sshd: Der OpenSSH-Server konfigurieren und absichern

sshd ist der SSH-Server-Daemon von OpenSSH. Er nimmt eingehende SSH-Verbindungen auf Port 22 entgegen, authentifiziert den Benutzer (Passwort oder SSH-Key) und startet danach eine geschützte Sitzung. Die gesamte Konfiguration liest der Daemon aus /etc/ssh/sshd_config — Zeile für Zeile als Paar aus Schlüsselwort und Argument.

Grundlegende Direktiven

Port 22
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
MaxAuthTries 3
  • Port — Port, auf dem der Daemon lauscht (Standard 22)
  • PermitRootLogin no — verbietet den direkten Root-Login
  • PasswordAuthentication no — erzwingt Schlüssel-Login, sobald der ssh-copy-id-Test bestanden ist
  • PubkeyAuthentication yes — schaltet die Public-Key-Authentifizierung ein
  • AuthorizedKeysFile — Datei mit den erlaubten öffentlichen Schlüsseln
  • MaxAuthTries — begrenzt Fehlversuche gegen Brute-Force-Angriffe

Zugriff einschränken

Mit AllowUsers benutzer erlaubt der Daemon nur bestimmte Konten. Ein Match-Block wendet Regeln nur auf ausgewählte Benutzer oder Quell-IPs an, etwa Match Address 10.0.0.0/8. Die Direktive ListenAddress bindet den Dienst an eine bestimmte Netzwerkschnittstelle statt an alle.

Betrieb

Nach Änderungen prüft sshd -t die Konfiguration auf Fehler, bevor der Dienst neu gestartet wird: systemctl restart ssh (Debian/Ubuntu) bzw. systemctl restart sshd (RHEL/Fedora). Fehlversuche und Logins stehen in /var/log/auth.log (Debian) oder per journalctl -u ssh. Beim Verbindungsaufbau verhält sich der Daemon wie ein Torwächter: Er prüft, wer Zugang bekommt, und protokolliert jeden Versuch.

Verwandte Grundlagen: SSH, ssh-config, ssh-Bastion und Teleport.