(转)sshdITeye - 众发娱乐

(转)sshdITeye

2019年03月04日13时47分39秒 | 作者: 梦秋 | 标签: 运用,设定,这个 | 浏览: 596

转自:
# 1. 关于 SSH Server 的全体设定,包括运用的 port 啦,以及运用的暗码演算方法
Port 22 # SSH 预设运用 22 这个 port,您也能够运用多的 port !
 # 亦即重复运用 port 这个设定项目即可!
Protocol 2,1 # 挑选的 SSH 协议版别,能够是 1 也能够是 2 ,
 # 假如要一起支撑两者,就必须要运用 2,1 这个分隔了!
#ListenAddress 0.0.0.0 # 监听的主机适配卡!举个比如来说,假如您有两个 IP,
 # 分别是 192.168.0.100 及 192.168.2.20 ,那么只想要
 # 敞开 192.168.0.100 时,就能够写好像下面的款式:
ListenAddress 192.168.0.100 # 只监听来自 192.168.0.100 这个 IP 的SSH联机。
 # 假如不运用设定的话,则预设一切接口均承受 SSH
PidFile /var/run/sshd.pid # 能够放置 SSHD 这个 PID 的档案!左列为默认值
LoginGraceTime 600 # 当运用者连上 SSH server 之后,会呈现输入暗码的画面,
 # 在该画面中,在多久时刻内没有成功连上 SSH server ,
 # 就断线!时刻为秒!
Compression yes # 是否能够运用紧缩指令?当然能够啰!
# 2. 阐明主机的 Private Key 放置的档案,预设运用下面的档案即可!
HostKey /etc/ssh/ssh_host_key # SSH version 1 运用的私钥
HostKey /etc/ssh/ssh_host_rsa_key # SSH version 2 运用的 RSA 私钥
HostKey /etc/ssh/ssh_host_dsa_key # SSH version 2 运用的 DSA 私钥
# 2.1 关于 version 1 的一些设定!
KeyRegenerationInterval 3600 # 由前面联机的阐明能够知道, version 1 会运用 
 # server 的 Public Key ,那么假如这个 Public 
 # Key 被偷的话,岂不完蛋?所以需求每隔一段时刻
 # 来从头树立一次!这儿的时刻为秒!
ServerKeyBits 768 # 没错!这个就是 Server key 的长度!
# 3. 关于登录文件的消息数据放置与 daemon 的称号!
SyslogFacility AUTH # 当有人运用 SSH 登入体系的时分,SSH会记载资
 # 讯,这个信息要记载在什么 daemon name 底下?
 # 预设是以 AUTH 来设定的,便是 /var/log/secure
 # 里边!什么?忘记了!回到 Linux 根底去翻一下
 # 其它可用的 daemon name 为:DAEMON,USER,AUTH,
 # LOCAL0,LOCAL1,LOCAL2,LOCAL3,LOCAL4,LOCAL5,
LogLevel INFO # 登录记载的等级!嘿嘿!任何消息!
 # 相同的,忘记了就回去参阅!
# 4. 安全设定项目!极重要!
# 4.1 登入设定部分
PermitRootLogin no # 是否答应 root 登入!预设是答应的,可是主张设定成 no!
UserLogin no # 在 SSH 底下原本就不承受 login 这个程序的登入!
StrictModes yes # 当运用者的 host key 改动之后,Server 就不承受联机,
 # 能够抵御部分的木马程序!
#RSAAuthentication yes # 是否运用纯的 RSA 认证!?仅针对 version 1 !
PubkeyAuthentication yes # 是否答应 Public Key ?当然答应啦!只要 version 2
AuthorizedKeysFile .ssh/authorized_keys
 # 上面这个在设定若要运用不需求暗码登入的账号时,那么那个
 # 账号的寄存档案地址档名!
# 4.2 认证部分
RhostsAuthentication no # 本机体系不止运用 .rhosts ,由于仅运用 .rhosts 太
 # 不安全了,所以这儿一定要设定为 no !
IgnoreRhosts yes # 是否撤销运用 ~/.ssh/.rhosts 来做为认证!当然是!
RhostsRSAAuthentication no # 这个选项是专门给 version 1 用的,运用 rhosts 档案在
 # /etc/hosts.equiv合作 RSA 演算方法来进行认证!不要运用
HostbasedAuthentication no # 这个项目与上面的项目相似,不过是给 version 2 运用的!
IgnoreUserKnownHosts no # 是否疏忽家目录内的 ~/.ssh/known_hosts 这个档案所记载
 # 的主机内容?当然不要疏忽,所以这儿就是 no 啦!
PasswordAuthentication yes # 暗码验证当然是需求的!所以这儿写 yes 啰!
PermitEmptyPasswords no # 若上面那一项假如设定为 yes 的话,这一项就最好设定
 # 为 no ,这个项目在是否答应以空的暗码登入!当然不许!
ChallengeResponseAuthentication yes # 应战任何的暗码认证!所以,任何 login.conf 
 # 规则的认证方法,均可适用!
#PAMAuthenticationViaKbdInt yes # 是否启用其它的 PAM 模块!启用这个模块将会
 # 导致 PasswordAuthentication 设定失效!
# 4.3 与 Kerberos 有关的参数设定!由于咱们没有 Kerberos 主机,所以底下不必设定!
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosTgtPassing no
# 4.4 底下是有关在 X-Window 底下运用的相关设定!
X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes
# 4.5 登入后的项目:
PrintMotd no # 登入后是否显现出一些信息呢?例如前次登入的时刻、地址等
 # 等,预设是 yes ,可是,假如为了安全,能够考虑改为 no !
PrintLastLog yes # 显现前次登入的信息!能够啊!预设也是 yes !
KeepAlive yes # 一般来说,假如设定这项目的话,那么 SSH Server 会传送
 # KeepAlive 的消息给 Client 端,以保证两者的联机正常!
 # 在这个情况下,任何一端死掉后, SSH 能够马上知道!而不会
 # 有僵尸程序的发作!
UsePrivilegeSeparation yes # 运用者的权限设定项目!就设定为 yes 吧!
MaxStartups 10 # 一起答应几个没有登入的联机画面?当咱们连上 SSH ,
 # 可是没有输入暗码时,这个时分就是咱们所谓的联机画面啦!
 # 在这个联机画面中,为了维护主机,所以需求设定最大值,
 # 预设最多十个联机画面,罢了经树立联机的不计算在这十个傍边
# 4.6 关于运用者抵御的设定项目:
DenyUsers * # 设定受抵御的运用者称号,假如是悉数的运用者,那就是悉数
 # 挡吧!若是部分运用者,能够将该账号填入!例如下列!
DenyUsers test
DenyGroups test # 与 DenyUsers 相同!仅抵御几个群组罢了!
# 5. 关于 SFTP 效劳的设定项目!
Subsystem sftp /usr/lib/ssh/sftp-server


基本上,在您的体系中,『除非有必要,否则请不要更改 /etc/ssh/sshd_config 这个档案的设定值!』由于预设的情况下一般都是最紧密的 SSH 维护了,因而,能够不需求更动他!上面的阐明仅是在让我们了解每个细项的一些基本内容罢了!

别的,假如您修正过上面这个档案(/etc/ssh/sshd_config),那么就必需求从头启动一次 sshd 这个 daemon 才行!亦便是:/etc/rc.d/init.d/sshd restart(service sshd restart)

man sshd_config:检查随机帮组文档

# $OpenBSD: sshd_config,v 1.80 2008/07/02 02:24:18 djm Exp $
# This is the sshd server system-wide configuration file. See
# sshd_config(5) for more information.
# This sshd was compiled with PATH=/usr/local/bin:/bin:/usr/bin
# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented. Uncommented options change a
# default value.
#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::
# Disable legacy (protocol version 1) support in the server for new
# installations. In future the default will change to require explicit
# activation of protocol 1
Protocol 2
# HostKey for protocol version 1
#HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key
# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h
#ServerKeyBits 1024
# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO
# Authentication:
#LoginGraceTime 2m
#PermitRootLogin yes
#StrictModes yes
#MaxAuthTries 6
#MaxSessions 10
#RSAAuthentication yes
#PubkeyAuthentication yes
#AuthorizedKeysFile .ssh/authorized_keys
#AuthorizedKeysCommand none
#AuthorizedKeysCommandRunAs nobody
# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#RhostsRSAAuthentication no
# similar for protocol version 2
#HostbasedAuthentication no
# Change to yes if you dont trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
#IgnoreUserKnownHosts no
# Dont read the users ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes
# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes
#PermitEmptyPasswords no
PasswordAuthentication yes
# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
ChallengeResponseAuthentication no
# Kerberos options
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no
# GSSAPI options
#GSSAPIAuthentication no
GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes
GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
# Set this to yes to enable PAM authentication, account processing, 
# and session processing. If this is enabled, PAM authentication will 
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to no.
#UsePAM no
UsePAM yes
# Accept locale-related environment variables
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
#AllowAgentForwarding yes
#AllowTcpForwarding yes
#GatewayPorts no
#X11Forwarding no
X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes
#PrintMotd yes
#PrintLastLog yes
#TCPKeepAlive yes
#UseLogin no
#UsePrivilegeSeparation yes
#PermitUserEnvironment no
#Compression delayed
#ClientAliveInterval 0
#ClientAliveCountMax 3
#ShowPatchLevel no
#UseDNS yes
#PidFile /var/run/sshd.pid
#MaxStartups 10
#PermitTunnel no
#ChrootDirectory none
# no default banner path
#Banner none
# override default of no subsystems
Subsystem sftp /usr/libexec/openssh/sftp-server
# Example of overriding settings on a per-user basis
#Match User anoncvs
# X11Forwarding no
# AllowTcpForwarding no
# ForceCommand cvs server
版权声明
本文来源于网络,版权归原作者所有,其内容与观点不代表众发娱乐立场。转载文章仅为传播更有价值的信息,如采编人员采编有误或者版权原因,请与我们联系,我们核实后立即修改或删除。

猜您喜欢的文章

阅读排行

  • 1

    (转)sshdITeye

    运用,设定,这个
  • 2

    几种监控用守时使命ITeye

    监控,网络连接,进程
  • 3

    Ubuntu下装置php扩展ITeye

    装置,扩展,办法
  • 4
  • 5
  • 6
  • 7

    浅谈https\ssl\数字证书(2)ITeye

    证书,数字证书,客户端
  • 8
  • 9
  • 10