Kompletná príručka súboru Sshd_Config pre Linux

Protokol SSH alebo Secure Shell sa používa na vzdialené prihlásenie do počítača a spúšťanie príkazov na vzdialenom počítači. Údaje, ktoré sa prenášajú pomocou protokolu SSH, sú šifrované špeciálnymi algoritmami, vďaka ktorým je SSH bezpečnejšie ako Telnet. OpenSSH je v podstate nástroj, ktorý implementuje tento protokol.

Čo budeme pokrývať?

V tejto príručke preskúmame rôzne aspekty konfiguračného súboru servera OpenSSH. Začnime teraz.

Konfiguračné súbory OpenSSH

Existuje niekoľko základných súborov pre klienta aj server OpenSSH. Má dva typy konfiguračných súborov:

1. Súbory súvisiace s klientskou stranou: Jeden zo súborov je ssh_config. Ide o celosystémový konfiguračný súbor. Tento súbor sa nachádza na adrese /etc/ssh/ssh_config.

Druhý súbor je config, čo je konfiguračný súbor špecifický pre používateľa, ktorý sa nachádza na $HOME/.ssh/config.

Program SSH na hostiteľovi preberá konfiguráciu buď z týchto súborov alebo cez rozhranie príkazového riadku. V prípade vyššie uvedených súborov má celosystémový konfiguračný súbor, ktorým je ssh_config, prednosť pred súborom „config“ špecifickým pre používateľa.

2. sshd_config: Týka sa serverovej strany. Server OpenSSH prečíta tento súbor pri spustení.

Skúmanie sshd Konfiguračný súbor

Konfiguračný súbor sshd obsahuje mnoho direktív, ktoré je tiež možné prispôsobiť. Pozrime sa na predvolené rozloženie tohto súboru:

# Toto je celosystémový konfiguračný súbor servera sshd. Pozri

# sshd_config(5) pre viac informácií.

Každý riadok začínajúci znakom „#“ sa považuje za komentár. Pozrime sa na niektoré z uvedených parametrov:

1. Smernica Port špecifikuje číslo portu. Toto je číslo portu, na ktorom je sshd počúva spojenia. Predvolená hodnota pre tento port je 22, čo je štandardná hodnota. V našom prípade sme to však zmenili na 222.

Tiež môžeme zadať viac ako jednu direktívu Port. Týmto spôsobom môžeme použiť viacero portov na počúvanie na sshd pripojeniach.

2. ListenAddress obsahuje IP adresu pre počúvanie. Predvolená akcia je počúvať na všetkých IP adresách, ktoré sú viazané na server. Všimnite si tiež, že direktíva Port musí nasledovať po direktíve ListenAddress.

3. Plne kvalifikovaná cesta k súboru súkromného hostiteľského kľúča RSA je špecifikovaná direktívou HostKey. V predchádzajúcom prípade je cesta /etc/ssh/ssh_host_key .

4. Direktíva PermitRootLogin umožňuje prihlásenie root pre sshd, keď je nastavené na yes. Toto by malo byť nastavené na no, pokiaľ sa na obmedzenie prístupu sshd nepoužívajú súbory hosts.allow a hosts.deny.

5. Direktíva X11Forwarding povoľuje presmerovanie X Window System, keď je nastavené na yes.

6. Ktoré zariadenie Syslog, ktoré sshd by mal byť určený pomocou direktívy SyslogFacility. Ponechajte predvolenú hodnotu tak, ako je.

7. Úroveň protokolovania pre Syslog je špecifikovaná pomocou direktívy LogLevel.

Zmena sshd Port

V predvolenom nastavení je sshd alebo démon servera OpenSSH používa port 22 protokolu TCP. Odporúča sa zmeniť toto číslo portu na inú hodnotu v testovacom prostredí. To nám zaručuje, že konektivita servera je neustále k dispozícii.

Tiež je dobrou praxou skontrolovať syntax konfigurácie nového súboru sshd_config pred jeho použitím, bez ohľadu na port, na ktorom beží. Na kontrolu syntaxe môžeme použiť nasledujúci príkaz:

Je tiež dôležité poznamenať, že iba používateľ root by mal byť schopný čítať a zapisovať do tohto súboru. To znamená, že ak je konfiguračný súbor sshd_config správne zabezpečený, spustenie predchádzajúceho príkazu vyžaduje oprávnenie root.

Ak sa pri spustení predchádzajúceho príkazu na overenie syntaxe nezobrazí žiadny výstup, znamená to, že súbor je v poriadku.

Úprava predvoleného konfiguračného súboru a portu

V niektorých prípadoch chceme spustiť novú inštanciu sshd v inom prístave. Môže to byť spôsobené tým, že port 22 sa už používa alebo môžu existovať určité rizikové oblasti pri zmene tohto portu v produkčnom prostredí. V takýchto situáciách môžeme vytvoriť alternatívny konfiguračný súbor pre náš server.

Vytvorme nový súbor sshd_config ako sshd_config_new. Tento súbor môže byť použitý pre niektoré rôzne parametre servera. Teraz špecifikujme tento súbor, ktorý sa má považovať za nový konfiguračný súbor servera na porte číslo 100:

Démon sshd teraz počúva na porte 100. Môžeme použiť ľubovoľnú hodnotu portu, ale nie tú, ktorá sa už používa.

Teraz sa pozrime, či náš nový port funguje podľa potreby. Na to musíme použiť klientsky program ssh a spustiť nasledujúci príkaz:

Voľba „-p“ určuje port 100, ktorý sa má použiť na vzdialenom serveri. V prípade, že testujeme lokálne, môžeme použiť IP servera ako IP localhost:

Riešenie problémov s konfiguráciou OpenSSH

Niekedy náš server nefunguje podľa predstáv. V takýchto prípadoch môžeme použiť príznak „-d“ na riešenie problémov s konfiguráciou servera OpenSSH. Pomocou príznaku „-d“ server vstúpi do režimu ladenia a spracuje iba jedno pripojenie.

Výstup, ktorý sa vytvorí v režime ladenia, je podrobný. Na zvýšenie úrovne ladenia môžeme použiť viac príznakov „-d“. Spustite príkaz ladenia na našom serveri pomocou nového konfiguračného súboru:

Výstup z predchádzajúceho príkazu sa zaprotokoluje do stderr namiesto použitia zariadenia AUTH syslogd.

Záver

Démon OpenSSH alebo sshd je kľúčovou súčasťou mnohých administratívnych infraštruktúr. Ako taký si vyžaduje odborné znalosti na jeho riadenie pre optimálnu prevádzku. V tomto článku sme sa dozvedeli o konfiguračnom súbore servera OpenSSH, ako je sshd_config.