幕雪

windows开启ssh服务：从安装、配置到远程连接的全方位指南

是什么：理解Windows上的SSH服务

SSH（Secure Shell）是一种网络协议，它允许两台计算机之间通过不安全的网络进行安全的数据交换。当我们在Windows操作系统上开启SSH服务，意味着这台Windows机器可以作为SSH服务器，允许其他客户端（无论是Windows、Linux、macOS还是其他支持SSH的设备）通过加密的方式远程连接到它，执行命令、传输文件等操作。

这与SSH客户端不同，SSH客户端（如Windows自带的`ssh.exe`或PuTTY）是用于连接到远程SSH服务器的工具，而SSH服务（OpenSSH Server）则是让你的Windows机器本身成为被连接的对象。

为什么：Windows开启SSH服务的核心价值

在Windows上开启SSH服务，为用户带来了多方面的便利和安全性提升，尤其对于系统管理员、开发者和需要远程协作的用户而言，其价值不言而喻：

  • 远程命令行管理： 无需图形界面，通过命令行即可远程管理Windows服务器或工作站，执行PowerShell脚本、修改配置、安装软件等。这大大提高了远程管理的效率和灵活性。
  • 安全文件传输（SFTP）： SSH协议内置了安全文件传输协议（SFTP），允许用户以加密的方式在本地和远程Windows机器之间上传或下载文件。相比传统的FTP，SFTP提供了更高级别的安全性，防止数据在传输过程中被窃取或篡改。
  • 端口转发与隧道： SSH支持创建安全隧道，将本地端口的流量转发到远程机器的某个端口，或反向转发。这对于访问内网服务、绕过防火墙限制或保护敏感流量非常有用。
  • 自动化与脚本： 开发者和系统管理员可以利用SSH在脚本中集成远程命令执行，实现自动化部署、持续集成/持续交付（CI/CD）流程中的远程操作，提高工作效率。
  • 跨平台兼容性： SSH是业界标准，支持所有主流操作系统。在Windows上开启SSH服务后，无论是Linux服务器、macOS工作站还是其他Windows客户端，都能无缝地进行安全连接。

哪里：在Windows上找到并配置SSH服务

OpenSSH Server作为Windows的一项可选功能，通常可以在以下位置进行安装和配置：

  1. Windows 设置应用程序： 对于Windows 10和Windows Server 2019及更高版本，这是最直观的安装入口。
  2. PowerShell 命令行界面： 适用于自动化部署或偏好命令行的用户。
  3. 服务管理控制台（services.msc）： 用于启动、停止或管理OpenSSH SSH Server服务。
  4. Windows Defender 防火墙： 需要配置入站规则以允许SSH连接。
  5. OpenSSH Server 配置文件（`sshd_config`）： 位于`%ProgramData%\ssh\`路径下，是SSH服务器行为的核心配置。
  6. 用户主目录下的`.ssh`文件夹： 用于存放用户授权密钥（`authorized_keys`）等敏感认证文件。

多少：关于SSH服务的一些具体参数和考量

在开启和配置Windows上的SSH服务时，有几个“多少”的问题需要考虑：

  • 多少种安装方式？ 主要有两种：通过图形界面的“可选功能”安装，或通过PowerShell命令行安装。
  • 多少个关键配置文件？ 最主要的是`sshd_config`，其次是每个用户主目录下的`.ssh\authorized_keys`。
  • 多少个端口？ 默认端口是22，但出于安全考虑，建议将其更改为其他非常用端口。
  • 多少种认证方式？ 主要有两种：密码认证和密钥认证。强烈推荐使用密钥认证。
  • 多少权限设置？ 对于`authorized_keys`文件和其所在的`.ssh`文件夹，权限设置至关重要，不正确的权限会导致密钥认证失败。
  • 多少种Windows版本支持？ Windows 10（1803版及以上）和Windows Server 2019及更高版本原生支持OpenSSH Server。

如何：逐步安装和配置Windows上的SSH服务

步骤一：安装OpenSSH Server

在Windows上安装OpenSSH Server有两种主要方式：通过图形界面或PowerShell。

方法一：通过Windows设置（图形界面）

  1. 点击“开始”按钮，选择“设置”（齿轮图标）。
  2. 进入“应用” -> “可选功能”。
  3. 点击“添加功能”按钮。
  4. 在列表中找到“OpenSSH 服务器”，勾选后点击“安装”。

安装完成后，系统通常会自动启动OpenSSH SSH Server服务。

方法二：通过PowerShell（管理员权限）

以管理员身份打开PowerShell。

  1. 检查OpenSSH Server是否可用：

    Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH.Server~~~~0.0.1.0'

    如果State显示`NotPresent`，则表示未安装。

  2. 安装OpenSSH Server：

    Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

  3. 验证安装：

    Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH.Server~~~~0.0.1.0'

    确保State显示为`Installed`。

步骤二：启动并配置OpenSSH SSH Server服务

安装完成后，需要确保服务正在运行，并设置为自动启动。

1. 启动服务

在管理员PowerShell中执行：

Start-Service sshd

或者，通过“服务”管理控制台（`services.msc`）：找到“OpenSSH SSH Server”服务，右键选择“启动”。

2. 设置服务为自动启动

在管理员PowerShell中执行：

Set-Service -Name sshd -StartupType Automatic

或者，在“服务”管理控制台中，双击“OpenSSH SSH Server”服务，将“启动类型”更改为“自动”，然后点击“应用”和“确定”。

步骤三：配置Windows防火墙规则

Windows防火墙默认会阻止所有未经允许的入站连接。你需要为SSH服务添加入站规则。

方法一：通过PowerShell自动添加（推荐）

在管理员PowerShell中执行：

New-NetFirewallRule -Name "OpenSSH-Server-Inbound-TCP-Port-22" -DisplayName "OpenSSH Server (Port 22)" -Enabled True -Direction Inbound -Protocol TCP -LocalPort 22 -Action Allow

此命令会创建一个允许TCP端口22入站连接的防火墙规则。如果稍后更改了SSH服务的端口，需要相应地修改或添加新规则。

方法二：通过Windows Defender 防火墙控制面板

  1. 打开“控制面板” -> “Windows Defender 防火墙” -> “高级设置”。
  2. 在左侧面板中选择“入站规则”。
  3. 在右侧面板中选择“新建规则…”。
  4. 选择“端口”，点击“下一步”。
  5. 选择“TCP”，在“特定本地端口”中输入`22`（或其他你希望SSH监听的端口），点击“下一步”。
  6. 选择“允许连接”，点击“下一步”。
  7. 勾选所有配置文件（域、专用、公用），点击“下一步”。
  8. 输入规则名称（例如：`OpenSSH Server 入站`），点击“完成”。

步骤四：配置`sshd_config`文件（可选但推荐）

OpenSSH Server的配置文件位于`%ProgramData%\ssh\sshd_config`。使用记事本或任何文本编辑器（建议使用Notepad++等支持Unix换行符的编辑器）以管理员权限打开此文件进行修改。

主要配置项：

  • 修改监听端口：

    找到`#Port 22`这一行，取消注释并更改端口号（例如`Port 2222`）。

    Port 2222

    更改后，请务必更新防火墙规则以匹配新的端口。

  • 启用/禁用密码认证：

    默认情况下，密码认证是启用的。为了更高的安全性，建议在设置密钥认证后禁用密码认证。

    PasswordAuthentication yes  # 启用密码认证
    #PasswordAuthentication no # 禁用密码认证（设置密钥认证后推荐）

  • 启用密钥认证：

    确保以下行已取消注释：

    PubkeyAuthentication yes

  • 配置授权密钥文件路径：

    通常保持默认即可，它指向连接用户的个人`.ssh\authorized_keys`文件。

    AuthorizedKeysFile  .ssh/authorized_keys

  • 限制用户/组访问（可选）：

    你可以限制哪些用户或组可以连接SSH：

    AllowUsers user1 user2
    AllowGroups group1 group2
    DenyUsers user3
    DenyGroups group3

    Windows用户名和组名要正确。

  • 启用SFTP子系统：

    默认已启用，确保以下行未被注释：

    Subsystem sftp internal-sftp

每次修改`sshd_config`文件后，都必须重启OpenSSH SSH Server服务才能使更改生效。

Restart-Service sshd

步骤五：设置密钥认证（强烈推荐）

密钥认证比密码认证更安全，也更方便自动化。

1. 在客户端机器生成SSH密钥对

在你的Linux、macOS或另一个Windows客户端机器上（如果尚未生成），打开终端或PowerShell，执行：

ssh-keygen -t rsa -b 4096

按照提示操作，通常会生成`id_rsa`（私钥）和`id_rsa.pub`（公钥）两个文件，默认保存在用户主目录下的`.ssh`文件夹中。

2. 将公钥复制到Windows服务器

将客户端生成的`id_rsa.pub`文件内容复制到Windows服务器的特定位置。

重要： 在Windows服务器上，你需要以你希望通过SSH连接的用户身份登录。

  1. 在目标Windows用户的个人目录（例如`C:\Users\YourUserName`）下创建一个名为`.ssh`的文件夹（如果不存在）。

    mkdir C:\Users\YourUserName\.ssh

  2. 在该`.ssh`文件夹内创建一个名为`authorized_keys`的文件。

    New-Item -Path C:\Users\YourUserName\.ssh\authorized_keys -ItemType File

  3. 将客户端机器上`id_rsa.pub`文件的全部内容（通常是`ssh-rsa AAAA…`开头的一长串字符串）粘贴到Windows服务器上新创建的`authorized_keys`文件中。

    确保文件中每行只有一个公钥，且没有多余的空行或字符。

3. 设置`authorized_keys`文件的权限

这是密钥认证最容易出错的地方。`authorized_keys`文件和其所在的`.ssh`文件夹必须具有严格的权限设置，否则SSH服务会拒绝使用它。

在管理员PowerShell中执行以下命令（请将`YourUserName`替换为实际的Windows用户名）：

$Path = "C:\Users\YourUserName\.ssh\authorized_keys"

# 移除继承权限
icacls $Path /inheritance:d

# 移除其他所有用户组的访问权限
icacls $Path /remove "Authenticated Users"
icacls $Path /remove "Users"
icacls $Path /remove "SYSTEM"

# 赋予当前用户完全控制权限
icacls $Path /grant:r "YourUserName`:(F)"

# 确认权限设置 (可选，但推荐检查)
Get-Acl $Path | Format-List AccessToString

对于`.ssh`文件夹，也需要类似的严格权限。最好只允许`YourUserName`和`SYSTEM`拥有权限，并移除其他所有权限。

$FolderPath = "C:\Users\YourUserName\.ssh"

# 移除继承权限
icacls $FolderPath /inheritance:d

# 移除其他所有用户组的访问权限
icacls $FolderPath /remove "Authenticated Users"
icacls $FolderPath /remove "Users"

# 赋予当前用户完全控制权限
icacls $FolderPath /grant:r "YourUserName`:(OI)(CI)(F)"

# 赋予SYSTEM完全控制权限
icacls $FolderPath /grant:r "SYSTEM`:(OI)(CI)(F)"

# 确认权限设置 (可选，但推荐检查)
Get-Acl $FolderPath | Format-List AccessToString

权限设置完成后，重启`sshd`服务。

Restart-Service sshd

怎么：远程连接与常见问题排查

远程连接到Windows SSH服务器

假设你的Windows SSH服务器IP地址是`192.168.1.100`，SSH端口是`2222`，连接用户名为`YourUserName`。

1. 从另一个Windows机器连接

打开PowerShell或命令提示符：

ssh [email protected] -p 2222

如果使用密钥认证，并且私钥不在默认位置，可能需要指定私钥路径：

ssh -i C:\Users\ClientUser\.ssh\id_rsa [email protected] -p 2222

2. 从Linux/macOS机器连接

打开终端：

ssh [email protected] -p 2222

如果私钥不在默认位置，可能需要指定私钥路径：

ssh -i ~/.ssh/id_rsa [email protected] -p 2222

3. 使用PuTTY客户端连接（Windows）

  1. 打开PuTTY。
  2. 在“Host Name (or IP address)”中输入`192.168.1.100`。
  3. 在“Port”中输入`2222`。
  4. 如果使用密码认证，直接点击“Open”并输入用户名和密码。
  5. 如果使用密钥认证，导航到“Connection” -> “SSH” -> “Auth”，点击“Browse”选择你的私钥文件（`.ppk`格式，需要用PuTTYgen转换）。
  6. 点击“Open”连接。

4. 使用WinSCP/FileZilla进行SFTP连接

这些客户端支持SFTP，用于安全文件传输。选择SFTP协议，输入服务器IP、端口、用户名，以及密码或私钥文件进行连接。

常见问题及排查

开启SSH服务后，可能会遇到一些连接问题。以下是一些常见的故障及排查方法：

问题一：连接被拒绝（Connection refused）

可能原因：

  1. OpenSSH SSH Server服务未运行：
  2. Windows防火墙阻止连接：
  3. SSH端口被其他程序占用或配置错误：

排查方法：

  • 检查服务状态：

    Get-Service sshd

    如果状态不是`Running`，尝试启动服务：`Start-Service sshd`。

  • 检查防火墙规则：

    确保你为SSH端口（默认22或自定义端口）添加了正确的入站规则。可以使用`Get-NetFirewallRule -DisplayName “OpenSSH Server*”`来查看相关规则。

  • 检查`sshd_config`中的端口设置：

    确保`Port`行没有被注释，并且端口号是你期望的值。

  • 网络连通性：

    从客户端ping服务器IP地址，确保网络可达。

问题二：权限被拒绝（Permission denied）

可能原因：

  1. 用户名或密码不正确：
  2. 密钥文件权限不正确： 这是密钥认证中最常见的问题。
  3. `authorized_keys`文件路径或内容错误：
  4. `sshd_config`中的`PasswordAuthentication`或`PubkeyAuthentication`设置不正确：
  5. Windows用户账户问题： 确保用户账户没有被禁用或锁定。

排查方法：

  • 仔细核对用户名和密码：

    确保你使用的Windows用户名是正确的。对于管理员账户，有时候在SSH连接时需要使用其完整账户名或别名。

  • 检查`authorized_keys`文件内容：

    确保公钥是完整的，没有额外的空格或换行符。

  • 检查`authorized_keys`和`.ssh`文件夹的权限：

    这是关键！确保只有连接用户和SYSTEM用户对这些文件和文件夹拥有读写权限，其他用户（包括`Administrators`组）不应拥有访问权限。请严格按照“如何：设置密钥认证”中的`icacls`命令进行设置。

  • 检查`sshd_config`：

    如果使用密码认证，确保`PasswordAuthentication yes`。如果使用密钥认证，确保`PubkeyAuthentication yes`。

  • 查看Windows事件日志：

    打开“事件查看器”（`eventvwr.msc`），导航到“应用程序和服务日志” -> “OpenSSH” -> “Operational”。SSH服务器会在日志中记录详细的连接尝试和认证失败信息，这对于诊断问题非常有帮助。

问题三：SFTP无法工作

可能原因：

  1. `sshd_config`中SFTP子系统未启用：
  2. 文件或文件夹权限问题：

排查方法：

  • 检查`sshd_config`：

    确保`Subsystem sftp internal-sftp`行没有被注释。

  • 检查用户对目标目录的权限：

    确保SSH连接用户对他们尝试访问的Windows目录拥有正确的读写权限。

安全最佳实践

为了确保Windows SSH服务的安全性，请考虑以下最佳实践：

  • 使用密钥认证： 一旦设置并测试成功，请在`sshd_config`中禁用密码认证（`PasswordAuthentication no`）。
  • 更改默认SSH端口： 将SSH服务从默认的22端口更改为不常用的端口，这可以减少自动化扫描和攻击。
  • 限制用户访问： 使用`AllowUsers`和`AllowGroups`指令限制只有特定用户或组才能通过SSH连接。
  • 禁用Root/Administrator登录： 对于Windows，这意味着限制`Administrator`账户直接通过SSH登录。通常，建议以普通用户身份登录，然后通过`sudo`或`runas`提升权限。
  • 保持系统和OpenSSH更新： 定期更新Windows操作系统和OpenSSH组件，以修补已知的安全漏洞。
  • 强密码策略： 如果必须启用密码认证，请确保所有SSH用户都使用强而复杂的密码。
  • 监控日志： 定期检查OpenSSH的事件日志，发现异常登录尝试或其他可疑活动。

通过遵循这些详细的步骤和建议，你可以在Windows上成功开启和管理SSH服务，为远程管理和安全操作提供一个坚实的基础。

windows开启ssh服务