xác minh cấu hình sshd

Làm thế nào tôi có thể xác minh cấu hình của sshd?

Ví dụ: tôi muốn đảm bảo rằng các cài đặt này được đặt và áp dụng:

AllowUsers user1 user2 
PasswordAuthentication no
PermitRootLogin no

Là cách duy nhất để xác minh thủ công nội dung của tệp sshd_config, hoặc tôi có thể thăm dò sshdđể đảm bảo?

Có một chế độ thử nghiệm mở rộng, được gọi với tùy chọn dòng lệnh -T, thực hiện điều này. Ví dụ:

% sudo sshd -T | egrep -i 'allowusers|passwordauth|permitroot'
permitrootlogin yes
passwordauthentication yes

Tùy chọn này đã tồn tại trong OpenSSH di động từ năm 2008, xem cam kết e7140f2 . Điều này đã được phát hành với 5.1p1, được thực hiện vào tháng 7 năm 2008, xem ghi chú phát hành cho 5.1 , vì vậy nó tồn tại trong hầu hết các cài đặt máy chủ OpenSSH được hỗ trợ ngày hôm nay.

Mặc dù điều này sẽ không kết xuất tất cả các định nghĩa máy chủ của bạn, bạn có thể thử kết nối với máy chủ bằng cờ gỡ lỗi dài dòng : ssh -v user@server. Điều đó sẽ cung cấp cho bạn rất nhiều thông tin sẽ phản ánh các tùy chọn được kích hoạt trong cấu hình sshd.

Ví dụ: hãy xem đầu ra của kết nối này với công tắc -v (chữ ký chính, tên miền và địa chỉ IP được ngụy trang cố ý):

OpenSSH_6.0p1, OpenSSL 0.9.8w 23 Apr 2012
debug1: Reading configuration data /home/claudio/.ssh/config
debug1: /home/claudio/.ssh/config line 13: Applying options for serv01
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Connecting to somedomain.com [185.113.29.221] port 22.
debug1: Connection established.
debug1: identity file /home/claudio/.ssh/id_dsa type 2
debug1: identity file /home/claudio/.ssh/id_dsa-cert type -1
debug1: Remote protocol version 2.0, remote software version OpenSSH_5.9
debug1: match: OpenSSH_5.9 pat OpenSSH_5*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_6.0
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client aes128-ctr hmac-md5 none
debug1: kex: client->server aes128-ctr hmac-md5 none
debug1: sending SSH2_MSG_KEX_ECDH_INIT
debug1: expecting SSH2_MSG_KEX_ECDH_REPLY
debug1: Server host key: ECDSA 3a:0d:b8:18:ca:67:4c:54:0f:c8:b2:1e:48:53:69:28
debug1: Host '[somedomain.com]:22' is known and matches the ECDSA host key.
debug1: Found key in /home/claudio/.ssh/known_hosts:7
Warning: Permanently added the ECDSA host key for IP address '[185.113.29.221]:22' to the list of known hosts.
debug1: ssh_ecdsa_verify: signature correct
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: Roaming not allowed by server
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey,password,keyboard-interactive
debug1: Next authentication method: publickey
debug1: Offering DSA public key: /home/claudio/.ssh/id_dsa
debug1: Server accepts key: pkalg ssh-dss blen 433
debug1: Authentication succeeded (publickey).
Authenticated to somedomain.com ([185.113.29.221]:22).
debug1: channel 0: new [client-session]
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.

Từ đó bạn có thể thấy các phương thức xác thực được phép là: khóa công khai, mật khẩu, tương tác bàn phím. Bạn cũng có thể thấy rằng chuyển vùng không được máy chủ này cho phép và người dùng claudio có thể kết nối bằng khóa chung của mình.

Bạn có thể tăng mức độ xuất thông tin chỉ định nhiều chữ "v" hơn, nhưng sau đó bạn có thể nhận được nhiều thông tin cấp thấp hơn bạn có thể muốn.

Cấu hình của sshd thường được tìm thấy trong tệp sau : /etc/ssh/sshd_config.

Để truy vấn cấu hình thời gian chạy, bạn có thể sử dụng chế độ kiểm tra mở rộng sshd -Tcũng cho phép bạn kiểm tra kết quả khớp của máy khách.

Tôi nghĩ không có cách nào để truy vấn cấu hình của một cá thể sshd đang chạy, tôi nghĩ, nếu bạn đang tham khảo máy chủ openssh. tùy thuộc vào những gì bạn muốn làm, bạn có thể sử dụng cờ -t để kiểm tra tệp cấu hình để đảm bảo rằng nó hợp lệ trước khi khởi động lại máy chủ, để bạn không bị đuổi, đặc biệt. nếu bạn không có quyền truy cập ngoài băng vào máy chủ.

Vấn đề với việc xem tệp / etc / ssh / sshd_config như được đề xuất bởi các câu trả lời khác là nó không nhất thiết phải chứa toàn bộ cấu hình. Tệp này chứa các giá trị của bất kỳ biến cấu hình nào bạn muốn đặt để vượt quá mặc định và khi được gửi có chứa các nhận xét mặc định được tích hợp vào sshd.

Nếu một tệp cấu hình tùy chỉnh được cài đặt thay cho phiên bản được gửi, bạn sẽ mất các mặc định được biên dịch thành sshd và nếu đó là bản dựng tùy chỉnh, mặc định có thể không khớp với các nhận xét trong sshd_config có thể nhìn thấy.

Ngoài ra, hoàn toàn có thể chạy sshd với tệp cấu hình thay thế với tùy chọn -f, do đó, tệp được lưu trong / etc / ssh / sshd_config có thể không phản ánh các cài đặt hiện tại.

Điều này làm cho câu hỏi khá hợp lệ, và theo như tôi biết, không thể trả lời được với bất kỳ sự chắc chắn nào.