Linux系统下OpenSSH的安装及基本配置⽂件详解
远程安装调试SSH特别注意，OpenSSH卸载后，可能导致凡使⽤SSH协议连接服务器的⼯具都⽆法登陆，⽐如WINSCP、PUTTY等，如果你正使⽤远程桌⾯，最好先开启TELNET并确保开机启动（或其它可替代的远程管理⼯具也可以），客户端可以正常连接后才可动⼿更新SSH，否则⼀旦SSH启动失败，就只能机房了。
⼀、卸载原来SSH
默认SSH会安装为服务，且开机启动，所以要先把服务停⽌（本⽂环境RedHat5.4）：
复制代码
代码如下:
service sshd stop
这时，建议备份⼀下/etc/init.d/sshd这个启动⽂件，因为下⽂编译安装OpenSSH后，没这个启动⽂件，尽管实际修改使⽤也不是太⽅便，除⾮你下⽂的安装⽬录跟原来的⼀样的。
复制代码
代码如下:
mv /etc/init.d/sshd /etc/init.d/sshd.old
卸载软件包：
复制代码
代码如下:
rmp -qa|grep openssh*
把输出列表中的SSH软件包都卸载掉。卸载⽅法请参考：
⼆、下载并安装新的OPENSSH
复制代码
代码如下:
cd /tmp
wget ftp.jaist.ac.jp/pub/OpenBSD/OpenSSH/portable/openssh-5.
tar xzvf openssh-5.
cd openssh-5.9p1
./configure --prefix=/usr/local/openssh --sysconfdir=/etc/ssh --with-pam --with-ssl-dir=/usr/local/openssl --with-md5-passwords --mandir=/usr/share/man --with-zlib=/usr/local/zlib2
make && make install
这⾥需要注意，上⾯的./configure配置，天缘的默认路径如下：
复制代码
代码如下:
openssl -> /usr/local/openssl
zlib -> /usr/local/zlib2
确认这些路径跟你的系统对应。不同则需⼿动修改掉。此外还有些参数，⽐如：
复制代码
代码如下:
--bindir=/usr/bin --sbindir=/usr/sbin
可根据需要设定。
三、查询SSH版本
复制代码
代码如下:
[root@localhost]# ssh -V
OpenSSH_5.9p1, OpenSSL 1.0.1 14 Mar 2012
四、设为服务开机运⾏
1、简单的开机启动设置⽅法
由于是⾃编译安装的OpenSSH，没有sshd这个启动⽂件，所以直接使⽤传统的启动⽅式，直接修改rc.local。打
开/etc/rc.local，添加：
复制代码
代码如下:
/usr/sbin/sshd
即可设置为开机启动。
2、爱折腾设置开机⽅法
使⽤chkconfig设置结合上⽂备份的sshd⽂件设为开机启动有点⿇烦，⾸先还原/etc/init.d/sshd：
复制代码
代码如下:
mv /etc/init.d/sshd.old /etc/init.d/sshd
再打开/etc/init.d/sshd⽂件（原装的sshd启动配置⽂件⼤概有4K多，主要确认顶部⼏个路径是否正确即可），天缘⼤概整理⼀下，主要如下⼏个（可能不⼀定完整，下次实际确认⼀下再补充完善）：
复制代码
代码如下:
...
# source function library
. /etc/rc.d/init.d/functions</p> <p># pull in sysconfig settings
[ -f /etc/sysconfig/sshd ] && . /etc/sysconfig/sshd</p> <p>RETVAL=0
prog="sshd"
lockfile=/var/lock/subsys/$prog</p> <p># Some functions to make the below more readable
KEYGEN=/usr/bin/ssh-keygen
SSHD=/usr/sbin/sshd
RSA1_KEY=/etc/ssh/ssh_host_key
RSA_KEY=/etc/ssh/ssh_host_rsa_key
DSA_KEY=/etc/ssh/ssh_host_dsa_key
PID_FILE=/var/run/sshd.pid
...
确认这些并修改这些路径后保存。
使⽤chkconfig添加为服务：
复制代码
代码如下:
chkconfig –add sshd
chkconfig –level 2345 sshd on
这样就设置完成了。
五、重启电脑或服务
启动SSH：
复制代码
代码如下:
service sshd start
停⽌SSH：
复制代码
代码如下:
service sshd stop
六、OpenSSH配置⽂件详解
AcceptEnv
指定客户端发送的哪些环境变量将会被传递到会话环境中。[注意]只有SSH-2协议⽀持环境变量的传递。
细节可以参考 ssh_config 中的 SendEnv 配置指令。
指令的值是空格分隔的变量名列表(其中可以使⽤’*’和’?’作为通配符)。也可以使⽤多个 AcceptEnv 达到同样的⽬的。需要注意的是，有些环境变量可能会被⽤于绕过禁⽌⽤户使⽤的环境变量。由于这个原因，该指令应当⼩⼼使⽤。默认是不传递任何环境变量。
AddressFamily
指定 sshd应当使⽤哪种地址族。取值范围是：”any”(默认)、”inet”(仅IPv4)、”inet6″(仅IPv6)。
AllowGroups
这个指令后⾯跟着⼀串⽤空格分隔的组名列表(其中可以使⽤”*”和”?”通配符)。默认允许所有组登录。
如果使⽤了这个指令，那么将仅允许这些组中的成员登录，⽽拒绝其它所有组。
这⾥的”组”是指”主组”(primary group)，也就是/etc/passwd⽂件中指定的组。
这⾥只允许使⽤组的名字⽽不允许使⽤GID。相关的 allow/deny 指令按照下列顺序处理：
DenyUsers, AllowUsers, DenyGroups, AllowGroups
AllowTcpForwarding
是否允许TCP转发，默认值为”yes”。
禁⽌TCP转发并不能增强安全性，除⾮禁⽌了⽤户对shell的访问，因为⽤户可以安装他们⾃⼰的转发器。
AllowUsers
这个指令后⾯跟着⼀串⽤空格分隔的⽤户名列表(其中可以使⽤”*”和”?”通配符)。默认允许所有⽤户登录。
如果使⽤了这个指令，那么将仅允许这些⽤户登录，⽽拒绝其它所有⽤户。
如果指定了 USER@HOST 模式的⽤户，那么 USER 和 HOST 将同时被检查。
这⾥只允许使⽤⽤户的名字⽽不允许使⽤UID。相关的 allow/deny 指令按照下列顺序处理：
DenyUsers, AllowUsers, DenyGroups, AllowGroups
AuthorizedKeysFile
存放该⽤户可以⽤来登录的 RSA/DSA 公钥。
该指令中可以使⽤下列根据连接时的实际情况进⾏展开的符号：
%% 表⽰’%’、%h 表⽰⽤户的主⽬录、%u 表⽰该⽤户的⽤户名。
经过扩展之后的值必须要么是绝对路径，要么是相对于⽤户主⽬录的相对路径。
默认值是”.ssh/authorized_keys”。
Banner
将这个指令指定的⽂件中的内容在⽤户进⾏认证前显⽰给远程⽤户。
这个特性仅能⽤于SSH-2，默认什么内容也不显⽰。”none”表⽰禁⽤这个特性。
ChallengeResponseAuthentication
是否允许质疑-应答(challenge-response)认证。默认值是”yes”。
所有 f 中允许的认证⽅式都被⽀持。
Ciphers
指定SSH-2允许使⽤的加密算法。多个算法之间使⽤逗号分隔。可以使⽤的算法如下：
“aes128-cbc”, “aes192-cbc”, “aes256-cbc”, “aes128-ctr”, “aes192-ctr”, “aes256-ctr”,
“3des-cbc”, “arcfour128″, “arcfour256″, “arcfour”, “blowfish-cbc”, “cast128-cbc”
默认值是可以使⽤上述所有算法。
ClientAliveCountMax
sshd 在未收到任何客户端回应前最多允许发送多少个”alive”消息。默认值是 3 。
到达这个上限后，sshd 将强制断开连接、关闭会话。
需要注意的是，”alive”消息与 TCPKeepAlive 有很⼤差异。
“alive”消息是通过加密连接发送的，因此不会被欺骗；⽽ TCPKeepAlive 却是可以被欺骗的。
如果 ClientAliveInterval 被设为 15 并且将 ClientAliveCountMax 保持为默认值，
那么⽆应答的客户端⼤约会在45秒后被强制断开。这个指令仅可以⽤于SSH-2协议。ClientAliveInterval
设置⼀个以秒记的时长，如果超过这么长时间没有收到客户端的任何数据，
sshd 将通过安全通道向客户端发送⼀个”alive”消息，并等候应答。
默认值 0 表⽰不发送”alive”消息。这个选项仅对SSH-2有效。
Compression
是否对通信数据进⾏加密，还是延迟到认证成功之后再对通信数据加密。
可⽤值：”yes”, “delayed”(默认), “no”。
DenyGroups
这个指令后⾯跟着⼀串⽤空格分隔的组名列表(其中可以使⽤”*”和”?”通配符)。默认允许所有组登录。
ssh工具安卓下载如果使⽤了这个指令，那么这些组中的成员将被拒绝登录。
这⾥的”组”是指”主组”(primary group)，也就是/etc/passwd⽂件中指定的组。
这⾥只允许使⽤组的名字⽽不允许使⽤GID。相关的 allow/deny 指令按照下列顺序处理：DenyUsers, AllowUsers, DenyGroups, AllowGroups
DenyUsers
这个指令后⾯跟着⼀串⽤空格分隔的⽤户名列表(其中可以使⽤”*”和”?”通配符)。默认允许所有⽤户登录。
如果使⽤了这个指令，那么这些⽤户将被拒绝登录。
如果指定了 USER@HOST 模式的⽤户，那么 USER 和 HOST 将同时被检查。
这⾥只允许使⽤⽤户的名字⽽不允许使⽤UID。相关的 allow/deny 指令按照下列顺序处理：DenyUsers, AllowUsers, DenyGroups, AllowGroups
ForceCommand
强制执⾏这⾥指定的命令⽽忽略客户端提供的任何命令。这个命令将使⽤⽤户的登录shell执⾏(shell -c)。
这可以应⽤于 shell 、命令、⼦系统的完成，通常⽤于 Match 块中。
这个命令最初是在客户端通过 SSH_ORIGINAL_COMMAND 环境变量来⽀持的。
GatewayPorts
是否允许远程主机连接本地的转发端⼝。默认值是”no”。
sshd默认将远程端⼝转发绑定到loopback地址。这样将阻⽌其它远程主机连接到转发端⼝。GatewayPorts 指令可以让 sshd 将远程端⼝转发绑定到⾮loopback地址，这样就可以允许远程主机连接了。“no”表⽰仅允许本地连接，”yes”表⽰强制将远程端⼝转发绑定到统配地址(wildcard address)，“clientspecified”表⽰允许客户端选择将远程端⼝转发绑定到哪个地址。
GSSAPIAuthentication
是否允许使⽤基于 GSSAPI 的⽤户认证。默认值为”no”。仅⽤于SSH-2。
GSSAPICleanupCredentials
是否在⽤户退出登录后⾃动销毁⽤户凭证缓存。默认值是”yes”。仅⽤于SSH-2。
HostbasedAuthentication
这个指令与 RhostsRSAAuthentication 类似，但是仅可以⽤于SSH-2。推荐使⽤默认值”no”。
推荐使⽤默认值”no”禁⽌这种不安全的认证⽅式。
HostbasedUsesNameFromPacketOnly
在开启 HostbasedAuthentication 的情况下，
指定服务器在使⽤ ~/.shosts ~/.rhosts /etc/hosts.equiv 进⾏远程主机名匹配时，是否进⾏反向域名查询。
“yes”表⽰ sshd 信任客户端提供的主机名⽽不进⾏反向查询。默认值是”no”。
HostKey
主机私钥⽂件的位置。如果权限不对，sshd可能会拒绝启动。
SSH-1默认是 /etc/ssh/ssh_host_key 。
SSH-2默认是 /etc/ssh/ssh_host_rsa_key 和 /etc/ssh/ssh_host_dsa_key 。
⼀台主机可以拥有多个不同的私钥。”rsa1″仅⽤于SSH-1，”dsa”和”rsa”仅⽤于SSH-2。
IgnoreRhosts
是否在 RhostsRSAAuthentication 或 HostbasedAuthentication 过程中忽略 .rhosts 和 .shosts ⽂件。
不过 /etc/hosts.equiv 和 /etc/shosts.equiv 仍将被使⽤。推荐设为默认值”yes”。
IgnoreUserKnownHosts
是否在 RhostsRSAAuthentication 或 HostbasedAuthentication 过程中忽略⽤户的 ~/.ssh/known_hosts ⽂件。
默认值是”no”。为了提⾼安全性，可以设为”yes”。
KerberosAuthentication
是否要求⽤户为 PasswordAuthentication 提供的密码必须通过 Kerberos KDC 认证，也就是是否使⽤Kerberos认证。要使⽤Kerberos认证，服务器需要⼀个可以校验 KDC identity 的 Kerberos servtab 。默认值是”no”。
KerberosGetAFSToken
如果使⽤了 AFS 并且该⽤户有⼀个 Kerberos 5 TGT，那么开启该指令后，
将会在访问⽤户的家⽬录前尝试获取⼀个 AFS token 。默认为”no”。
KerberosOrLocalPasswd
如果 Kerberos 密码认证失败，那么该密码还将要通过其它的认证机制(⽐如 /etc/passwd)。
默认值为”yes”。
KerberosTicketCleanup
是否在⽤户退出登录后⾃动销毁⽤户的 ticket 。默认值是”yes”。
KeyRegenerationInterval
在SSH-1协议下，短命的服务器密钥将以此指令设置的时间为周期(秒)，不断重新⽣成。
这个机制可以尽量减⼩密钥丢失或者⿊客攻击造成的损失。
设为 0 表⽰永不重新⽣成，默认为 3600(秒)。
ListenAddress
指定 sshd 监听的⽹络地址，默认监听所有地址。可以使⽤下⾯的格式：
ListenAddress host|IPv4_addr|IPv6_addr
ListenAddress host|IPv4_addr:port
ListenAddress [host|IPv6_addr]:port

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。