sshd_config

Прослушивание TCP-порта; допускается использование нескольких директив порта. Убедитесь, что брандмауэр и клиенты разрешают выбранный порт.

Port 2222

Локальный адрес, который прослушивает sshd. Адрес может включать порт; убедитесь, что он существует на сервере.

ListenAddress 192.0.2.10

Выберите семейство адресов: любое, inet для IPv4 или inet6 для IPv6.

AddressFamily inet

Путь к закрытому ключу хоста сервера; это не ключ аутентификации пользователя. Защитите личный файл.

HostKey /etc/ssh/ssh_host_ed25519_key

Путь к сертификату хоста сервера, соответствующему настроенному ключу хоста.

HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

Разрешить или запретить аутентификацию по паролю. Проверьте другой метод входа, прежде чем отключать его.

PasswordAuthentication no

Разрешить или запретить аутентификацию с открытым ключом. Разрешения сервера и авторизованные ключи по-прежнему применяются.

PubkeyAuthentication yes

Разрешить интерактивную аутентификацию с помощью клавиатуры. Запросы и доступные методы зависят от сервера и механизма аутентификации.

KbdInteractiveAuthentication yes

Требуется один из списков методов, разделенных пробелами; каждый метод в списке, разделенный запятыми, должен завершиться успешно. Каждый метод также должен быть включен.

AuthenticationMethods publickey,keyboard-interactive

Управление входом в систему root: да, запретить пароль, только принудительные команды или нет. Сначала проверьте альтернативный вход администратора.

PermitRootLogin no

Разрешить учетным записям с пустыми паролями проходить аутентификацию с использованием аутентификации по паролю. Включать это небезопасно.

PermitEmptyPasswords no

Пути к файлам, содержащим авторизованные открытые ключи. Относительные пути определяются из домашнего каталога пользователя; токены поддерживаются.

AuthorizedKeysFile .ssh/authorized_keys

Прежде чем принять вход в систему, проверьте права собственности и права доступа к пользовательским файлам и домашним каталогам.

StrictModes yes

Разрешить только указанные шаблоны имен пользователей; Шаблоны USER@HOST могут ограничить происхождение. Доступ к учетной записи также подлежит другим ограничениям.

AllowUsers alice bob

Запретить совпадение шаблонов имен пользователей. Правила запрета имеют приоритет над соответствующими правилами разрешения.

DenyUsers guest

Разрешать доступ только пользователям из соответствующих именованных групп с учетом других правил доступа.

AllowGroups sshusers

Запретить пользователям входить в соответствующие именованные группы; используются имена групп, а не числовые идентификаторы.

DenyGroups restricted

Управление пересылкой TCP: да или все, нет, локально или удаленно. Одно это не может предотвратить пересылку пользователями с неограниченным доступом к оболочке.

AllowTcpForwarding local

Отключите функции переадресации, отменяя другие настройки переадресации. Это может привести к поломке туннелей и пересылки агента или X11.

DisableForwarding yes

Управляйте адресами привязки удаленной пересылки: нет обратной связи привязки, да привязывается подстановочный знак, а параметр clientspecified разрешает адреса, выбранные клиентом. Открытие портов имеет последствия для безопасности.

GatewayPorts no

Ограничить места назначения для локальной пересылки TCP; используйте записи хост:порт, любые или нет. Имена не разрешаются для сопоставления.

PermitOpen db.example.com:5432

Ограничить прослушиваемые адреса и порты для удаленной переадресации; GatewayPorts также влияет на привязку.

PermitListen localhost:18080

Разрешить пересылку агента аутентификации SSH. Удаленный процесс, имеющий доступ к сокету агента, может запрашивать подписи.

AllowAgentForwarding no

Управляйте переадресацией сокетов Unix-домена: да или все, нет, локально или удаленно.

AllowStreamLocalForwarding no

Включите переадресацию дисплея X11. Включайте только там, где это необходимо, и осознавайте риск доступа к удаленному дисплею.

X11Forwarding no

Максимальное количество попыток аутентификации на одно соединение перед отключением. Сервер может регистрировать сбои раньше.

MaxAuthTries 4

Максимальное количество сеансов оболочки, входа в систему или подсистемы на одно SSH-соединение. Установка нуля предотвращает сеансы, но все же может разрешить пересылку.

MaxSessions 10

Ограничьте неаутентифицированные соединения. Форма start:rate:full постепенно отклоняет соединения под нагрузкой.

MaxStartups 10:30:100

Время, отведенное для аутентификации; нулевая продолжительность означает отсутствие ограничений по времени.

LoginGraceTime 60s

Интервал в секундах для зашифрованных проб активности клиента на уровне SSH; ноль отключает эти датчики.

ClientAliveInterval 30

Количество оставшихся без ответа проверок активности клиента на уровне SSH, допущенных перед отключением. Используйте с ClientAliveInterval.

ClientAliveCountMax 3

Управляйте сообщениями поддержки активности TCP. Они отличаются от зашифрованных зондов активности клиента SSH.

TCPKeepAlive yes

Включите интеграцию PAM в сборках, которые ее поддерживают. Политика PAM и доступные методы аутентификации различаются в зависимости от системы.

UsePAM yes

Разрешить выделение псевдотерминала. Отключение этого параметра повлияет на интерактивные сеансы.

PermitTTY yes

Замените запрошенную команду фиксированной командой. Тщательно проверьте доступ и ограничения перед включением.

ForceCommand internal-sftp

Определите именованную подсистему и ее команду; Internal-sftp — это встроенный SFTP-сервер.

Subsystem sftp internal-sftp

Ограничьте сеанс каталогом после аутентификации. Владение каталогами и разрешения строго проверяются; предоставить необходимые файлы для предполагаемого сеанса.

ChrootDirectory /srv/sftp/%u

Запустите условный блок для сопоставления пользователей, групп, адресов или других поддерживаемых критериев. Внутри него разрешены только определенные директивы.

Match User sftpuser
    ForceCommand internal-sftp

Включите файлы конфигурации по пути или общему значению. Порядок имеет значение, поскольку обычно применяется первое полученное значение.

Include /etc/ssh/sshd_config.d/*.conf

Установите уровень детализации журнала, например ТИХИЙ, ФАТАЛЬНЫЙ, ОШИБКА, ИНФОРМАЦИЯ, ПОДРОБНЫЙ или ОТЛАДКА. Подробные журналы могут содержать конфиденциальную информацию.

LogLevel INFO

Выберите функцию системного журнала, используемую для сообщений сервера SSH; Конфигурация системного журналирования определяет, где они появляются.

SyslogFacility AUTH

Отправьте содержимое указанного файла перед аутентификацией. Используйте none, чтобы отключить настроенный баннер.

Banner /etc/issue.net

Разрешить именованные переменные среды, предоставляемые клиентом. Некоторые переменные могут обходить ограниченные среды, поэтому разрешайте только то, что необходимо.

AcceptEnv LANG LC_*

Управляйте настройками среды, предоставляемыми пользователем. Их включение позволяет обойти ограничения через переменные среды.

PermitUserEnvironment no

Контролируйте, будет ли sshd печатать сообщение дня при интерактивном входе в систему. PAM или другой сервис также может его распечатать.

PrintMotd no

Управляйте сжатием. Поддерживаемые значения и время зависят от версии OpenSSH.

Compression no

Установите порог данных и, при необходимости, временной интервал для смены ключей. Используйте значения, соответствующие версии сервера.

RekeyLimit 1G 1h

Выберите разрешенные алгоритмы шифрования. Замена списка по умолчанию может снизить совместимость; используйте шифр ssh -Q для проверки алгоритмов, поддерживаемых клиентом.

Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com

Выберите алгоритмы обмена ключами. Ограничение этого списка может привести к поломке клиентов; проверьте поддержку с обеих сторон.

KexAlgorithms curve25519-sha256

Выберите разрешенные алгоритмы подписи с открытым ключом для аутентификации пользователя. Проверьте совместимость перед изменением списка по умолчанию.

PubkeyAcceptedAlgorithms ssh-ed25519

Выберите алгоритмы подписи ключей хоста, предлагаемые сервером. Настроенный ключ хоста должен поддерживать выбранный алгоритм.

HostKeyAlgorithms ssh-ed25519

Файл, содержащий открытые ключи центра сертификации доверенных пользователей для аутентификации сертификата.

TrustedUserCAKeys /etc/ssh/user_ca.pub

Файл, содержащий отозванные открытые ключи или список отозванных ключей. Отсутствующий или нечитаемый файл конфигурации может помешать аутентификации с открытым ключом.

RevokedKeys /etc/ssh/revoked_keys

Принципы списка файлов, разрешенные для сертификата пользователя, подписанного доверенным центром сертификации; расширение токена поддерживается.

AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u

Добавьте текст к баннеру протокола SSH; none отключает добавленный текст.

VersionAddendum none

Запустите надежную программу, принадлежащую пользователю root, чтобы получить открытые ключи. Настройте учетную запись выполнения и следуйте требованиям руководства по владению.

AuthorizedKeysCommand /usr/local/libexec/ssh-keys %u

Учетная запись, используемая для запуска AuthorizedKeysCommand; рекомендуется использовать выделенную учетную запись.

AuthorizedKeysCommandUser sshkeys

Запустите доверенную программу, чтобы получить разрешенные субъекты сертификатов. Настройте учетную запись выполнения отдельно.

AuthorizedPrincipalsCommand /usr/local/libexec/ssh-principals %u

Учетная запись, используемая для запуска AuthorizedPrincipalsCommand; используйте выделенную учетную запись.

AuthorizedPrincipalsCommandUser sshprincipals

Ограничить алгоритмы подписи центра сертификации, принимаемые для сертификатов SSH. Перед внесением изменений проверьте совместимость центра сертификации и клиента.

CASignatureAlgorithms ssh-ed25519

Срок действия неактивных каналов по типу канала и продолжительности; доступность и поддерживаемые типы каналов зависят от версии. По истечении срока действия SSH-соединение не прерывается.

ChannelTimeout session=1h

Предоставлять информацию аутентификации через временный файл, на который ссылается SSH_USER_AUTH; рассмотрите возможность доступа к данным аутентификации.

ExposeAuthInfo no

Выберите хеш, используемый для отпечатков ключей, например sha256 или md5. Предпочитайте SHA-256.

FingerprintHash sha256

Управляйте аутентификацией пользователей GSSAPI, если это поддерживается сборкой сервера.

GSSAPIAuthentication no

Контролируйте, уничтожаются ли делегированные учетные данные GSSAPI при выходе из системы; Поддержка сборки варьируется.

GSSAPICleanupCredentials yes

Управляйте хранением делегированных учетных данных GSSAPI для пользовательских сеансов, если это поддерживается.

GSSAPIDelegateCredentials no

Контролируйте, требует ли сервер правильный идентификатор хоста GSSAPI. Отключение проверки имеет последствия для безопасности.

GSSAPIStrictAcceptorCheck yes

Выберите алгоритмы, принятые для аутентификации на основе хоста. Доступность зависит от версии OpenSSH.

HostbasedAcceptedAlgorithms ssh-ed25519

Управление аутентификацией на основе хоста; для этого требуется дополнительное доверие и настройка хоста.

HostbasedAuthentication no

Укажите, будет ли проверка подлинности на основе хоста использовать имя, предоставленное клиентом, вместо DNS. Рассмотрите последствия доверия.

HostbasedUsesNameFromPacketOnly no

Укажите сокет агента, используемый для доступа к закрытым ключам хоста. Агент и его сокет должны быть доступны для sshd.

HostKeyAgent /run/ssh-hostkey-agent.sock

Контролировать использование файлов rhosts или shhosts для каждого пользователя для аутентификации на основе хоста; принятые значения различаются в зависимости от версии.

IgnoreRhosts yes

Контролируйте, будут ли игнорироваться специфичные для пользователя файлыknown_hosts во время аутентификации на основе хоста.

IgnoreUserKnownHosts yes

Управляйте аутентификацией по паролю Kerberos, если оно создано и настроено с поддержкой Kerberos.

KerberosAuthentication no

Управляйте получением токена AFS для пользователя, аутентифицированного Kerberos, если сборка поддерживает это.

KerberosGetAFSToken no

Контролируйте, будет ли неудачная проверка пароля Kerberos возвращаться к аутентификации по локальному паролю.

KerberosOrLocalPasswd no

Управляйте удалением кэша билетов Kerberos пользователя при выходе из системы, если это поддерживается.

KerberosTicketCleanup yes

Переопределить подробность журнала для сопоставления исходных местоположений. Он предназначен для устранения неполадок и может раскрыть конфиденциальную информацию.

LogVerbose kex.c:*:1000

Путь к файлу модулей, используемому для обмена группой Диффи-Хеллмана; поддерживайте его в соответствии с указаниями платформы.

ModuliFile /etc/ssh/moduli

Выберите имя службы PAM в сборках, поддерживающих эту директиву; Политика PAM для выбранной службы должна существовать.

PAMServiceName sshd

Управление переадресацией устройства настройки: да, точка-точка, Ethernet или нет. Могут потребоваться дополнительные системные привилегии и настройка.

PermitTunnel no

Управляйте выполнением rc-файла SSH пользователя. Отключение может повлиять на настройку пользовательского сеанса.

PermitUserRC no

Ограничьте одновременные неаутентифицированные соединения для каждого адреса источника или группы источников; Поддержка версий варьируется.

PerSourceMaxStartups 10

Установите длину префиксов IPv4 и IPv6, используемых для группировки источников для ограничения количества подключений для каждого источника.

PerSourceNetBlockSize 32:128

Настройте штрафы за проблемные источники. Поддерживаемые типы штрафов, значения и настройки по умолчанию различаются в зависимости от версии OpenSSH.

PerSourcePenalties no

Список адресов источников или диапазонов CIDR, освобожденных от штрафов за каждый источник; обеспечить узкий охват исключений.

PerSourcePenaltyExemptList 192.0.2.0/24

Путь к файлу идентификатора процесса сервера. Убедитесь, что диспетчер служб и разрешения соответствуют этому пути.

PidFile /run/sshd.pid

Управляйте печатью предыдущего времени входа в систему для интерактивного входа. Доступность может зависеть от поддержки платформы.

PrintLastLog yes

Установите параметры аутентификации с открытым ключом, включая требования касания ключа безопасности или проверки, если это поддерживается.

PubkeyAuthOptions touch-required

Отказаться от соединения, обычно внутри блока Match. Доступность зависит от версии.

Match User blocked
    RefuseConnection yes

Установите минимальный размер ключа RSA, принимаемый sshd. Более низкие значения могут ослабить безопасность, а в некоторых версиях установлен минимум.

RequiredRSASize 3072

Выберите домен маршрутизации для сеанса на платформах, поддерживающих домены маршрутизации. Это зависит от платформы.

RDomain 1

Путь к библиотеке промежуточного программного обеспечения ключей безопасности FIDO; если оставить его неустановленным, используется встроенная поддержка, если она доступна.

SecurityKeyProvider /usr/local/lib/libsk-libfido2.so

Путь к помощнику аутентификации sshd на версиях и платформах, которые его поддерживают. Обычно управляется пакетом.

SshdAuthPath /usr/libexec/sshd-auth

Путь к помощнику сеанса sshd в версиях и платформах, которые его поддерживают. Обычно управляется пакетом.

SshdSessionPath /usr/libexec/sshd-session

Установите маску создания восьмеричного режима файла для сокета пересылки домена Unix.

StreamLocalBindMask 0177

Укажите, будет ли удален существующий сокет Unix-домена перед созданием прослушивателя пересылки.

StreamLocalBindUnlink no

Закройте соединения без открытых каналов по истечении указанного времени. Затронутое поведение и доступность зависят от версии.

UnusedConnectionTimeout 5m

Установите первый номер дисплея, доступный для переадресации X11.

X11DisplayOffset 10

Привяжите сервер пересылки X11 к шлейфу, если он включен; его отключение может расширить отображение дисплея.

X11UseLocalhost yes

Путь к программе xauth, используемой для пересылки X11, где это применимо.

XAuthLocation /usr/bin/xauth

Установите маркировку качества обслуживания IP для интерактивных и неинтерактивных сеансов. Сетевые устройства могут интерпретировать или игнорировать эту маркировку.

IPQoS lowdelay throughput

Выберите алгоритмы кода аутентификации сообщения. Изменение настроек по умолчанию может повлиять на безопасность и совместимость клиентов.

MACs hmac-sha2-256-etm@openssh.com

Установите переменные среды для дочерних сеансов. Эти значения переопределяют переменные, принятые из файлов клиентов или пользовательской среды.

SetEnv LANG=en_US.UTF-8

Управляйте обратным поиском DNS и проверкой подключения клиентов. Включение этого параметра может добавить задержку, если DNS работает медленно.

UseDNS no