SSH服务器管理：sshd安装、配置文件、命令行配置项

简介

SSH的架构是服务器/客户端模式，两端运行的软件不同。 OpenSSH的客户端软件是ssh，服务器软件是sshd。本章介绍了关于sshd的各种知识。

如果没有安装sshd，可以通过以下命令安装。

# Debian
$ sudo aptitude install openssh-server

# Red Hat
$ sudo yum install openssh-server

一般来说，sshd 在安装后与系统进行对话。如果当前没有启动 sshd，可以使用以下命令启动它。

$ sshd

运行上述命令后，如果询问“sshd re-exec requireexecution with anabsolutepath”，则必须使用绝对路径启动。这是为了防止有人为了不同的目的，将同名的软件放在 $PATH 变量指向的目录中，而不是真正的 sshd 中。

# Centos、Ubuntu、OS X
$ /usr/sbin/sshd

执行上述命令后，sshd会自动进入后台，所以命令后面不需要添加&。

除了直接运行可执行文件之外，您还可以通过systemd启动sshd。

# 启动
$ sudo systemctl start sshd.service

# 停止
$ sudo systemctl stop sshd.service

# 重启
$ sudo systemctl restart sshd.service

以下命令使 sshd 在计算机下次启动时自动启动。

$ sudo systemctl enable sshd.service

sshd 配置文件

sshd 的配置文件位于 /etc/ssh 目录中。主要配置文件是sshd_config。此外，还有一些安装时生成的密钥。

• /etc/ssh/sshd_config：配置文件
• /etc/ssh/ssh_host_ecdsa_key：ECDSA 私钥。
• /etc/ssh/ssh_host_ecdsa_key.pub：ECDSA 公钥。
• /etc/ssh/ssh_host_key：SSH 1 协议版本的 RSA 私钥。
• /etc/ssh/ssh_host_key.pub：SSH 1 协议版本的 RSA 公钥。
• /etc/ssh/ssh_host_rsa_key：SSH 2 协议版本的 RSA 私钥。
• /etc/ssh/ssh_host_rsa_key.pub：SSH 2 协议版本的 RSA 公钥。
• /etc/pam.d/sshd：PAM 配置文件。

注意，重新安装sshd会重新生成上述密钥，导致重新连接ssh服务器时客户端会弹出警告并拒绝连接。为了避免这种情况，您可以在重新安装 sshd 时先备份目录 /etc/ssh，然后在创建安装后恢复该目录。

配置文件 sshd_config 的格式是每条命令占一行。每行包含一个配置元素及其相应的值。配置项不区分大小写，与值之间用空格分隔。

Port 2034

上述配置命令指定配置项Port的值为2034。 端口也可以写成端口。

配置文件有一种不同的格式，即配置项和值之间有一个等号，等号前后的空格是可选的。在

Port = 2034

配置文件中，以#开头的行代表注释。

# 这是一行注释

请注意，注释只能放在行首，不能放在行尾。

Port 2034 # 此处不允许注释

以上写法是错误的。

即使是空行也相当于注释。

sshd 启动时会自动读取默认配置文件。如果想使用其他配置文件，可以通过sshd命令的-f参数指定。

$ sshd -f /usr/local/ssh/my_config

上述命令指定 sshd 使用不同的配置文件my_config。

编辑配置文件后，可以使用sshd命令-t（测试）检查是否有语法错误。

$ sshd -t

配置文件更改后，不会自动应用，需要重启sshd。

$ sudo systemctl restart sshd.service

sshd 密钥

sshd 有自己的一对或多对密钥。它使用密钥向客户端证明其身份。所有密钥均以公钥和私钥对的形式出现。公钥文件名一般是私钥文件名加上后缀.pub。

DSA格式的密钥文件默认为/etc/ssh/ssh_host_dsa_key（公钥为ssh） RSA格式密钥为/etc/s sh/ssh_host_rsa_key （公钥是 ssh_host_rsa_key.pub）。如果需要支持 SSH 1 协议，则必须拥有密钥 /etc/ssh/ssh_host_key。

如果密钥不是默认文件，可以通过配置文件中的HostKey配置项进行设置 ❿❿❿❿❿❿❿❿❿❿❿ HostKey 默认密钥设置如下接下来。

# HostKey for protocol version 1
# HostKey /etc/ssh/ssh_host_key

# HostKeys for protocol version 2
# HostKey /etc/ssh/ssh_host_rsa_key
# HostKey /etc/ssh/ssh_host_dsa_ke

上面命令前面的#表示这些行是注释，因为这是默认值，有没有这些行都是一样的。

如果要更改键，请删除行开头的 #，然后指定另一个键。

HostKey /usr/local/ssh/my_dsa_key
HostKey /usr/local/ssh/my_rsa_key
HostKey /usr/local/ssh/my_old_ssh1_key

sshd 配置项

以下为/etc/ssh/sshd_config 文件中的配置项。

accceptenv

accingv指定允许通过sendenv命令从客户端接受哪些环境变量，这是客户端的环境列表，变量名之间用空格分隔。 （AcceptEnv 路径术语）。

AllowGroups

AllowGroups指定允许登录的用户组（AllowGroups groupNamed，不使用单独的组，不允许登录。

AllowUsers

AllowUsers指定允许登录的用户。使用空格分隔用户名（AllowUsers❀❙❀❙–AllowUsers user 1 user2❿也可以使用多行）。AllowU命令sers 指定，用户名支持使用通配符，如果不使用此项，则所有用户都可以登录。此项也可以采用用户名@域名❿的格式（如AllowUsers jones） @example.com)。是(允许Tcp转发是), 本地 表示只允许本地端口转发，远程❙ ❿远程 是只允许。

AuthorizedKeysFile

AuthorizedKeysFile指定存储用户公钥的目录。默认为用户主目录的 ssh/authorized_keys 目录 ( AuthorizedKeysFile .ssh/authorized_keys❿)。 banner ChallengeResponseAuthentication

ChallengeResponseAuthentication指定是否使用“键盘交互”身份验证方案，默认值为❀❿ChallengeResponseAuthentication（是）。

理论上，“键盘交互”认证方案可以询问用户多个问题，但实际上通常只要求用户输入密码。如果您进行基于密码的身份验证，则需要同时完成 passwordautical Authornication 和 挑战职位申请

。

Ciphers

Ciphers指定 sshd 可以接受的加密算法 (Ciphers 3des-cbc

ListenAddress 172.16.1.1
ListenAddress 192.168.0.1

PermitRootLogin prohibit-password

Port 22
Port 80
Port 443
Port 8080

$ sshd -t

$ sudo systemctl restart sshd

$ sshd -d

$ sshd -D

$ sshd -h /usr/local/ssh/my_rsa_key

$ sshd -o "Port 2034"

$ sshd -o "Port = 2034"

$ sshd -o Port=2034

$ sshd -p 2034

$ sshd -p 2222 -p 3333