sshd_config

Porta TCP de escuta; múltiplas diretivas Port são permitidas. Certifique-se de que o firewall e os clientes permitam a porta escolhida.

Port 2222

Endereço local no qual o sshd escuta. Um endereço pode incluir uma porta; certifique-se de que ele exista no servidor.

ListenAddress 192.0.2.10

Selecione a família de endereços: qualquer, inet para IPv4 ou inet6 para IPv6.

AddressFamily inet

Caminho para uma chave de host privada do servidor; esta não é uma chave de autenticação do usuário. Proteja o arquivo privado.

HostKey /etc/ssh/ssh_host_ed25519_key

Caminho para um certificado de host do servidor que corresponde a uma chave de host configurada.

HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

Permitir ou negar autenticação por senha. Verifique outro método de login antes de desativá-lo.

PasswordAuthentication no

Permitir ou negar autenticação de chave pública. As permissões do servidor e as chaves autorizadas ainda se aplicam.

PubkeyAuthentication yes

Permitir autenticação interativa com teclado. Os prompts e métodos disponíveis dependem do servidor e do back-end de autenticação.

KbdInteractiveAuthentication yes

Exija uma das listas de métodos separados por espaço; todo método separado por vírgula em uma lista deve ser bem-sucedido. Cada método também deve estar habilitado.

AuthenticationMethods publickey,keyboard-interactive

Controle o login root: sim, senha proibida, somente comandos forçados ou não. Teste primeiro um login administrativo alternativo.

PermitRootLogin no

Permitir que contas com senhas vazias sejam autenticadas usando autenticação por senha. Ativar isso não é seguro.

PermitEmptyPasswords no

Caminhos para arquivos contendo chaves públicas autorizadas. Os caminhos relativos são resolvidos no diretório inicial do usuário; tokens são suportados.

AuthorizedKeysFile .ssh/authorized_keys

Verifique a propriedade e as permissões dos arquivos do usuário e diretórios iniciais antes de aceitar o login.

StrictModes yes

Permitir apenas os padrões de nome de usuário listados; Os padrões USER@HOST podem restringir a origem. O acesso à conta também está sujeito a outras restrições.

AllowUsers alice bob

Negar padrões de nome de usuário correspondentes. As regras de negação têm precedência sobre as regras de permissão correspondentes.

DenyUsers guest

Permitir apenas usuários em grupos nomeados correspondentes, sujeito a outras regras de acesso.

AllowGroups sshusers

Negar usuários em grupos nomeados correspondentes; nomes de grupos, e não IDs numéricos, são usados.

DenyGroups restricted

Controle o encaminhamento de TCP: sim ou todos, não, local ou remoto. Isso por si só não pode impedir o encaminhamento por usuários com acesso irrestrito ao shell.

AllowTcpForwarding local

Desative os recursos de encaminhamento, substituindo outras configurações de encaminhamento. Isso pode interromper túneis e encaminhamento de agente ou X11.

DisableForwarding yes

Controle endereços de ligação de encaminhamento remoto: não vincula loopback, sim vincula curinga e especificado pelo cliente permite endereços selecionados pelo cliente. A exposição de portas tem implicações de segurança.

GatewayPorts no

Restrinja destinos para encaminhamento TCP local; use entradas host:port, qualquer ou nenhuma. Os nomes não são resolvidos para correspondência.

PermitOpen db.example.com:5432

Restrinja endereços de escuta e portas para encaminhamento remoto; GatewayPorts também afeta a ligação.

PermitListen localhost:18080

Permitir encaminhamento do agente de autenticação SSH. Um processo remoto com acesso ao soquete do agente pode solicitar assinaturas.

AllowAgentForwarding no

Controle o encaminhamento de soquete de domínio Unix: sim ou todos, não, local ou remoto.

AllowStreamLocalForwarding no

Habilite o encaminhamento de exibição do X11. Ative apenas quando necessário e entenda o risco de acesso remoto ao monitor.

X11Forwarding no

Máximo de tentativas de autenticação por conexão antes de desconectar. O servidor pode registrar falhas mais cedo.

MaxAuthTries 4

Máximo de sessões de shell, login ou subsistema por conexão SSH. Definir zero impede sessões, mas ainda pode permitir o encaminhamento.

MaxSessions 10

Limite conexões não autenticadas. O formulário start:rate:full rejeita progressivamente conexões sob carga.

MaxStartups 10:30:100

Tempo permitido para autenticação; uma duração zero significa que não há limite de tempo.

LoginGraceTime 60s

Intervalo em segundos para análises criptografadas de cliente ativo em nível SSH; zero desativa essas sondagens.

ClientAliveInterval 30

Número de sondagens de cliente ativo em nível SSH toleradas antes da desconexão. Use com ClientAliveInterval.

ClientAliveCountMax 3

Controlar mensagens de manutenção de atividade TCP. Eles são separados das sondagens de cliente ativo SSH criptografadas.

TCPKeepAlive yes

Habilite a integração do PAM em builds que a suportem. A política PAM e os métodos de autenticação disponíveis variam de acordo com o sistema.

UsePAM yes

Permitir a alocação de um pseudoterminal. Desativá-lo afeta as sessões interativas.

PermitTTY yes

Substitua o comando solicitado por um comando fixo. Valide o acesso e as restrições cuidadosamente antes de ativar.

ForceCommand internal-sftp

Defina um subsistema nomeado e seu comando; internal-sftp é o servidor SFTP integrado.

Subsystem sftp internal-sftp

Confine uma sessão a um diretório após a autenticação. A propriedade e as permissões do diretório são rigorosamente verificadas; provisionar os arquivos necessários para a sessão pretendida.

ChrootDirectory /srv/sftp/%u

Inicie um bloco condicional para combinar usuários, grupos, endereços ou outros critérios suportados. Apenas certas diretivas são permitidas dentro dele.

Match User sftpuser
    ForceCommand internal-sftp

Incluir arquivos de configuração por caminho ou glob. A ordenação é importante porque geralmente se aplica o primeiro valor obtido.

Include /etc/ssh/sshd_config.d/*.conf

Defina o detalhamento do log, como QUIET, FATAL, ERROR, INFO, VERBOSE ou DEBUG. Logs detalhados podem expor informações confidenciais.

LogLevel INFO

Escolha o recurso syslog usado para mensagens do servidor SSH; a configuração de log do sistema determina onde eles aparecem.

SyslogFacility AUTH

Envie o conteúdo de um arquivo especificado antes da autenticação. Use none para desabilitar um banner configurado.

Banner /etc/issue.net

Permitir variáveis ​​de ambiente nomeadas fornecidas pelo cliente. Algumas variáveis ​​podem ignorar ambientes restritos, portanto permita apenas o que for necessário.

AcceptEnv LANG LC_*

Controle as configurações de ambiente fornecidas pelo usuário. Ativá-los pode contornar restrições por meio de variáveis ​​de ambiente.

PermitUserEnvironment no

Controle se o sshd imprime a mensagem do dia no login interativo. PAM ou outro serviço também pode imprimi-lo.

PrintMotd no

Controlar a compressão. Os valores e o tempo suportados variam de acordo com a versão do OpenSSH.

Compression no

Defina o limite de dados e, opcionalmente, o intervalo de tempo para rechaveamento. Use valores apropriados para a versão do servidor.

RekeyLimit 1G 1h

Selecione algoritmos de criptografia permitidos. A substituição da lista padrão pode reduzir a compatibilidade; use a cifra ssh -Q para inspecionar algoritmos suportados pelo cliente.

Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com

Selecione algoritmos de troca de chaves. Restringir esta lista pode quebrar clientes; verifique o suporte em ambos os lados.

KexAlgorithms curve25519-sha256

Selecione algoritmos de assinatura de chave pública permitidos para autenticação de usuário. Verifique a compatibilidade antes de alterar a lista padrão.

PubkeyAcceptedAlgorithms ssh-ed25519

Selecione algoritmos de assinatura de chave de host oferecidos pelo servidor. A chave de host configurada deve suportar o algoritmo escolhido.

HostKeyAlgorithms ssh-ed25519

Arquivo contendo chaves públicas de autoridade de certificação de usuário confiável para autenticação de certificado.

TrustedUserCAKeys /etc/ssh/user_ca.pub

Arquivo contendo chaves públicas revogadas ou uma lista de chaves revogadas. Um arquivo configurado ausente ou ilegível pode impedir a autenticação de chave pública.

RevokedKeys /etc/ssh/revoked_keys

Principais de listagem de arquivos permitidos para um certificado de usuário assinado por uma CA confiável; a expansão de token é suportada.

AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u

Anexe texto ao banner do protocolo SSH; nenhum desativa o texto adicionado.

VersionAddendum none

Execute um programa confiável de propriedade do root para obter chaves públicas. Configure sua conta de execução e siga os requisitos de propriedade do manual.

AuthorizedKeysCommand /usr/local/libexec/ssh-keys %u

Conta usada para executar AuthorizedKeysCommand; uma conta dedicada é recomendada.

AuthorizedKeysCommandUser sshkeys

Execute um programa confiável para obter entidades de certificado permitidas. Configure sua conta de execução separadamente.

AuthorizedPrincipalsCommand /usr/local/libexec/ssh-principals %u

Conta usada para executar AuthorizedPrincipalsCommand; use uma conta dedicada.

AuthorizedPrincipalsCommandUser sshprincipals

Restringir algoritmos de assinatura de autoridade de certificação aceitos para certificados SSH. Verifique a compatibilidade da CA e do cliente antes das alterações.

CASignatureAlgorithms ssh-ed25519

Expirar canais inativos por tipo de canal e duração; a disponibilidade e os tipos de canais suportados dependem da versão. A expiração não precisa encerrar a conexão SSH.

ChannelTimeout session=1h

Expor informações de autenticação através de um arquivo temporário referenciado por SSH_USER_AUTH; considere o acesso aos detalhes de autenticação.

ExposeAuthInfo no

Selecione o hash usado para impressões digitais de chave, como sha256 ou md5. Prefira SHA-256.

FingerprintHash sha256

Controlar a autenticação do usuário GSSAPI quando compatível com a construção do servidor.

GSSAPIAuthentication no

Controlar se as credenciais GSSAPI delegadas serão destruídas no logout; o suporte de construção varia.

GSSAPICleanupCredentials yes

Controle o armazenamento de credenciais GSSAPI delegadas para sessões de usuário, quando compatível.

GSSAPIDelegateCredentials no

Controle se o servidor requer a identidade correta do host GSSAPI. Desabilitar a verificação tem implicações de segurança.

GSSAPIStrictAcceptorCheck yes

Selecione algoritmos aceitos para autenticação baseada em host. A disponibilidade varia de acordo com a versão do OpenSSH.

HostbasedAcceptedAlgorithms ssh-ed25519

Controlar a autenticação baseada em host; requer confiança adicional e configuração de host.

HostbasedAuthentication no

Controle se a autenticação baseada em host usa o nome fornecido pelo cliente em vez do DNS. Revise as implicações de confiança.

HostbasedUsesNameFromPacketOnly no

Especifique o soquete do agente usado para acessar as chaves privadas do host. O agente e seu soquete devem estar disponíveis para sshd.

HostKeyAgent /run/ssh-hostkey-agent.sock

Controlar o uso de arquivos rhosts ou shosts por usuário para autenticação baseada em host; os valores aceitos variam de acordo com a versão.

IgnoreRhosts yes

Controle se os arquivos conhecidos_hosts específicos do usuário serão ignorados durante a autenticação baseada em host.

IgnoreUserKnownHosts yes

Controle a autenticação de senha Kerberos quando criada e configurada com suporte Kerberos.

KerberosAuthentication no

Controle a obtenção de um token AFS para um usuário autenticado por Kerberos onde a construção o suporta.

KerberosGetAFSToken no

Controle se a falha na validação de senha do Kerberos recorre à autenticação de senha local.

KerberosOrLocalPasswd no

Controlar a remoção do cache de tickets Kerberos de um usuário no logout, quando houver suporte.

KerberosTicketCleanup yes

Substitua o detalhamento do registro para locais de origem correspondentes. Destina-se à solução de problemas e pode expor informações confidenciais.

LogVerbose kex.c:*:1000

Caminho para o arquivo de módulos usado para troca de grupo Diffie-Hellman; mantenha-o de acordo com as orientações da plataforma.

ModuliFile /etc/ssh/moduli

Selecione o nome do serviço PAM nas compilações que suportam esta diretiva; A política PAM para o serviço selecionado deve existir.

PAMServiceName sshd

Controle o encaminhamento do dispositivo tun: sim, ponto a ponto, Ethernet ou não. Privilégios e configurações adicionais do sistema podem ser necessários.

PermitTunnel no

Controlar a execução do arquivo SSH rc do usuário. Desativá-lo pode afetar a configuração da sessão do usuário.

PermitUserRC no

Limite conexões simultâneas não autenticadas por endereço de origem ou grupo de origem; o suporte à versão varia.

PerSourceMaxStartups 10

Defina comprimentos de prefixo IPv4 e IPv6 usados ​​para agrupar fontes para limites de conexão por origem.

PerSourceNetBlockSize 32:128

Configure penalidades para fontes problemáticas. Os tipos, valores e padrões de penalidade suportados variam de acordo com a versão do OpenSSH.

PerSourcePenalties no

Listar endereços de origem ou intervalos CIDR isentos de penalidades por fonte; garantir que as isenções tenham um âmbito restrito.

PerSourcePenaltyExemptList 192.0.2.0/24

Caminho para o arquivo de ID do processo do servidor. Certifique-se de que o gerenciador de serviços e as permissões estejam de acordo com esse caminho.

PidFile /run/sshd.pid

Controle a impressão do horário de login anterior para logins interativos. A disponibilidade pode depender do suporte da plataforma.

PrintLastLog yes

Defina opções de autenticação de chave pública, incluindo toque de chave de segurança ou requisitos de verificação, quando suportado.

PubkeyAuthOptions touch-required

Recuse uma conexão, normalmente dentro de um bloco Match. A disponibilidade varia de acordo com a versão.

Match User blocked
    RefuseConnection yes

Defina o tamanho mínimo da chave RSA aceito pelo sshd. Valores mais baixos podem enfraquecer a segurança e algumas versões impõem um mínimo.

RequiredRSASize 3072

Selecione um domínio de roteamento para a sessão em plataformas que suportam domínios de roteamento. Isso é específico da plataforma.

RDomain 1

Caminho para uma biblioteca de middleware de chave de segurança FIDO; deixá-lo sem definição usa o suporte integrado quando disponível.

SecurityKeyProvider /usr/local/lib/libsk-libfido2.so

Caminho para o auxiliar de autenticação sshd em versões e plataformas que o suportam. Normalmente gerenciado pelo pacote.

SshdAuthPath /usr/libexec/sshd-auth

Caminho para o auxiliar de sessão sshd em versões e plataformas que o suportam. Normalmente gerenciado pelo pacote.

SshdSessionPath /usr/libexec/sshd-session

Defina a máscara de criação do modo de arquivo octal para um soquete de encaminhamento de domínio Unix.

StreamLocalBindMask 0177

Controle se um soquete de domínio Unix existente será removido antes de criar um ouvinte de encaminhamento.

StreamLocalBindUnlink no

Fechar conexões sem canais abertos após o tempo especificado. O comportamento e a disponibilidade afetados variam de acordo com a versão.

UnusedConnectionTimeout 5m

Defina o primeiro número de exibição disponível para encaminhamento X11.

X11DisplayOffset 10

Vincule o servidor de encaminhamento X11 ao loopback quando habilitado; desativá-lo pode expor a tela de forma mais ampla.

X11UseLocalhost yes

Caminho para o programa xauth usado para encaminhamento X11, quando aplicável.

XAuthLocation /usr/bin/xauth

Defina marcações de qualidade de serviço IP para sessões interativas e não interativas. Os dispositivos de rede podem interpretar ou ignorar estas marcações.

IPQoS lowdelay throughput

Selecione algoritmos de código de autenticação de mensagem. A alteração dos padrões pode afetar a segurança e a compatibilidade do cliente.

MACs hmac-sha2-256-etm@openssh.com

Defina variáveis ​​de ambiente para sessões filhas. Esses valores substituem variáveis ​​aceitas de clientes ou arquivos de ambiente de usuário.

SetEnv LANG=en_US.UTF-8

Controle a pesquisa e verificação reversa de DNS para clientes conectados. Ativá-lo pode causar atraso se o DNS estiver lento.

UseDNS no