Настройка OpenSSH для Windows с использованием аутентификации с открытым ключом

Ниже приведены шаги по настройке OpenSSH, поставляемого с Windows 10 v.1803 (обновление за апрель 2018 г. См. Комментарии к этому сообщению, он может не работать с 1809).

Настройка сервера (PowerShell с повышенными привилегиями):

1. Установите сервер OpenSSH: Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0.

2. Запустите агент и службы sshd: Start-Service ssh-agent; Start-Service sshd (это автоматически сгенерирует ключи хоста и конфигурацию по умолчанию в $env:ProgramData\ssh).

3. [Необязательно] Установите модуль PowerShell OpenSSHUtils: Install-Module -Force OpenSSHUtils

Настройка клиента (PowerShell без повышенных прав):

1. Сгенерируйте ключ пользователя: cd $env:USERPROFILE\.ssh; ssh-keygen.exe, следуйте инструкциям, согласитесь с предложенным по умолчанию расположением файла. Это создаст 2 файла: id_rsa и id_rsa.pub;

2. [Необязательно] добавьте ключ к агенту аутентификации, чтобы вам не приходилось вводить пароль каждый раз, когда вы его используете: ssh-add .\id_rsa (или любой другой файл);

Продолжение настройки сервера (PowerShell без повышенных прав):

1. Авторизуйтесь как пользователь, для которого будет использоваться авторизация открытого ключа
2. cd $env:USERPROFILE; mkdir .ssh; cd .ssh; New-Item authorized_keys;
3. Вставьте содержимое файла id_rsa.pub из клиента в файл .ssh\authorized_keys из предыдущего шага.
4. Setup permissions properly (important!!!):
   1. Run start . to open explorer with the current folder ($env:USERPROFILE\.ssh);
   2. Щелкните правой кнопкой мыши authorized_keys, перейдите к Properties -> Security -> Advanced
   3. Нажмите «Отключить наследование»;
   4. При появлении запроса выберите «Преобразовать унаследованные разрешения в явные разрешения для этого объекта»;
   5. (действительно, очень важно) Удалите все разрешения для файла, кроме SYSTEM и себя. В файле должно быть ровно две записи о разрешениях. Некоторые руководства предлагают запустить Repair-AuthorizedKeyPermission $env:USERPROFILE\.ssh\authorized_keys - это попытается добавить пользователя sshd в список разрешений, и это нарушит аутентификацию, поэтому не делайте этого или, по крайней мере, не соглашайтесь на добавление sshd пользователь). И SYSTEM, и вы должны иметь полный контроль над файлом.
5. Если ваша сборка Windows - 1809 или более поздняя, ​​необходимо закомментировать следующие строки в C:\ProgramData\ssh\sshd_config файле. Затем перезапустите службу sshd.

   # Match Group administrators                                                    
   #       AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys  
   

Клиент:

1. Запустите ssh <serverusername>@<serverhostname>. На этом этапе он должен работать.

Пробовал это с Windows 10 в качестве сервера и как с самим собой, так и с Debian Linux в качестве клиента.

Используйте эту последовательность команд в PowerShell, чтобы исправить разрешение administrators_authorized_keys

$acl = Get-Acl C:\ProgramData\ssh\administrators_authorized_keys
$acl.SetAccessRuleProtection($true, $false)
$administratorsRule = New-Object system.security.accesscontrol.filesystemaccessrule("Administrators","FullControl","Allow")
$systemRule = New-Object system.security.accesscontrol.filesystemaccessrule("SYSTEM","FullControl","Allow")
$acl.SetAccessRule($administratorsRule)
$acl.SetAccessRule($systemRule)
$acl | Set-Acl

Только группа «СИСТЕМА» и «Администраторы» должна иметь права доступа к файлу без наследования.

Еще один совет, если вы застряли, - запустить sshd в режиме отладки. Я сделал это:

1. Остановите службу sshd
2. Откройте консоль PowerShell с правами администратора
3. Введите sshd -d.
4. Введите логин с моего клиентского компьютера.

Оказывается, ключ должен быть, например, в C: \ ProgramData \ ssh \ administrators_authorized_keys вместо C: \ Users \ yourUsser.ssh \ authorized_keys.

Я решил проблему ...

Это связано с учетной записью, запустившей службу - она ​​использовала учетную запись Local System - это не давало ей доступа к открытому ключу и файлу authorized_keys.

Как только я остановил службу и запустил ее как пользователь, к которому я пытался подключиться, все заработало!

Итак, в основном вам нужно начать с учетной записи службы, а затем внешние пользователи подключаются как этот пользователь.

Если вы используете версию OpenSSH от mls-software.com, вот еще одно примечание.

Если вы устанавливаете с использованием учетной записи SSHD_SERVER и разделения привилегий, вы сможете использовать аутентификацию с открытым ключом (согласно http://www.mls-software.com/opensshd-pki.html). Однако, если UAC включен, установка не удастся. Пользователь (ы) не будут созданы должным образом, и служба не будет создана. Пытаться вручную поднять эти предметы постфактум очень сложно. Простое отключение UAC перед установкой позволит процессу установки правильно создать пользователя (ей) и службу. После установки вы можете снова включить UAC.

Когда я создал учетную запись SSHD_SERVER, аутентификация вручную прошла успешно при использовании аутентификации по паролю, но клиент разорвал соединение с помощью «/ bin / bash: Operation not allowed». Аутентификация с открытыми ключами была закрыта сервером (исходная ошибка была отправлена ​​Камболи).

Это просто моя написанная мной версия отличного ответа @ n0rds.

Поместите этот скрипт в каталог с вашим личным / открытым ключом / парой и запустите!

PowerShell.exe -ExecutionPolicy Bypass -File "C:\bypass\prompt\standard.ps1" 2>&1>$null

Add-WindowsCapability -Online -Name OpenSSH.Server
New-NetFirewallRule -Name sshd -DisplayName 'OpenSSH SSH Server' -Enabled True -Direction Inbound -Protocol TCP -Action Allow -LocalPort 22 -Program "%WINDIR%\System32\OpenSSH\sshd.exe"

#Must Enable ssh-agent before starting
Set-Service -Name ssh-agent -StartupType Automatic
Set-Service -Name sshd -StartupType Automatic
Start-Service ssh-agent; Start-Service sshd

$sshdir="$env:USERPROFILE\.ssh"
mkdir $sshdir
copy .\id_rsa $sshdir\
cat  $sshdir\id_rsa
copy .\*.pub  $sshdir\authorized_keys
cat $sshdir\authorized_keys
ssh-add $sshdir\id_rsa

$sshd_config="C:\ProgramData\ssh\sshd_config" 
(Get-Content $sshd_config) -replace '#PubkeyAuthentication', 'PubkeyAuthentication' | Out-File -encoding ASCII $sshd_config
(Get-Content $sshd_config) -replace 'AuthorizedKeysFile __PROGRAMDATA__', '#AuthorizedKeysFile __PROGRAMDATA__' | Out-File -encoding ASCII $sshd_config
(Get-Content $sshd_config) -replace 'Match Group administrators', '#Match Group administrators' | Out-File -encoding ASCII $sshd_config
cat C:\ProgramData\ssh\sshd_config

Restart-Service ssh-agent; Restart-Service sshd

Write-Host "Use this to Login/test Now"
write-host ssh $env:UserName@localhost

Я решил это:

1. Установка в режиме разделения привилегий SSHD_SERVER +. Я также вручную установил разделение привилегий на «да». У меня это не работало долгое время, пользователь не создавался. Потом это сработало, не знаю почему. Я только зашел в учетные записи пользователей в панели управления, чтобы проверить, что UAC выключен. Еще у меня был / var / empty с полным доступом для всех.
2. Для C: \ openssh \ var \ empty я установил разрешения "получение / установка атрибутов" для всех и для себя и "полные" разрешения для. \ Sshd_server. Я тоже сделал его владельцем.

Я тщательно протестировал решение n0rd на нескольких компьютерах с Windows Pro 1809 и 2004. Я согласен с большинством его шагов.

Настройка сервера (PowerShell с повышенными привилегиями): согласны со всеми.

Настройка клиента (PowerShell без повышенных прав): согласны со всеми.

Продолжение настройки сервера (PowerShell без повышенных прав): шаги 1,2,3: согласен

Продолжение установки сервера (PowerShell без повышенных привилегий): Шаг 4: НЕ выполняйте никаких действий на шаге 4.

Продолжение настройки сервера (PowerShell без повышенных прав): Шаг 5: Согласитесь

Продолжение настройки сервера (PowerShell без повышенных прав): Шаг 6: (добавлено) Раскомментируйте (удалите #) из C: \ ProgramData \ ssh \ sshd_config: #PasswordAuthentication yes

Продолжение настройки сервера (PowerShell без повышенных прав): Шаг 7: (добавлено) В службах перезапустите SSH-сервер OpenSSH.

Я не обнаружил никаких проблем ни с одним файлом, касающимся безопасности, разрешений или Unicode. Все они были правильными из коробки.

Это стандартное использование Microsoft, ориентированное на английский язык. Строки группового совпадения в настоящее время проверяют строку версии АНГЛИЙСКОГО языка группы администраторов, называемой «администраторы», это НЕ ИСПОЛЬЗУЕТСЯ при установке Windows на многих других языках. В немецкой установке эта строка должна быть «administratoren». Вместо этого они позволяют сопоставить группу по SID. (Это еще более важно в функции сопоставления DenyGroups - еще не тестировал это - но если они проверяют там строки вместо SID, тогда отказы бессмысленны и легко обойдутся с помощью установки на другом языке Windows)

(также см. https://github.com/MicrosoftDocs/windowsserverdocs/issues/1911#issuecomment-771552030)