# $OpenBSD: sshd_config,v 1.80 2008/07/02 02:24:18 djm Exp $
# This is the sshd server system-wide configuration file. See
# sshd_config(5) for more information.
# This sshd was compiled with PATH=/usr/local/bin:/bin:/usr/bin
# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented. Uncommented options change a
# default value.
#Port 22 ssh预设端口
#AddressFamily any 地址簇 ipv4 ipv6 还是所有
#ListenAddress 0.0.0.0 监听地址
#ListenAddress ::
# Disable legacy (protocol version 1) support in the server for new
# installations. In future the default will change to require explicit
# activation of protocol 1
Protocol 2 ssh协议版本
# HostKey for protocol version 1
#HostKey /etc/ssh/ssh_host_key ssh version 1使用的私钥
# HostKeys for protocol version 2
#HostKey /etc/ssh/ssh_host_rsa_key ssh version 2使用的RSA私钥
#HostKey /etc/ssh/ssh_host_dsa_key ssh version 2使用的DSA私钥
# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h version1的私钥更新周期
#ServerKeyBits 1024 version1的私钥的长度
# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH 通过AUTH发送日志
SyslogFacility AUTHPRIV 通过AUTHPRIV发送日志
#LogLevel INFO 日志级别
# Authentication:
#LoginGraceTime 2m 登录连接时长
#PermitRootLogin yes 允许管理员身份登录
#StrictModes yes 登录之前检查用户家目录和rhost文件的权限和所有权
#MaxAuthTries 6 认证次数
#MaxSessions 10 最大连接数
#RSAAuthentication yes 只允许RSA认证
#PubkeyAuthentication yes 公钥认证
#AuthorizedKeysFile .ssh/authorized_keys 存放远程复制来得公钥文件
#AuthorizedKeysCommand none 是否允许authorized_keys中的command项
#AuthorizedKeysCommandRunAs nobody 限制能够在authorized_keys中的使用command项的用户
# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#RhostsRSAAuthentication no 是否开启基于rhosts的主机RSA算法认证，秘钥存放于 /etc/ssh/ssh_kown_hosts
# similar for protocol version 2
#HostbasedAuthentication no 是否开启基于主机的秘钥认证
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
#IgnoreUserKnownHosts no 是否忽略主机用户识别， 前提是/.ssh/knows_hosts是否可信
# Don't read the user's ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes 不查询用户主目录下的 /.rhosts /.shosts文件
# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes 使用口令方式认证
#PermitEmptyPasswords no 使用空口令登录
PasswordAuthentication yes
# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
ChallengeResponseAuthentication no 不开启质疑-应答认证
# Kerberos options 要使用Kerberos认证，服务器需要一个可以校验 KDC identity 的 Kerberos servtab
#KerberosAuthentication no 是否允许使用基于 Kerberos的用户认证。默认值为”no”。仅用于SSH-2
#KerberosOrLocalPasswd yes 如果 Kerberos 密码认证失败，那么该密码还将要通过其它的认证机制(比如 /etc/passwd)。默认值为”yes”。
#KerberosTicketCleanup yes 是否在用户退出登录后自动销毁用户的 ticket 。默认值是”yes”
#KerberosGetAFSToken no 如果使用了 AFS 并且该用户有一个 Kerberos 5 TGT，那么开启该指令后，将会在访问用户的家目录前尝试获取一个 AFS token 。默认为”no”
#KerberosUseKuserok yes
# GSSAPI options
#GSSAPIAuthentication no 是否允许使用基于 GSSAPI 的用户认证。默认值为”no”。仅用于SSH-2
GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes 是否在用户退出登录后自动销毁用户凭证缓存。默认值是”yes”
GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes 是否对接收到的用户凭证严格校验
#GSSAPIKeyExchange no 是否开启密钥交换
# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
#UsePAM no
UsePAM yes 启用pam认证
# Accept locale-related environment variables 接受本地相关的环境变量类型
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
#AllowAgentForwarding yes
#AllowTcpForwarding yes 允许TCP转发
#GatewayPorts no 转发路径端口
#X11Forwarding no 是否开启X11转发
X11Forwarding yes
#X11DisplayOffset 10 设置转发的可显示区数字为10
#X11UseLocalhost yes 是否将X11的转发服务器地址保存到loopback地址
#PrintMotd yes 设置登录后是否显示/etc/motd文件中的信息
#PrintLastLog yes 设置登录后是否显示上一次登录时间
#TCPKeepAlive yes keepalive检测
#UseLogin no 是否在交互式登录时启用login
#UsePrivilegeSeparation yes 是否让 sshd（8）通过创建非特权子进程处理接入请求的方法来进行权限分离 默认值是”yes
#PermitUserEnvironment no 指定是否允许 sshd(8) 处理 ~/.ssh/environment 以及~/.ssh/authorized_keys 中的 environment= 选项。默认值是”no”。
#Compression delayed 是否对通信数据进行加密，还是延迟到认证成功之后再对通信数据加密 可用值：”yes” “delayed”（默认） “no”
#ClientAliveInterval 0 设置空闲登录的最大时长
#ClientAliveCountMax 3 在没收到任何数据的时候，最多向3个客户端进行keepalive检测
#ShowPatchLevel no 显示补丁级别
#UseDNS yes 开启域名解析
#PidFile /var/run/sshd.pid 存放守护进程的默认文件
#MaxStartups 10 最大可以保持多少个未认证的连接
#PermitTunnel no 允许tun设备转发
#ChrootDirectory none 是否允许切换目录
# no default banner path
#Banner none 不设置欢迎词
# override default of no subsystems
Subsystem sftp /usr/libexec/openssh/sftp-server 是否开启sftp服务
#Host *.local 限制主机名
# CheckHostIP no 限制主机IP
# Example of overriding settings on a per-user basis
#Match User anoncvs 限制只允许某个用户登录
# X11Forwarding no 开启X11转发
# AllowTcpForwarding no 允许TCP转发
# ForceCommand cvs server 限制命令sshd_config配置注释