标签: sshd

我需要让一组用户通过 ssh 通过服务器（'bastion'）跳转到另一台机器（'dest'）以提交代码。

好像我的选择是：

1. 告诉用户ProxyCommand在他们的 .ssh/config 文件中使用，例如：

   Host dest
ProxyCommand ssh -q bastion nc -q0 dest 22

2. 使用ForceCommand在sshd的配置文件，如

   Match Group hopUsers
ForceCommand ssh dest $SSH_ORIGINAL_COMMAND

3. 使用用户文件中的command选项.ssh/authorized_keys，例如

   command="ssh dest"

第一个解决方案很棒，它适用于 mercual 提交等。 -- 问题是我不想在bastion机器上给我的用户一个有效的 shell 。我可以将他们的登录 shell 设置为 /bin/false，但这会导致一系列问题无人看管（请参阅此处）——除非可能与sshd配置文件中的一组专用选项（如 noX11Forwarding）相结合，在一个Match节中。

第二个和第三个解决方案的问题是公钥认证“丢失”，即除非客户端-A在启动 ssh 时使用该选项，否则服务器将响应：

debug1: Authentications that can continue: publickey,password
debug1: Next authentication method: publickey
debug1: Offering public key: .ssh/XXXXXX
debug1: Server accepts key: …

有没有一种简单的方法来阻止对我的 sshd 运行暴力登录攻击的 IP？也许只是增加登录提示出现的时间。

我知道fail2ban，但当我尝试它时，它确实挂起了。它还需要 semdmail，我不想在桌面上安装它。当有事情发生时，我不想通过互联网发送电子邮件。如果fail2ban 可以使用桌面通知（D-Bus），那就太好了。但我想知道为什么我必须为这样的事情单独安装一些东西？为什么 sshd 不能这样做？（同一IP多次登录失败时，会增加等待时间。）

有了以下sshd_conf文件，如何启用服务器活动日志记录？sshd 日志的默认位置是什么？

#   $OpenBSD: sshd_config,v 1.98 2016/02/17 05:29:04 djm Exp $

# This is the sshd server system-wide configuration file.  See
# sshd_config(5) for more information.

# This sshd was compiled with PATH=/usr/local/sbin:/usr/sbin:/sbin:/usr/local/bin:/usr/bin:/bin

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented.  Uncommented options override the
# default value.

#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

# …

我正在尝试设置从 Linux Mint 19.1 主机到 Windows 10 主机的无密码、无密码 ssh。Windows 10 主机上有 OpenSSH_for_Windows_7.7p1。这是微软的 OpenSSH 端口。

我可以为管理员帐户进行此设置，但非特权帐户不适用于我。管理员帐户的操作方式有所不同。

我尝试了很多不同的方法，但这是我认为应该有效的方法，以及它的问题所在：

我使用 mkdir 和 echo > 创建一个 /Users/Alden Stromberg/.ssh/authorized_keys 文件（或 mkdir 和 cygwin vi - 相同的结果）。

然后我使用 OpenSSHUtils尝试设置正确的权限：

PS C:\Users\Alden Stromberg\.ssh> Import-Module 'C:\Program Files\WindowsPowerShell\Modules\OpenSSHUtils\0.0.2.0\OpenSSHUtils.psd1'

PS C:\Users\Alden Stromberg\.ssh> Repair-AuthorizedKeyPermission .\authorized_keys                                                   
  [*] .\authorized_keys 

'NT AUTHORITY\SYSTEM' has the following access to '.\authorized_keys': 'Deny'-'ExecuteFile'.
Shall I make it Allow FullControl?
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default …

我正准备将我的服务器暴露在互联网上，并希望尽可能保证安全。我通过隐秘措施（例如更改默认端口 22）采取了安全措施，我确保 root 登录已禁用，并且我正在查看谁可以登录。最后一部分让我有点担心：

我了解任何指向 /bin/false 或 /usr/sbin/nologin 的登录都将被拒绝或立即退出。所以我知道不用担心这些。但是，运行命令时：
cat /etc/passwd | grep -v /bin/false | grep -v /usr/sbin/nologin

我得到以下输出：

root:x:0:0:root:/root:/bin/bash  
sync:x:4:65534:sync:/bin:/bin/sync
will:x:1000:1000:will,,,:/home/will:/bin/bash  

我一直在尝试查找同步的用途或它的工作原理，但无济于事。我认为可能没有从远程登录到用户“同步”的入口点，但是......这是什么？我是否需要采取任何措施来确保它不存在安全风险以及它的用途是什么？