一、新用户访问
【避免使用 sshd 等与服务内置账户冲突的名称】
一般情况下，为了系统的访问安全，不会直接使用系统管理员账户进行远程访问。
2.1 创建用户
管理员权限，执行 cmd ，执行用户添加指令，创建用户为标准用户，具体如下：
# net user username password /add >net user ggcyuser ggcyadmin@@ /add 命令成功完成。 >net user ggcyuser 用户名 ggcyuser 全名 注释 用户的注释 国家/地区代码 000 (系统默认值) 帐户启用 Yes 帐户到期 从不 上次设置密码 2021/10/5 16:54:17 密码到期 2021/11/16 16:54:17 密码可更改 2021/10/5 16:54:17 需要密码 Yes 用户可以更改密码 Yes 允许的工作站 All 登录脚本 用户配置文件 主目录 上次登录 2021/10/6 2:04:23 可允许的登录小时数 All 本地组成员 *Users 全局组成员 *None 命令成功完成。
2.2 允许新用户ssh访问
以管理员身份编辑%programdata%\ssh\sshd_config，文件尾部添加配置AllowUsers配置，相关资料请查看官方文档：https://github.com/PowerShell/Win32-OpenSSH/wiki/sshd_config以及微软官方文档：https://docs.microsoft.com/zh-cn/windows-server/administration/openssh/openssh_server_configuration，以下配置普通用户ggcyuser能够进行ssh远程访问：
# Example of overriding settings on a per-user basis #Match User anoncvs # AllowTcpForwarding no # PermitTTY no # ForceCommand cvs server AllowUsers ggcyuser
添加完成后，重新启动sshd服务。
2.3 远程测试连接
端口为默认22时，端口参数配置可以忽略，操作如下：
> ssh -p [port] [username]@[ip] Connecting to [ip]:[port]... Connection established. To escape to local shell, press 'Ctrl+Alt+]'. Microsoft Windows [版本 10.0.19043.1165] (c) Microsoft Corporation。保留所有权利。 [username]@[主机名称] C:\Users\[username]>
有的时候远程访问遇到问题时，可以通过查看连接输出日志进行信息排查，输出结果如下：
> ssh -p [port] [username]@[ip] -v OpenSSH_for_Windows_7.7p1, LibreSSL 2.6.5
2.4 使用 ssh key 访问
执行ssh-keygen指令，依据实际需求生成公钥和私钥，加密算法为rsa，同时有加密密钥，此处不设置则为空，虽然这样会不安全，建议生产环境中不要使用空密码，确认路径无误后，无脑下一步。
生成公钥私钥：
>ssh-keygen -t rsa Generating public/private rsa key pair. Enter file in which to save the key (C:\Users\[username]/.ssh/id_rsa): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in C:\Users\[username]/.ssh/id_rsa. Your public key has been saved in C:\Users\[username]/.ssh/id_rsa.pub. The key fingerprint is: SHA256:nr3jdbOpRaSZ2FOgqtOF68YMG5WvEuJEVF+jn7cbUqE [username]@[主机名称] The key's randomart image is: +---[RSA 3072]----+ | .. o . | | . . o o . | | . o.. . o | | . o+ = B | | . .S.E O . | | o ++ =.o + | | o .oB=.o + + | | . oo= .+ = + | | o..o.o.o | +----[SHA256]-----+
文件目录如下，带*.pub为公钥，反之为私钥：
>dir 2021/08/20 18:38 <DIR> . 2021/08/20 18:38 <DIR> .. 2021/08/20 18:38 2,610 id_rsa 2021/08/20 18:38 579 id_rsa.pub 2 File(s) 3,189 bytes 2 Dir(s) 29,674,840,064 bytes free
2.4.1 标准用户和管理用户
对于标准用户和管理用户，两者对应的公钥在sshd所在服务端存储位置不同。
若账户为标准用户，C:\Users\[username]/.ssh/目录下创建一个无后缀文件authorized_keys，用于存放生成的公钥内容；
若账户为管理用户，C:\Users\[username]/.ssh/目录下创建一个无后缀文件administrators_authorized_keys中，
笔者以标准用户为例，私钥本地保留，用于登录远程访问sshd服务使用。
2.4.2 重启sshd服务
使用xshell进行测试，选择方法为Public Key，用户名和远程中生成账户名ggcyuser一致，引入本地对应私钥，配置如下：
测试连接登录
2.4.3 禁用用户名密码登录
修改sshd_config中配置，启动证书认证，重启服务再次测试
#LoginGraceTime 2m #PermitRootLogin prohibit-password #StrictModes yes #MaxAuthTries 6 #MaxSessions 10 # 启用证书认证 PubkeyAuthentication yes # 禁用密码远程登录 PasswordAuthentication no # The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2 # but this is overridden so installations will only check .ssh/authorized_keys AuthorizedKeysFile .ssh/authorized_keys
切换为用户名密码登录，提示用户名用户密码登录，表示登录已经禁用，
提示SSH用户身份验证，反馈如下：
2.4.4 注意事项
远程访问需要，开启防火墙对应的sshd的访问默认端口22，尝试配置是否有效，最好是，一段步骤，一段测试，
二、日志查看
默认情况下，OpenSSH 的日志是输出到系统日志中，可以通过 事件查看器-应用程序和服务日志中查看，对应的日志。
如果需要基于文件的日志记录，设置 sshd_config 文件中 SyslogFacility LOCAL0，日志文件将输入到 %programdata%\ssh\logs 文件目录下。
三、常见问题
配置 ssh key 登录后，无法远程登录
使用 xshell ，提示当前密钥为注册到服务器中 ，实际原因就笔者进行不断尝试和和查看日志可以发现，问题出在公钥服务端保留文件 authorized_keys 对应访问权限问题中，排查方式为开启，sshd 的本地日志输出而不是使用默认日志系统输出，修改 sshd_config 文件中的配置 SyslogFacility LOCAL0，同时为了进一步细化输出内容，将日志的输出等级 LogLevel，调整为 Debug3，日志输出文件在 %programdata%\ssh\logs 目录下。
异常输出如下：
18900 2021-10-06 01:55:28.475 debug3: mm_answer_keyallowed: key_from_blob: 0000026DC6958130 18900 2021-10-06 01:55:28.475 debug1: trying public key file C:\\Users\\ggcyuser\\.ssh/authorized_keys 18900 2021-10-06 01:55:28.476 debug3: Bad permissions. Try removing permissions for user: S-1-5-21-1185597859-3763637221-3021501666-1006 on file C:/Users/ggcyuser/.ssh/authorized_keys. 18900 2021-10-06 01:55:28.476 Authentication refused. 18900 2021-10-06 01:55:28.476 debug3: mm_answer_keyallowed: publickey authentication test: RSA key is not allowed 18900 2021-10-06 01:55:28.476 Failed publickey for ggcyuser from 127.0.0.1 port 49820 ssh2: RSA SHA256:eEUla5p9V1RSHNCTP0dItkf6XRfnnsJObR3saOdkDv0 18900 2021-10-06 01:55:28.476 debug3: mm_request_send entering: type 23
核心问题出在 Bad permissions. Try removing permissions for user，思考之后，考虑是否为文件访问权限问题，于是将多余用户权限进行删除 sshd，删除后，再次使用 xshell 访问，将不再提示上述问题，远程能够访问成功。
正常输出如下：
2300 2021-10-06 01:43:28.775 debug3: mm_answer_keyallowed: key_from_blob: 0000016A572D2450 2300 2021-10-06 01:43:28.775 debug1: trying public key file C:\\Users\\ggcyuser\\.ssh/authorized_keys 2300 2021-10-06 01:43:28.775 debug1: C:\\Users\\ggcyuser\\.ssh/authorized_keys:1: matching key found: RSA SHA256:eEUla5p9V1RSHNCTP0dItkf6XRfnnsJObR3saOdkDv0 2300 2021-10-06 01:43:28.775 debug1: C:\\Users\\ggcyuser\\.ssh/authorized_keys:1: key options: agent-forwarding port-forwarding pty user-rc x11-forwarding 2300 2021-10-06 01:43:28.775 Accepted key RSA SHA256:eEUla5p9V1RSHNCTP0dItkf6XRfnnsJObR3saOdkDv0 found at C:\\Users\\ggcyuser\\.ssh/authorized_keys:1 2300 2021-10-06 01:43:28.775 debug3: mm_answer_keyallowed: publickey authentication test: RSA key is allowed
上述问题，引发笔者思考的是，Windows 中，对于权限的问题，往往不像 Linux 那般明显，需要进一步跟踪程序集，运行时的具体运行输出，可见一个系统中，一个成熟的日志输出，给用户和排查问题带来的好处，能够为迷惑者，指明方向。
四、参考链接
[1] OpenSSH For Windows官方文档：
https://github.com/PowerShell/Win32-OpenSSH/wiki/sshd_config
[2]微软官方文档：
https://docs.microsoft.com/zh-cn/windows-server/administration/openssh/openssh_server_configuration
