19 sshd_config文件中的配置参数-中
1 2 3 | https://blog.csdn.net/linghe301/article/details/8211305 https://www.cnblogs.com/xiaogan/p/5902846.html http://www.jinbuguo.com/openssh/sshd_config.html |
15-1. X11 转发 – 允许 – 默认
1 | X11Forwarding yes |
15-2. X11 转发 – 禁止
1 | X11Forwarding no |
16-1. 指定 sshd(8) X11 转发的第一个可用的显示区(display)数字。默认值是 10
这个可以用于防止 sshd 占用了真实的 X11 服务器显示区，从而发生混淆
1 | X11DisplayOffset 10 |
17-1. 将X11转发服务器绑定到本地loopback地址 – 是 – 默认
1 | X11UseLocalhost yes |
17-2. 将X11转发服务器绑定到本地loopback地址 – 否
1 | X11UseLocalhost no |
18-1. 允许TTY – 允许 – 默认
1 | PermitTTY yes |
18-2. 允许TTY – 禁止
1 | PermitTTY no |
19-1. 打印警告信息 – 允许 – 默认
1 | PrintMotd yes |
19-2. 打印警告信息 – 禁止
1 | PrintMotd no |
20-1. 打印上次登录信息 – 允许 – 默认
1 | PrintLastLog yes |
20-2. 打印上次登录信息 – 禁止
1 | PrintLastLog no |
21-1. TCP长时间保持连接 – 允许 – 默认
1 | TCPKeepAlive yes |
21-2. TCP长时间保持连接 – 禁止
1 | TCPKeepAlive no |
22-1. 使用Login命令 – 禁止 – 默认
1 | UseLogin no |
22-2. 使用Login命令 – 允许
如果开启此指令，那么 X11Forwarding 将会被禁止
1 | UseLogin yes |
23-1. 开启ssh创建非特权子进程处理接入请求 – 允许
1 | UsePrivilegeSeparation yes |
23-2. 开启ssh创建非特权子进程处理接入请求 – 禁止
1 | UsePrivilegeSeparation no |
24-1. 导入变量 – 禁止 – 默认
1 | PermitUserEnvironment no |
24-2. 导入变量 – 允许
1 | PermitUserEnvironment yes |
26-1. 对通信数据进行加密 – 延迟到认证成功之后再对通信数据加密
1 | Compression delayed |
26-2. 对通信数据进行加密 – 是
1 | Compression yes |
26-3. 对通信数据进行加密 – 否
1 | Compression no |
26-1. 设置一个以秒记的时长，如果超过这么长时间没有收到客户端的任何数据，
sshd(8) 将通过安全通道向客户端发送一个”alive”消息，并等候应答。
默认值 0 表示不发送”alive”消息。这个选项仅对SSH-2有效。
1 | ClientAliveInterval 0 |
27-1. 未收到任何客户端回应前最多允许发送多少个”alive”消息。默认值是 3,
到达这个上限后，sshd(8) 将强制断开连接、关闭会话。
需要注意的是，”alive”消息与 TCPKeepAlive 有很大差异。
1 | ClientAliveCountMax 3 |
28-1. 连接ssh端口时,是否返回SSH的补丁版本信息 – 禁止 – 默认
1 | ShowPatchLevel no |
28-2. 连接ssh端口时,是否返回SSH的补丁版本信息 – 允许
1 | ShowPatchLevel yes |
29-1. PidFile 路径 – 存放SSH守护进程的进程号
1 | PidFile /var/run/sshd.pid |
30-1. MaxStartups 是sshd服务表示最大连接数的，大于这个值ssh 或者sftp就会被拒绝
10: 在我们开始删除之前未认证的连接数
30: 一旦我们达到10就下降的几率（线性增加超过10）
100: 我们开始删除所有内容的最大连接数
1 | MaxStartups 10:30:100 |
31-1. 是否允许 tun(4) 设备转发 – 禁止 – 默认
1 | PermitTunnel no |
31-2. 是否允许 tun(4) 设备转发 – 允许
1 | PermitTunnel yes |
32-1. 更改根目录 chroot命令
1 | ChrootDirectory none |
33-1. 文件中的内容在用户进行认证前显示给远程用户 – 禁用
1 | Banner none |
33-2. 文件中的内容在用户进行认证前显示给远程用户 – /etc/issue.net
1 | Banner /etc/issue.net |
34-1. 存放该用户可以用来登录的 RSA/DSA 公钥
1 | AuthorizedKeysFile .ssh/authorized_keys |
35-1. 只允许test用户ssh登陆
1 | AllowUsers test |
36-1. 只允许test组ssh登陆
1 | AllowGroups test |
37-1. 只禁止test用户ssh登陆
1 | DenyUsers test |
37-1. 只禁止test组ssh登陆
1 | DenyGroups test |
38-1. 是否允许远程主机连接本地的转发端口 – 不允许 | 仅允许本地连接
1 | GatewayPorts no |
38-2. 是否允许远程主机连接本地的转发端口 – 表示强制将远程端口转发绑定到统配地址(wildcard address)
1 | GatewayPorts yes |
备注:
是否允许远程主机连接本地的转发端口。默认值是”no”。
sshd(8) 默认将远程端口转发绑定到loopback地址。这样将阻止其它远程主机连接到转发端口。
GatewayPorts 指令可以让 sshd 将远程端口转发绑定到非loopback地址，这样就可以允许远程主机连接了
39-1. 限制用户必须在指定的时限内认证成功，0 表示无限制。默认值是 120
1 | LoginGraceTime 2m |
40-1. 要求 sshd(8) 在接受连接请求前对用户主目录和相关的配置文件进行宿主和权限检查 – 否 – 默认
1 | StrictModes no |
40-2. 要求 sshd(8) 在接受连接请求前对用户主目录和相关的配置文件进行宿主和权限检查 – 是
1 | StrictModes yes |
41-1. 指定每个连接最大允许的认证次数。默认值是 6 。
如果失败认证的次数超过这个数值的一半，连接将被强制断开，且会生成额外的失败日志消息。
1 | MaxAuthTries 6 |
