Openssh安全配置 V

1、Linux系統(tǒng)應(yīng)用安全Openssh北京三零盛安信息系統(tǒng)有限公司文檔控制項(xiàng)目方案（文檔名稱(chēng)）提交方北京三零盛安信息系統(tǒng)有限公司提交日期2008/07/09版本信息日期版本撰寫(xiě)者審核者描述2008/07/091.0魏鄖峰所有權(quán)聲明文檔里的資料版權(quán)歸北京三零盛安信息系統(tǒng)有限公司（以下簡(jiǎn)稱(chēng)“三零盛安”）所有。未經(jīng)三零盛安事先書(shū)面允許，不得復(fù)制或散發(fā)任何部分的內(nèi)容。任何團(tuán)體或個(gè)人未經(jīng)批準(zhǔn)，擅自觀看方案將被認(rèn)為獲取了三零盛安的私有信息而遭受法律的制裁。目 錄一、目的4二、軟件安裝41.1.版本信息41.2.刪除舊版本41.3.編譯及安裝41.4.修改配置51.5.增加系統(tǒng)服務(wù)5三、FAQ6啟動(dòng)sshd

2、服務(wù)的時(shí)候提示錯(cuò)誤Unsupported option UsePAM？6一、 目的通過(guò)應(yīng)用軟件升級(jí)、打補(bǔ)丁，和采用安全配置，增強(qiáng)應(yīng)用系統(tǒng)自身已保護(hù)功能，使?jié)撛诘陌踩┒此赡軐?duì)服務(wù)器造成的影響盡可能地減少。本安全配置配置針對(duì)Openssh 5.0及后續(xù)版本有效。二、 軟件安裝1.1. 版本信息Openssh版本：openssh-5.0p1openssh-5.0p1要求：Zlib的版本在.2以上，OpenSSL版本在0.9.6以上下面是Zlib和 OpenSSL的官方地址:http1.2. 刪除舊版本刪除rpm方式安裝的舊版本# uninstall openssh rpmrpm -e netdu

3、mp-2.i386rpm -e opens注，如果是使用軟件包直接安裝可以直接覆蓋。1.3. 編譯及安裝Zlib編譯安裝cd zlib-./configuremakemake installOpenssh編譯安裝cd openssh-5.0p1./configure -prefix=/usr -with-pammakemake install默認(rèn)的 ssh將安裝在 /usr/local/bin下，sshd裝在/usr/local/sbin，sftp-server裝在 /usr/local/libexec/sftp-server，配置文件在/usr/locale/etc下。指定prefix參數(shù)，

4、則安裝路徑為/usr/bin和/usr/sbin。1.4. 修改配置1、對(duì)比安裝默認(rèn)和當(dāng)前配置文件，個(gè)別重要參數(shù)請(qǐng)務(wù)必修改diff sshd_config /etc/ssh.bak/sshd_config2、配置文件推薦設(shè)置確認(rèn)/usr/local/libexec/sftp-server路徑是否正確3、檢查配置文件的正確性grep -v # /etc/ssh/sshd_config | awk 'print $1' | sort | uniq -d4、檢查是否有重復(fù)的行和參數(shù)是否正確/usr/local/sbin/sshd -t 1.5. 增加系統(tǒng)服務(wù)先備份原來(lái)的腳本cp /e

5、tc/init.d/sshd /etc/init.d/sshd.bak主要是修改ssh-keygen和sshd的路徑。PID文件也作相應(yīng)修改，避免跟之前的sshd有沖突，這樣就能夠在保證原有sshd不受影響的情況下配置新的sshd服務(wù)。添加service服務(wù)：/sbin/chkconfig -add sshd三、 FAQ啟動(dòng)sshd 服務(wù)的時(shí)候提示錯(cuò)誤Unsupported option UsePAM？默認(rèn)的configure沒(méi)有啟用-with-pam選項(xiàng)，如果在sshd_config配置文件里加入U(xiǎn)sePAM no 就會(huì)導(dǎo)致上面的錯(cuò)誤提示。UsePAM與ssh密碼認(rèn)證相關(guān)，但公司服務(wù)器禁止通過(guò)密碼認(rèn)證方式登錄。所以編譯的時(shí)候不建議使用-with-pam選項(xiàng)，配置文件里不使用UsePA