Ainm
sshd - Daemon OpenSSH SSH
Achoimre
sshd [- deiqtD46 ] [- b bits ] [- f config_file ] [- g login_grace_time ] [- h host_key_file ] [- k key_gen_time ] [- o option ] [- p port ] [- len ]
Cur síos
Is é sshd (SSH Daemon) an clár daemon do ssh (1). Le chéile tá na cláir seo in ionad rlogin agus rsh , agus cumarsáidí criptithe slán a sholáthar idir dhá áitritheoir neamhthuigthe thar líonra neamhchinnte. Tá sé beartaithe go mbeidh na cláir chomh furasta a shuiteáil agus a úsáid agus is féidir.
Is é sshd an daemon a éisteann le haghaidh naisc ó chliaint. De ghnáth, tosaíonn sé ag tosaithe ó / etc / rc Cuireann sé le deamhan nua i ngach nasc isteach. Déileálann na daonnaigh forked eochair-mhalartú, criptiú, fíordheimhniú, forghníomhú orduithe, agus malartú sonraí. Tacaíonn feidhmiú sshd le prótacal SSH leagan 1 agus 2 araon ag an am céanna.
Prótacal SSH Leagan 1
Tá eochair RSA óstach-shonrach (1024 giotán de ghnáth) a úsáidtear chun an óstach a shainaithint ag gach óstach. Ina theannta sin, nuair a thosaíonn an daemon, gineann sé eochair RSA freastalaí (de ghnáth 768 giotán). De ghnáth athghiniúinttear an eochair seo gach uair an chloig má úsáidtear é, agus ní stóráiltear é ar dhiosca riamh.
Aon uair a cheanglaíonn cliant leis an daemon freagraíonn sé leis an óstach poiblí agus leis na heochracha freastalaí. Déanann an cliant an t-eochair óstach RSA i gcomparáid lena bhunachar sonraí féin chun a fhíorú nach bhfuil athrú air. Ansin gineann an cliant uimhir randamach 256-giotán. Criptíonn sé an uimhir randamach seo ag baint úsáide as an eochair óstach agus eochair an fhreastalaí agus cuireann sé an uimhir criptithe chuig an bhfreastalaí. Ansin, úsáideann an dá thaobh seo an uimhir randamach seo mar eochair seisiún a úsáidtear chun gach cumarsáid eile a chriptiú sa seisiún. Criptítear an chuid eile den seisiún ag baint úsáide as sraitheanna traidisiúnta, Blowfish nó 3DES faoi láthair, agus 3DES á n-úsáid de réir réamhshocraithe. Roghnaíonn an cliant an algartam criptithe le húsáid as iad siúd a thairgeann an freastalaí.
Ansin, cuirfidh an freastalaí agus an cliant dialóg fíordheimhnithe isteach. Déanann an cliant iarracht a fhíordheimhniú féin a fhíordheimhniú trí fhíordheimhniú na ndaoine, fíordheimhniú na huaire a chomhcheangal le fíordheimhniú óstach RSA, fíordheimhniú freagartha dúshlánach RSA, nó fíordheimhniú ar fhocal faire .
De ghnáth ní dhéantar fíordheimhniú a dhéanamh ar an gcnaipeadh toisc go bhfuil sé bunúsach neamhchinnte, ach is féidir é a chumasú i gcomhad cumraíochta an fhreastalaí más gá. Ní fheabhsaítear slándáil an chórais mura bhfuil rshind rlogind agus rexecd faoi mhíchumas (rud a fhágann go hiomlán an rlogin agus an rsh a dhíchumasú isteach sa mheaisín).
Prótacal SSH Leagan 2
Oibríonn Leagan 2 mar an gcéanna: Tá eochair óstach ar leith ag gach óstach (RSA nó DSA) a úsáidtear chun an t-óstach a aithint. Mar sin féin, nuair a thosaíonn an daemon, ní ghineann sé eochair freastalaí. Cuirtear slándáil ar aghaidh ar fáil trí chomhaontú eochair Diffie-Hellman. Tosaíonn an príomhchomhaontú seo i eochair seisiúin roinnte.
Criptítear an chuid eile den seisiún trí shiflí siméadrach a úsáid, 128 giotán AES, Blowfish, 3DES, CAST128, Arcfour, 192 giotán AES, nó 256 giotán AES faoi láthair. Roghnaíonn an cliant an algartam criptithe le húsáid as iad siúd a thairgeann an freastalaí. Ina theannta sin, soláthraítear ionracas seisiúin trí chód fíordheimhnithe teachtaireachta cripteagrafach (hmac-sha1 nó hmac-md5).
Soláthraíonn leagan 2 de phrótacal modh fíordheimhnithe eochair-phoiblí (PubkeyAuthentication) nó óstach cliant (HostbasedAuthentication), fíordheimhniú focal faire traidisiúnta, agus modhanna bunaithe dúshlán-fhreagairt.
Forghníomhú Ordaithe agus Sonraí Ar Aghaidh
Má dhéantar an cliant a fhíordheimhniú go rathúil, cuirtear dialóg chun an seisiún a ullmhú. Ag an am seo is féidir leis an gcliant rudaí a iarraidh cosúil le pseudo-tty a dháileadh, ceangail X11 a sheoladh, ag seoladh naisc TCP / IP, nó an nasc gníomhaire fíordheimhnithe a sheoladh ar aghaidh ar an gcainéal slán.
Ar deireadh, iarrann an cliant blaosc nó forghníomhú ordú. Ansin cuir isteach an modh seisiún ansin. Sa mhodh seo, féadfaidh an dá thaobh sonraí a sheoladh tráth ar bith, agus cuirtear sonraí den sórt sin ar aghaidh chuig / as an bhlaosc nó an t-ordú ar an taobh freastalaí, agus an críochfort úsáideora ar an taobh cliant.
Nuair a chríochnaíonn an clár úsáideora agus gach ceann ar aghaidh X11 agus naisc eile dúnta, cuireann an freastalaí stádas fágtha ar an gceannas ar an gcliant agus scoir an dá thaobh.
Is féidir sshd a chumrú ag baint úsáide as roghanna líne ordú nó comhad cumraíochta. Déanann roghanna líne ordú luachanna a shonraítear sa chomhad cumraíochta a shárú.
athscríobh sshd a chomhad cumraíochta nuair a fhaigheann sé comhartha crochta , SIGHUP tríd an ainm a thosú féin a thosú, mar shampla, / usr / sbin / sshd
Seo a leanas na roghanna:
-b giotán
Sonraítear líon na giotán sa eochair freastalaí an phrótacail eiseamláir leagan 1 (réamhshocraithe 768).
-d
Modh dífhabhtaithe. Cuireann an freastalaí aschur dífhabhtaithe ar logáil isteach an chórais agus ní chuireann sé féin sa chúlra. Ní oibreoidh an freastalaí freisin agus ní phróiseálfaidh sé ach nasc amháin. Níl an rogha seo ach le haghaidh dífhabhrúcháin don fhreastalaí. Méadóidh roghanna Il-an leibhéal dífhabhtaithe. Is é uasmhéid 3.
-e
Nuair a bheidh an rogha seo sonraithe, seolfaidh sshd an t-aschur chuig an earráid chaighdeánach in áit logáil an chórais.
-f configuration_file
Ainmnítear ainm an chomhaid cumraíochta. Is é / etc / ssh / sshd_config an sshd réamhshocraithe a dhiúltóidh tosú mura bhfuil comhad cumraíochta ann.
-g login_grace_time
Tugann sé an t-am cairde do chliaint iad féin a fhíordheimhniú (120 soicind réamhshocraithe). Má theipeann ar an gcliant an t-úsáideoir a fhíordheimhniú laistigh de go leor soicind seo, dícheanglaíonn an freastalaí agus cuireann sé amach. Léiríonn luach náid aon teorainn.
-h host_key_file
Sonraíonn comhad as a léitear eochair óstach. Ní mór an rogha seo a thabhairt mura reáchtáiltear sshd mar fhréamh (de ghnáth nach féidir le duine ar bith a bheith inléite ag gnáthchomhaid na n-eochairfhocail ach mar fhréamh). Is é an réamhshocrú / etc / ssh / ssh_host_key le haghaidh prótacal leagan 1, agus / etc / ssh / ssh_host_rsa_key agus / etc / ssh / ssh_host_dsa_key le haghaidh leagan prótacail 2. Is féidir go mbeadh comhaid eochair óstach iolrach do na leaganacha éagsúla prótacail agus eochair óstach halgartaim.
-i
Sonraigh go bhfuil an sshd á reáchtáil ó inetd. De ghnáth ní reáchtáiltear sshd ó inetd toisc go gcaithfidh sé eochair an fhreastalaí a ghiniúint sular féidir leis an gcliant a fhreagairt, agus féadfaidh sé deich soicind a thógáil. Bheadh ag cliaint fanacht ró-fhada dá ndéanfaí athghiniúint ar an eochair gach uair. Mar sin féin, d'fhéadfadh sé gur féidir le méideanna tábhachtacha beaga (m.sh., 512) ag baint úsáide as sshd ó inetd.
-k key_gen_time
Sonraigh cé chomh minic is a athghinítear eochair freastalaí an phrótacail leagan 1 den chéad uair (réamhshocraithe 3600 soicind, nó uair an chloig amháin). Is é an spreagadh chun an eochair a athghiniúint go minic ná nach stóráiltear an eochair in áit ar bith, agus tar éis thart ar uair an chloig, bíonn sé dodhéanta an t-eochair a ghnóthú le haghaidh cumarsáide idirghabhála a dhíchriptiú fiú má tá an meaisín scáinte nó glactha go fisiciúil. Léiríonn luach nialas nach ndéanfar an eochair a athghiniúint riamh.
-o rogha
Is féidir é a úsáid chun roghanna a thabhairt sa bhformáid a úsáidtear sa chomhad cumraíochta. Tá sé seo úsáideach le haghaidh roghanna a shonrú nach bhfuil aon bhratach ar leith ar líne ordú.
-p port
Sonraíonn an calafort ar a n-éistíonn an freastalaí as naisc (réamhshocraithe 22). Ceadaítear roghanna éagsúla calafoirt. Déantar neamhaird ar na calafoirt atá sonraithe sa chomhad cumraíochta nuair a shonraítear calafort líne ceannais.
-q
Modh ciúin. Ní dhéanfar aon ní chuig logáil an chórais. De ghnáth logáiltear tús, fíordheimhniú, agus foirceannadh gach nasc.
-t
Modh tástála. Seiceáil ach bailíocht an chomhaid cumraíochta agus na sláine na heochracha. Tá sé seo úsáideach chun sshd a thabhairt cothrom le dáta go hiontaofa de réir mar a d'fhéadfadh na roghanna cumraíochta a athrú.
-u len
Úsáidtear an rogha seo chun méid an réimse a shonrú sa struchtúr utmp a shealbhaíonn an t-ainm óstach iargúlta. Má dhéantar an t-ainm óstach réitithe níos faide ná an luach deachúil dhotáilte a úsáid ina ionad sin. Ligeann sé seo d'óstach le hainmneacha an-fhada a thugann maolú ar an bpáirc seo a aithint go háitiúil. Ag sonrú - léiríonn u0 nár cheart ach seoltaí deachúil poncacha a chur isteach sa chomhad utmp. - Úsáidtear u0 freisin chun sshd a chosc ó iarratais DNS a dhéanamh mura rud é go n- éilíonn an meicníocht nó an chumraíocht fíordheimhnithe é. I measc na meicníochtaí fíordheimhnithe a d'fhéadfadh a bheith ag DNS áirítear RhostsAuthentication RhostsRSAAuthentication HostbasedAuthentication agus ag baint úsáide as an rogha as = patrún-liosta i eochairchomhad. I measc na roghanna cumraíochta a dteastaíonn DNS tá patrún USER @ HOST á baint acu i Liúntaisí nó Diúltaithe
-D
Nuair a bheidh an rogha seo sonraithe ní dhéanfar sshd a dhíscaoileadh agus ní bheidh sé ina dheamhan. Ligeann sé seo monatóireacht éasca ar sshd
-4
Fórsaí sshd chun seoltaí IPv4 a úsáid amháin.
-6
Fórsaí sshd chun seoltaí IPv6 a úsáid amháin.
Comhad Cumraíochta
léann sshd sonraí cumraíochta ó / etc / ssh / sshd_config (nó an comhad a shonraítear le - f ar an líne ordaithe). Déantar cur síos ar fhormáid na gcomhad agus ar na roghanna cumraíochta i sshd_config5.
Próiseas Logála
Nuair a logáiltear úsáideoir go rathúil, déanann sshd an méid seo a leanas:
- Má tá an logáil isteach ar tty, agus nach bhfuil aon ordú sonraithe, priontáil an t-am logáil isteach deireanach agus / etc / motd (mura gcuirtear cosc sa chomhad cumraíochta nó ag $ HOME / .hushlogin féach an rannóg FÍSÍ Sx).
- Má tá an logáil isteach ar tty, taifeadtar am logáil isteach.
- Seiceálacha / srl / maolóige má tá ann, priontáil ábhar agus cuireann sé (má fhréamh).
- Athruithe a reáchtáil le gnáthphribhléidí úsáideora.
- Socraigh timpeallacht bhunúsach.
- $ HOME / .ssh / environment má tá sé ann agus is féidir le húsáideoirí a dtimpeallacht a athrú. Féach an rogha PermitUserEnvironment i sshd_config5.
- Athruithe ar eolaire baile an úsáideora.
- Má tá $ HOME / .ssh / rc ann, ritheann sé; eile má tá / etc / ssh / sshrc ann, ritheann sé; ar shlí eile ritheann xauth. Tugtar an prótacal fíordheimhnithe X11 agus na fianáin sa `` rc '' in ionchur caighdeánach.
- Ritheann bhlaosc nó ordú úsáideora.
Formáid Comhad Authorized_Keys
$ HOME / .ssh / authorized_keys Is é an comhad réamhshocraithe a liostaítear na heochracha poiblí a cheadaítear le haghaidh fíordheimhnithe RSA i bprótacal leagan 1 agus le haghaidh fíordheimhnithe eochair phoiblí (PubkeyAuthentication) i leagan prótacail 2. Féadfar ÚdarúDeacháin a úsáid chun comhad eile a shonrú.
Tá eochair amháin ag gach líne den chomhad (déantar línte folamh agus línte ag tosú le `# 'a neamhaird mar thuairimí). Tá na réimsí seo a leanas i ngach eochair phoiblí RSA, scartha le spásanna: roghanna, giotán, exponent, modulus, comment. Is éard atá i ngach prótacal leagan 2 eochair phoiblí ná: roghanna, keytype, base64 eochair ionchódaithe, trácht a dhéanamh. Tá réimse na roghanna roghnach; Déantar a láithreacht a chinneadh an dtosaíonn an líne le roinnt nó nach bhfuil (ní thosaíonn réimse na roghanna le líon). Tugann na réimsí giotán, exponent, modulus agus comment an eochair RSA le haghaidh leagan prótacal 1; ní úsáidtear an réimse tráchta le haghaidh aon ní (ach d'fhéadfadh sé go mbeadh sé áisiúil don úsáideoir an eochair a aithint). Le haghaidh prótacal leagan 2 is é an `keyshé '` ssh-dss' 'nó `` ssh-rsa' '
Tabhair faoi deara go bhfuil na línte sa chomhad seo de ghnáth céad céad bytes fada (mar gheall ar mhéid an ionchódú eochair phoiblí). Ní mian leat iad a chlóscríobh; ina ionad sin, cóip an identity.pub id_dsa.pub nó an comhad id_rsa.pub agus é a eagrú.
Déanann ssh feidhmiú ar mhodúl eochair íosta modhnú RSA do phrótacal 1 agus eochracha prótacail 2 de 768 giotán.
Tá na roghanna (más ann dóibh) comhdhéanta de shaincheisteanna roghnaithe comaithe. Ní cheadaítear spásanna ar bith, ach amháin laistigh de Sleachta dúbailte. Tugtar tacaíocht do na sonraíochtaí roghnaithe seo a leanas (tabhair faoi deara go bhfuil na heochairfhocail roghnaithe i gcásanna neamhoiriúnach):
ó = patrún-liosta
Sonraíonn sé go bhfuil ainm chónúil an óstach iargúlta i láthair na huaire fíordheimhnithe poiblí, a bheith i láthair sa liosta phatagrafaithe de phhatrúin (`* 'agus`?' Mar sheansóga). D'fhéadfadh go mbeadh patrúin a dhiúltaíodh tríd an liosta chomh maith le `! ' ; má thagann an t-ainm óstach canónach le patrún diúltaithe, ní ghlactar leis an eochair. Is é cuspóir na rogha seo ná slándáil a mhéadú go optionally: ní fhíordheimhníonn eochairfhocail phoiblí iontu féin an líonra nó na freastalaithe ainmneacha nó aon rud (ach an eochair); áfach, má cheadaíonn duine éigin an t-eochair ar bhealach, tugann an eochair iontróir iontráil isteach ó áit ar bith ar domhan. Déanann an rogha bhreise seo úsáid a bhaint as eochair atá goidte níos deacra (níor cheart go gcuirfeadh freastalaithe ainmneacha agus / nó ródairí isteach sa bhreis ar an eochair).
ordú = ordú
Sonraíonn go ndéantar an t-ordú a fhorghníomhú nuair a úsáidtear an eochair seo le haghaidh fíordheimhnithe. Déantar neamhaird ar an gceannas a sholáthraíonn an t-úsáideoir (más ann). Ritheann an t-ordú ar pty má iarrann an cliant pty; ar shlí eile tá sé á reáchtáil gan tty. Má tá cainéal glan 8-giotán ag teastáil, níor chóir go n-iarrfaí pty nó níor cheart go n -ainmnítear aon-pty. Féadfar cuóta A a chur san ordú trí fhocail a dhréachtú. D'fhéadfadh sé go mbeadh an rogha seo úsáideach eochracha poiblí áirithe a shrianadh chun oibríocht shonrach a dhéanamh. D'fhéadfadh go mbeadh sampla ina eochair a cheadaíonn cúltacaí iargúlta ach níl aon rud eile ann. Tabhair faoi deara gur féidir leis an gcliant sonrú TCP / IP agus / nó X11 a shonrú mura gcuirfear toirmeasc ar leith orthu. Tabhair faoi deara go mbaineann an rogha seo le feidhmiú sliogáin, ordaithe nó fochórais.
timpeallacht = NAME = luach
Sonraíonn sé go gcuirfear an teaghrán leis an gcomhshaol nuair a logáil isteach í ag baint úsáide as an eochair seo. Rinne athróga comhshaoil a leagtar ar an mbealach seo a shárú luachanna timpeallachta réamhshocraithe eile. Ceadaítear roghanna éagsúla den chineál seo. Tá próiseáil comhshaoil faoi mhíchumas agus déantar é a rialú trí rogha PermitUserEnvironment . Tá an rogha seo faoi mhíchumas go huathoibríoch má tá UseLogin cumasaithe.
neamh-port-ar aghaidh
Forchuireann TCP / IP ar aghaidh nuair a úsáidtear an eochair seo le haghaidh fíordheimhnithe. Tabharfaidh earráid ar ais d'aon iarratais ar chalafoirt ar aghaidh ag an gcliant. D'fhéadfaí é seo a úsáid, m.sh., i dtaca leis an rogha ordú .
neamh-X11-ar aghaidh
Cosc ar X11 ar aghaidh nuair a úsáidtear an eochair seo le haghaidh fíordheimhnithe. Cuirfidh earráid ar ais ar aon X11 iar-iarratais ag an gcliant.
neamh-ghníomhaire-ar aghaidh
Cuireann sé bac ar ghníomhaire fíordheimhnithe ar aghaidh nuair a úsáidtear an eochair seo le haghaidh fíordheimhnithe.
aon-pty
Cosc a chur ar leithdháileadh tty (beidh teip ar pty a leithdháileadh).
ceadopen = óstach: port
Teorainn a chur ar aghaidh sa bhaile `` ssh -L '' go bhféadfadh sé ach ceangal leis an óstach agus an calafort sonraithe. Is féidir seoltaí IPv6 a shonrú le comhréire malartach: óstáil / calafort Féadfar córais éagsúla ceadopen a chur i bhfeidhm ar scartha le comaí. Ní dhéantar aon meaitseáil patrún ar na hainmneacha ainmnithe, ní mór dóibh a bheith ina bhfearann nó seoltaí litriúla.
Samplaí
1024 33 12121 ... 312314325 ylo@foo.bar
ó = "*. niksula.hut.fi,! pc.niksula.hut.fi" 1024 35 23 ... 2334 ylo @ niksula
ordú = "dumpáil / baile", aon-pty, neamh-port-ar aghaidh 1024 33 23 ... 2323 backup.hut.fi
permitopen = "10.2.1.55:80", permitopen = "10.2.1.56:25" 1024 33 23 ... 2323
Formáid Comhad Ssh_Known_Hosts
Tá na heochracha poiblí óstach ag na hóstach ar fad ar na comhaid / etc / ssh / ssh_known_hosts agus $ HOME / .ssh / know_hosts. Ba chóir don riarthóir an comhad domhanda a ullmhú (roghnach), agus coimeádtar an comhad in aghaidh an úsáideora go huathoibríoch: nuair a cheanglaíonn an t-úsáideoir ó óstach anaithnid, cuirtear a eochair leis an gcomhad úsáideora.
Tá na réimsí seo a leanas i ngach líne sna comhaid seo: óstainmneacha, giotán, exponent, modulus, comment. Tá spásanna scartha sna réimsí.
Is liosta de phhatrúin cogaighscartha iad na hóstainmneacha (gníomhú mar "wildcards"); déantar gach patrún, ar a seal, a mheaitseáil in aghaidh an t-ainm óstach canónach (nuair a fhíordheimhníonn cliant) nó i gcoinne an t-ainm a thugtar don úsáideoir (nuair a fhíordheimhníonn sé freastalaí). D'fhéadfadh `! 'Roimh ré a bheith ag patrún freisin le negáid a léiriú: má thagann an t-ainm óstach le patrún neamhbheartaithe, ní ghlactar leis (leis an líne sin) fiú má mheaitseáil sé patrún eile ar an líne.
Glacfar bits, exponent, agus modulus go díreach ó eochair óstach an RSA; is féidir iad a fháil, m.sh., ó /etc/ssh/ssh_host_key.pub Leanann an réimse tráchta roghnach ag deireadh na líne, agus ní úsáidtear é.
Tugtar neamhaird ar línte ag tosú le `# 'agus línte folamh mar bharúlacha.
Nuair a dhéantar fíordheimhniú óstach, glactar leis an fhíordheimhniú má tá an eochair chuí ag an líne meaitseála. Dá bhrí sin, tá sé indéanta (ach ní mholtar) línte éagsúla nó eochracha óstacha éagsúla a bheith acu do na hainmneacha céanna. Is dócha go dtarlóidh sé seo nuair a chuirtear foirmeacha gearra ainmneacha óstacha ó réimsí éagsúla sa chomhad. Is féidir go bhfuil faisnéis choimhlintí ag na comhaid; Glactar le fíordheimhniú más féidir faisnéis bhailí a fháil ó cheachtar comhad.
Tabhair faoi deara go bhfuil na línte sna comhaid seo de ghnáth na céadta carachtair ar fad, agus ní cinnte go dteastaíonn uait na heochracha óstach a chlóscríobh de láimh. Ina ionad sin, giniúint iad trí script nó trí ghlacadh /etc/ssh/ssh_host_key.pub agus cuir na hainmneacha óstach ag an os comhair.
Samplaí
closenet, ..., 130.233.208.41 1024 37 159 ... 93 closenet.hut.fi cvs.openbsd.org, 199.185.137.3 ssh-rsa AAAA1234 ..... =Féach freisin
scp (1), sftp (1), ssh (1), ssh-add1, ssh-agent1, ssh-keygen1, login.conf5, moduli (5), sshd_config5, sftp-server8
T. Ylonen T. Kivinen M. Saarinen T. Rinne S. Lehtinen "Ailtireacht Phrótacal SSH" dréacht-ietf-secsh-architecture-12.txt Eanáir 2002 ábhar oibre ar siúl
M. Friedl N. Provos WA Simpson "Malartú Grúpa Diffie-Hellman don Phrótacal Sraith Iompair SSH" dréacht-ietf-secsh-dh-group-exchange-02.txt Eanáir 2002 ábhar ar siúl ar siúl
Tábhachtach: Bain úsáid as an ordú fear ( % man ) chun a fheiceáil conas a úsáidtear ordú ar do ríomhaire ar leith.