. La modifica delle impostazioni predefinite può influire sulla sicurezza e sulla compatibilità del client.

MACs hmac-sha2-256-etm@openssh.com

Imposta le variabili di ambiente per le sessioni secondarie. Questi valori sovrascrivono le variabili accettate dai client o dai file dell'ambiente utente.

SetEnv LANG=en_US.UTF-8

Controlla la ricerca DNS inversa e la verifica per la connessione dei client. Abilitarlo potrebbe aggiungere ritardo se il DNS è lento.

UseDNS no