OpenSSH高级教程

OpenSSH 高级教程

原文出处：官方Wiki-AdvancedOpenSSH

原文作者：

授权许可：

• 创作共用协议Attribution-ShareAlike 2.0
• GNU自由文档许可证

翻译人员：fiftymetre

校正人员：millenniumdark

贡献人员：sighforever

适用版本：

文章状态：等待校正

---

译者的话：第一次翻译这英文文章，译的不好的地方也许大家包含，我会努力在下一章中尽我所能的提高翻译质量。翻译这篇文章时，还特意找一了本“SSH权威指南”研究了一下，以前在win下都是用SSH Secure Shell来跟ubuntn来传文件的呵呵。但ubuntu6.06桌面版本默认安装却没有安装SSH。

---

这翻译。。。非常生硬。我改了几句，发现要改的太多了。只好算了。  有的地方把配置文件中的指令都翻译了。这OpenSSH可不懂中文写的配置文件。  -- millenniumdark

要改的地方实在太多，正好我这两天在学这个，一点点改吧  -- sighforever

简介

这篇指南在Ubuntu OpenSSH的默认配置基础上，着重介绍了能够大幅增加安全性的高级配置技巧。它详细论述了两方面内容：(1)服务器端的特定配置方式;(2)通过与明文密码相比较，阐述了利用Rivest Shamir Adleman (RSA) 算法(注1)生成密钥登陆 OpenSSH 服务器的过程。

目标读者

为了能够更好的使用本教程 ，读者应该是一个善于使用命令行程序的Ubuntu用户，能够使用bash环境，并能够在基于控制台的文本编辑器中编辑系统配置文件。另外，读者应该知道如何启动和关闭系统，并且对OpenSSH程序的安装方式和使用目的有一个大致的了解。

关于 OpenSSH

OpenSSH是安全Shell协议族(SSH)的一个免费版本。SSH协议族可以用来进行远程控件， 或在计算机之间传送文件。而实现此功能的传统方式，如telnet(终端仿真协议), rcp(注2)都是极为不安全的，并且会使用明文传送密码。OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控件和文件传输过程的中的数据，并由此来代替原来的类似服务。

OpenSSH 服务 (sshd)

OpenSSH服务，sshd,是一个典型的独立守护进程(standalone daemon)，但也可以根据需要通过网络守护进程(Internet Daemon)-inetd(注3)或Ineternet Daemon's more modern-xinted(注4)加载。OpenSSH服务可以通过/etc/ssh/sshd_config文件进行配置。本章将介绍此配置文件中的默认配置，并说明如何修改这些配置来提高sshd的安全性。本章的行文方式为：先使用斜体字简单说明默认设置(如：Port 22)， 然后在下一行中使用粗体字 (如：Protocol 2)介绍为了增强安全防护而作的修改。

在改变您的sshd配置文件之前，请先备份您的/etc/ssh/sshd_config文件，在终端(shell)中输入下列命令:

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.original

如果这个文件不存在，证明您还没有安装OpenSSH，请通过软件仓库安装OpenSSH-server程序。注意，在/etc/ssh/文件夹下还有一个ssh_conf文件，它是SSH客户端的配置文件，在此请不要修改它。

如果您愿意，您可以使用下面的命令保护您的配置文件不会被意外的修改。

sudo chmod a-w /etc/ssh/sshd_config.original

以这种方式备份配置文件是管理您的Ubuntu GNU/Linux系统的最好方法。如果当您需要将应用程序恢复到默认配置或者当您因为操作失误或配置文件修改错误而导致应用程序不能运行的时候，您可以很方便的进行操作。

如果您已经保存好了您的/etc/ssh/sshd_config文件，你就可以放心的实验本教程中所提到的配置方法了。当您修改完配置文件后，您必须保存/etc/ssh/sshd_config文件，并使用下面的命令重新启动sshd，才能使更改结果起作用:

sudo /etc/init.d/ssh restart

建议 OpenSSH 服务设定

Ubuntu中，OpenSSH的默认配置要比其他GNU linux发行版中的配置更为安全，但是，如果按照本章讲解的方式进行配置，其安全程度还可以进一步提高。但是在一些特殊条件下，本文中的配置可能不适合您的环境要求，这时，您就要权衡环境需求与安全性要求，做出折中的配置。

登录

LogLevel INFO

在默认的设置下，sshd的登录日志以INFO极别写入AUTH系统日志设备(SyslogFacility)。如果ssh作为你远程控制Ubuntu主机的主要方式，您应该考虑将日志级别由INFO提升为VERBOSE。这样，在日志中将会记录更多有关登录成功和登录失败的信息。

LogLevel VERBOSE

这样，所有ssh登录成功信息，和未成功登录的信息都以VERBOSE的日志级别记录在你的AUTH文件中(/var/log/auth.log)。

验证

LoginGraceTime 120

默认设定,Ubuntu's的OpenSSH 服务配置从登录提示被显示的时间起到120 秒 (二分钟),直到在连接被 sshd 结束之前，用户必须开始登录过程。这个行为受登录时间指令的约束。

LoginGraceTime 20

在断开远程访问实用程序这前sshd服务将只为用户提供20秒等待。这可以有助于自动化阻遏，或者暴力攻击ssh，和拒绝服务式攻击(Dos)。

LoginGraceTime

X11Forwarding yes

如果计算机提供传统服务，(E-Mail服务或Web服务)，而且没有在以任何的形式 (像是 LTSP) 提供 X11 服务，那时X11数据封装将失去修改X11Forwarding指令到去除潜在的攻击向量，特别是连接到 ssh 用户。

X11Forwarding no

现在X11 forwarding将无法有效的来自你的 sshd。

警告: 如果服务是基于使用X11服务的,或来自LTSP，那时X11 Forwarding将关闭，或者你将失去对此能力的支持！

#Banner /etc/issue.net

显示一个不欢迎的警示条，或更好的方法对于安全是件好事。它告知好奇的人,或者故意的未经许可的访客到你的OpenSSH服务器，因为远程访问你的计算机是需要经过许可的，并且需要用户授权。

有一个预登陆的条目可以对你成功防范一个攻击者有很大的帮助,或别的组织未经许可的尝试经由ssh访问你的服务器。

Banner /etc/issue.net

现在激活那个显示条目 /etc/ssh/sshd_config，使用下列的程序和例子内容来创建实际的条目文件：

使用sudo,和你喜欢的编辑软件，创建文件 /etc/issue,并把下面的文字写在里面作为预登陆告警条的起点：

***************************************************************************
NOTICE TO USERS
This computer system is the private property of its owner, whether
individual, corporate or government. It is for authorized use only.
Users (authorized or unauthorized) have no explicit or implicit
expectation of privacy.
Any or all uses of this system and all files on this system may be
intercepted, monitored, recorded, copied, audited, inspected, and
disclosed to your employer, to authorized site, government, and law
enforcement personnel, as well as authorized officials of government
agencies, both domestic and foreign.
By using this system, the user consents to such interception, monitoring,
recording, copying, auditing, inspection, and disclosure at the
discretion of such personnel or officials. Unauthorized or improper use
of this system may result in civil and criminal penalties and
administrative or disciplinary action, as appropriate. By continuing to
use this system you indicate your awareness of and consent to these terms
and conditions of use. LOG OFF IMMEDIATELY if you do not agree to the
conditions stated in this warning.
****************************************************************************

保存文件，并且创建一个符号连结到 /etc/issue.net　文件使用下列命令:

sudo ln -s /etc/issue /etc/issue.net

一旦重新启动sshd,所有的登陆尝试都会遇到上面的警告,并且有登陆提示符在这后面,所有的非授权访问者将受到一个清晰的消息"你的电脑只能通过授权才 能使用,不欢迎非授权使用,上面的警告条是丛US DEPARTMENT OF DEFENCE 的警告条的修改版本生成的,对于专业使用是足够合适的,可能对于个人用户就更加合适了。

做为旁边注解,所有本地控制台应用程序也同样显示来自 /etc/issue　文件的信息，甚至在物理层使用这台电脑的人也会收到这样的警告。如果这不是你想要的行为，然后把条目的内容放在 /etc/issue文件中,而不是做一个到/etc.issue的一个符号联接,/etc/issue中没有任何文本。由于没有文字在 /etc/issue，警告将只出现在那些尝试访问系统的人的面前。

进一步的配置技巧

下面的内容是一些额外的暗示和一些配置一个更加安全的openssh安装的技巧,这些技巧利用一些不包含在默认的ubuntussh配置文件中的指令,并且提出其他加强你的ssh安装安全的方法。

允许和拒绝用户和用户组

在配置文件中你可以使用一些指令来允许或者拒绝一些特定用户或者用户组用ssh登陆.这个方法更加细致的控制哪些人可以通过ssh来进入你的Ubuntu电脑。

例如,如果你想只允许jhendrix和svaughan通过ssh登陆,你可以向这样在你的/etc/ssh中使用allowusers指令。

'AllowUsers'　jhendrix svaughan

如果你不想让所有用户能过 ssh 登陆，除了使用者 wgates，或sballmer然后你可以使用DenyUsers命令添加到/etc/ssh/sshd_config中，像这样：

'DenyUsers'wgates sballmer

最后，再看一个例子，你可以这样配置你的OpenSSH服务，只有用户属于系统组才允许通过ssh 登录。在这个例子中，我们将执行一些必要手段只允许SSH的用户都是小组成员sshlogin。 sudo addgroup --gid 450 sshlogin sudo adduser <username> sshlogin。

sudo addgroup --gid 450 sshlogin

sudo adduser <username> sshlogin

在以上的例子中是用'<username>'代替你的用户名加入到sshlogin系统组。最后，编辑你的 /etc/ssh/sshd_config，并增添allowgroups指令：

AllowGroups sshlogin

重新启动 sshd，并且只有属于sshlogin组的用户才可以通过ssh　登录到你的Ubuntu计算机。

启动 sshd来监听不同的端口

由于近来自动扫描ssh和暴力攻击工具的大量增长,很多装有ssh的用户和管理员决定给ssh用一个非标准的tcp端口,标准的sshd侦听端口是 tcp/22,并且暴力扫描攻击工具都典型的被配置成侦听这个端口用来查找后门。

尽管从使用简单密码的ssh登陆切换到使用基于键盘方式的登陆,就象在指南中下部分我们要讨论的显著减少了自动工具猜测出一个正确的在你的系统的登陆的机会,一些人觉得加入更多偏僻字的层数可能更会增强安全性。

如果你曾考虑过在非标准端口上运行的你的sshd分支,例如一个常量需要使用-p或者-P来切换不同的ssh工具,或者通过修改配置文件这种更长久的方式来检验端口改变的正确,并且接受那些协议,然后改变侦听端口是十分琐碎的。

仅仅增加一个或更多的端口在你的 /etc/ssh/sshd_config　文件中，因此：

Port 2222

如果你希望侦听tcp/22，和tcp/2222端口，例如，局域网连接使用传统方式，但外部连接使用tcp/2222端口。要完成这些，不需要在你的路由器配置网络地址翻译规则或者类似的东西，只要增加这2条指令到 /etc/ssh/sshd_cfig: 

Port 22

Port 2222

不要忘记保存文件，和重新启动你的sshd指令：

sudo /etc/init.d/ssh restart

使改变生效。

基于RSA key登陆

基于key的授权是可用的ssh授权方法中的一种，因此简单的密码(Ubuntu默认密码)和Kerberos标签。基于Key的验证的几个优点比密码验证更好，至于例子这个key的值就十分明显的很难被暴力破解，或以大量的关键字为条件来猜测弱密码。

数字键也是如此,是对极其相似事物的一个比方，所以可以在可能出现弱密码的地方显示密码安全的程度。使用基于Key登录的ssh 是比使用弱密码的登录，普遍认为更安全的。

注解: 同时生成一套能够使用openssh的RSA key而不需要密码是可能的,简单讲,通过ssh登陆不要密码,这个指导书没有描述或者认定这种用法是很不安全的.如果这个缺少密码的key落入其他人手 中,就如你的授权一样,应此所有允许这些key的系统安全都很容易受到威胁,在一些情况下,例如不安全的群环境中,需要有完全没有密码的登陆,但是,这本书没有解释制造这种key的过程。

'

这部分将说明启动基本Key登录的ssh ，生成一套公有/私有RSA密匙，并使用它们由OpenSSH登录你的Ubuntu计算机。

生成 RSA 密匙

第一步包括生成一组用于验证的RSA 密匙。代表性意思是，你将在想要通过某台电脑去远程登陆其他电脑的这台机器上做这些事情，但是这不是非常重要，因为你总是可以到处把你的密匙安装到需要的机器上。到生成一个RSA 公有/私有密匙，使用下列命令行：

b@tsh:~ ssh-keygen -t rsa

你必须在一个位置保存你的密匙，和一串对应于你的密匙的passphrase(密码短语口令)注5。当选择passphrase对于密匙时，应选择非常坚 固的passphrase，和便于记忆的，和记录它的位置的安全。这passphrase必须使用钥匙,在每次你要登录到一个基于密匙的系统:

生成公有/私有RSA密匙对。
进入保证密匙的文件(/home/b/.ssh/id_rsa):
进入passphrase(empty for no passphrase):
再次进入同一passphrase:
你的验证文件保存在/home/b/.ssh/id_rsa.
你的公有密匙保存在 /home/b/.ssh/id_rsa.pub.

祝贺你现在已经有了密匙组。现在布置你的系统已允许你的登录它们。

在远程电脑寄存密匙

假设你想使用key的远程ubuntu已经运行了ssh后台程序,接下来放置你自己key对的公共部分在那些电脑上是十分简单的,例如,如果你喜 欢开始用基于key的方式登陆一个叫madsion的远程电脑,并且madsion正在运行sshd,并且能够用名字通过网络来到达这台机器,就可以很简 单的用sshcopy这个命令来恰当的放置你的key: ssh-copy-id -i ~/.ssh/id_rsa.pub b@madison

登录测试

接下来, 你将要登录测试，配置连接到机器并使用你的passphrase来解开密匙:

ssh madison

你会看到一个要你给出key的passphrase的命令提示符:

Enter passphrase for key '/home/b/.ssh/id_rsa':

输入你的passphrase，并把madison设置为允许从基于密匙的登录，你将要使用它登录。

注解: 上述的例子只是：一个例子！代替用户名，在这个例子中,机器名用你自己实际的名字是为了增加你成功的机会。 ;-)

疑难解答

如果你不是被提示要求passphrase,而是仅仅得到

b@madison's password:

提示同样使用密码登录，然后读取。有一些情况可以预防向上面提到的这种情况。在默认的Ubuntu安装里，上面的例子能够运行。如果不，下列各项条件，例如这些时常发生的原因：

在远程计算机上，确认 /etc/ssh/sshd_config包含下列各项，和没有它们的注解；

PubkeyAuthentication yes

如果没有加它们，或没有注解，那么重要启动sshd,并重新再试一个登录。如果你现在得到了passphrase的提示，那要祝贺你可以用密匙登录了！

从这里到那里?

如过你已经成功建立了一个基于RAS密匙的登陆,你可能希望这是你Ubuntu系统上唯一可接受的授权方式,完全放弃弱密码授权.按照这个路线,将能确保自动暴力扫描和攻击工具对你的公共系统攻击更加困难,提前提醒,你一旦丢失了密匙,你会发现你自己也被关在系统外面!

从通知你的sshd不允许弱密码，到只是简单的使用sudo和你喜欢的编辑软件编辑 /etc/ssh/sshd_config，和下列各项指令改变：

#PasswordAuthentication yes

by uncommenting it, and changing yes to no:

PasswordAuthentication no

保存文件，并重新启动sshd以使弱密码验证无效。

警告 : 做二次，使弱密码验证无效行为，和没有使用密匙登录，或丢失了你的密匙，你并被锁在你的机器外面了。当然，你仍然可以经过控制台登录机器上，但这可能不是那么容易,如果你的电脑是500哩远呢!你已被再次警告这样是不行的!

此外,你可以改变允许使用基于密匙的登录的登录指令，到执行策略为以基于密码的登录。你可以做这个通过改变:

PermitRootLogin yes

to

PermitRootLogin without-password

不要由于没有密码而被警告.这并不意味着一个人用root登陆的时候不需要提供密码,仅仅相当，这意味着没有人可以用密码认证的方法使用root来登陆,意味着用root登陆的时候可能只能使用公共密匙方式登陆。

资源

更多资源与高级配置OpenSSH的安全性在以下表格中。

本地系统资源

man sshd	System manual page for the sshd server daemon
man sshd_config	System manual page for the /etc/ssh/sshd_config configuration file
man ssh-copy-id	System manual page for the ssh-copy-id application
man ssh-keygen	System manual page for the ssh-keygen application
/etc/ssh/sshd_config	The OpenSSH Secure Shell Daemon (sshd) configuration file

WWW Resources

Keeping SSH access secure

OpenSSH Website

Password-less logins with OpenSSH

注1: 它是第一个既能用于数据加密也能用于数字签名的算法。它易于理解和操作，也很流行。算法的名字以发明者的名字命名：Ron Rivest, Adi Shamir 和Leonard Adleman。但RSA的安全性一直未能得到理论上的证明。它经历了各种攻击，至今未被完全攻破。

注2: (rcp) 远端复制协议。该协议允许用户从网络的一个远端主机或者服务器上的文件系统中上载和下载文件。远端复制协议使用TCP协议来确保数据传输的可靠性。

注3: 原处为"inetd" 意思就是监视一些网络请求的守护进程,其根据网络请求来调用相应的服务进程来处理连接请求。

注4: xinetd(eXtended InterNET services daemon)提供类似于inetd+tcp_wrapper的功能，但是更加强大和安全。

注5: 相对“密码”(password)而言，密码短语（passphrase）口令以其更为严密的安全性正受到IT界的广泛关注。在功能上，passphrase同密码一样，只是长度较密码长。通常passphrase使用4到5个单词取代原来数字、字母结合的方式。