当前位置:   article > 正文

OpenSSH之Windows账户访问操作_try removing permissions for user: \\everyone (s-1

try removing permissions for user: \\everyone (s-1-1-0) on file c:/users/264


blog-SSHd-Header

一、新用户访问

【避免使用 sshd 等与服务内置账户冲突的名称】

一般情况下,为了系统的访问安全,不会直接使用系统管理员账户进行远程访问。

2.1 创建用户

管理员权限,执行 cmd ,执行用户添加指令,创建用户为标准用户,具体如下:

# net user username password /add
>net user ggcyuser ggcyadmin@@ /add
命令成功完成。
>net user ggcyuser
用户名                 ggcyuser
全名
注释
用户的注释
国家/地区代码          000 (系统默认值)
帐户启用               Yes
帐户到期               从不

上次设置密码           2021/10/5 16:54:17
密码到期               2021/11/16 16:54:17
密码可更改             2021/10/5 16:54:17
需要密码               Yes
用户可以更改密码       Yes

允许的工作站           All
登录脚本
用户配置文件
主目录
上次登录               2021/10/6 2:04:23

可允许的登录小时数     All

本地组成员             *Users
全局组成员             *None
命令成功完成。
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29

2.2 允许新用户ssh访问

以管理员身份编辑%programdata%\ssh\sshd_config文件尾部添加配置AllowUsers配置,相关资料请查看官方文档:https://github.com/PowerShell/Win32-OpenSSH/wiki/sshd_config以及微软官方文档:https://docs.microsoft.com/zh-cn/windows-server/administration/openssh/openssh_server_configuration,以下配置普通用户ggcyuser能够进行ssh远程访问:

# Example of overriding settings on a per-user basis
#Match User anoncvs
#	AllowTcpForwarding no
#	PermitTTY no
#	ForceCommand cvs server

AllowUsers ggcyuser
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

添加完成后,重新启动sshd服务。

2.3 远程测试连接

端口为默认22时,端口参数配置可以忽略,操作如下:

> ssh -p [port] [username]@[ip]
Connecting to [ip]:[port]...
Connection established.
To escape to local shell, press 'Ctrl+Alt+]'.

Microsoft Windows [版本 10.0.19043.1165]
(c) Microsoft Corporation。保留所有权利。
[username]@[主机名称] C:\Users\[username]>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8

有的时候远程访问遇到问题时,可以通过查看连接输出日志进行信息排查,输出结果如下:

> ssh -p [port] [username]@[ip] -v
OpenSSH_for_Windows_7.7p1, LibreSSL 2.6.5
  • 1
  • 2

2.4 使用 ssh key 访问

执行ssh-keygen指令,依据实际需求生成公钥和私钥,加密算法为rsa,同时有加密密钥,此处不设置则为空,虽然这样会不安全,建议生产环境中不要使用空密码,确认路径无误后,无脑下一步。

生成公钥私钥:

>ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (C:\Users\[username]/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in C:\Users\[username]/.ssh/id_rsa.
Your public key has been saved in C:\Users\[username]/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:nr3jdbOpRaSZ2FOgqtOF68YMG5WvEuJEVF+jn7cbUqE [username]@[主机名称]
The key's randomart image is:
+---[RSA 3072]----+
|     ..   o .    |
|    .  . o o .   |
|   .    o.. . o  |
|    .   o+ = B   |
|   .   .S.E O .  |
|    o ++ =.o +   |
|   o .oB=.o + +  |
|    . oo= .+ = + |
|       o..o.o.o  |
+----[SHA256]-----+
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21

文件目录如下,带*.pub为公钥,反之为私钥:

>dir
2021/08/20  18:38    <DIR>          .
2021/08/20  18:38    <DIR>          ..
2021/08/20  18:38             2,610 id_rsa
2021/08/20  18:38               579 id_rsa.pub
               2 File(s)          3,189 bytes
               2 Dir(s)  29,674,840,064 bytes free
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
2.4.1 标准用户和管理用户

对于标准用户管理用户,两者对应的公钥在sshd所在服务端存储位置不同。

若账户为标准用户C:\Users\[username]/.ssh/目录下创建一个无后缀文件authorized_keys,用于存放生成的公钥内容;

若账户为管理用户C:\Users\[username]/.ssh/目录下创建一个无后缀文件administrators_authorized_keys中,

笔者以标准用户为例,私钥本地保留,用于登录远程访问sshd服务使用。

2.4.2 重启sshd服务

使用xshell进行测试,选择方法为Public Key用户名和远程中生成账户名ggcyuser一致,引入本地对应私钥,配置如下:

ssh-remoteuser

测试连接登录

ssh-testuser

2.4.3 禁用用户名密码登录

修改sshd_config中配置,启动证书认证,重启服务再次测试

#LoginGraceTime 2m
#PermitRootLogin prohibit-password
#StrictModes yes
#MaxAuthTries 6
#MaxSessions 10

# 启用证书认证
PubkeyAuthentication yes
# 禁用密码远程登录
PasswordAuthentication no

# The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2
# but this is overridden so installations will only check .ssh/authorized_keys
AuthorizedKeysFile	.ssh/authorized_keys
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14

切换为用户名密码登录,提示用户名用户密码登录,表示登录已经禁用,

ssh-remotename

提示SSH用户身份验证,反馈如下:

ssh-refuseuser

2.4.4 注意事项

远程访问需要,开启防火墙对应的sshd的访问默认端口22,尝试配置是否有效,最好是,一段步骤,一段测试,

二、日志查看

默认情况下,OpenSSH 的日志是输出到系统日志中,可以通过 事件查看器-应用程序和服务日志中查看,对应的日志。

sshd-logs

如果需要基于文件的日志记录,设置 sshd_config 文件中 SyslogFacility LOCAL0,日志文件将输入到 %programdata%\ssh\logs 文件目录下。

三、常见问题

配置 ssh key 登录后,无法远程登录

使用 xshell提示当前密钥为注册到服务器中 ,实际原因就笔者进行不断尝试和和查看日志可以发现,问题出在公钥服务端保留文件 authorized_keys 对应访问权限问题中,排查方式为开启,sshd 的本地日志输出而不是使用默认日志系统输出,修改 sshd_config 文件中的配置 SyslogFacility LOCAL0,同时为了进一步细化输出内容,将日志的输出等级 LogLevel,调整为 Debug3,日志输出文件在 %programdata%\ssh\logs 目录下。

异常输出如下:

18900 2021-10-06 01:55:28.475 debug3: mm_answer_keyallowed: key_from_blob: 0000026DC6958130
18900 2021-10-06 01:55:28.475 debug1: trying public key file C:\\Users\\ggcyuser\\.ssh/authorized_keys
18900 2021-10-06 01:55:28.476 debug3: Bad permissions. Try removing permissions for user: S-1-5-21-1185597859-3763637221-3021501666-1006 on file C:/Users/ggcyuser/.ssh/authorized_keys.
18900 2021-10-06 01:55:28.476 Authentication refused.
18900 2021-10-06 01:55:28.476 debug3: mm_answer_keyallowed: publickey authentication test: RSA key is not allowed
18900 2021-10-06 01:55:28.476 Failed publickey for ggcyuser from 127.0.0.1 port 49820 ssh2: RSA SHA256:eEUla5p9V1RSHNCTP0dItkf6XRfnnsJObR3saOdkDv0
18900 2021-10-06 01:55:28.476 debug3: mm_request_send entering: type 23
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

核心问题出在 Bad permissions. Try removing permissions for user,思考之后,考虑是否为文件访问权限问题,于是将多余用户权限进行删除 sshd,删除后,再次使用 xshell 访问,将不再提示上述问题,远程能够访问成功。

正常输出如下:

2300 2021-10-06 01:43:28.775 debug3: mm_answer_keyallowed: key_from_blob: 0000016A572D2450
2300 2021-10-06 01:43:28.775 debug1: trying public key file C:\\Users\\ggcyuser\\.ssh/authorized_keys
2300 2021-10-06 01:43:28.775 debug1: C:\\Users\\ggcyuser\\.ssh/authorized_keys:1: matching key found: RSA SHA256:eEUla5p9V1RSHNCTP0dItkf6XRfnnsJObR3saOdkDv0
2300 2021-10-06 01:43:28.775 debug1: C:\\Users\\ggcyuser\\.ssh/authorized_keys:1: key options: agent-forwarding port-forwarding pty user-rc x11-forwarding
2300 2021-10-06 01:43:28.775 Accepted key RSA SHA256:eEUla5p9V1RSHNCTP0dItkf6XRfnnsJObR3saOdkDv0 found at C:\\Users\\ggcyuser\\.ssh/authorized_keys:1
2300 2021-10-06 01:43:28.775 debug3: mm_answer_keyallowed: publickey authentication test: RSA key is allowed
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

上述问题,引发笔者思考的是,Windows 中,对于权限的问题,往往不像 Linux 那般明显,需要进一步跟踪程序集,运行时的具体运行输出,可见一个系统中,一个成熟的日志输出,给用户和排查问题带来的好处,能够为迷惑者,指明方向。

四、参考链接

[1] OpenSSH For Windows官方文档:

https://github.com/PowerShell/Win32-OpenSSH/wiki/sshd_config

[2]微软官方文档:

https://docs.microsoft.com/zh-cn/windows-server/administration/openssh/openssh_server_configuration

声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/Gausst松鼠会/article/detail/194458
推荐阅读
相关标签
  

闽ICP备14008679号