ИМЯ

ssh_config — файлы конфигурации клиента протокола SSH из пакета OpenSSH

ОБЗОР

~/.ssh/config /etc/ssh/ssh_config

ОПИСАНИЕ

Параметры работы ssh(1) определяются из следующих источников (в порядке уменьшения приоритета):

1. опции командной строки
2. файл конфигурации пользователя (~/.ssh/config)
3. общесистемный файл конфигурации (/etc/ssh/ssh_config)

Файл состоит из разделов, определяющих одинаковый набор параметров для разных множеств хостов (последние задаются шаблонами в директивах “Host ).” Если множества пересекаются, то для их общего подмножества используются параметры раздела встреченного при разборе первым (ближе к началу файла).

Таким образом, если множество хостов, для которых раздел определяет параметры, является подмножеством другого, то для того чтобы первый раздел имел силу, следует указывать его перед вторым. Имя хоста, которое проверяется на соответствие шаблонам, задаётся в командной строке.

Формат файла конфигурации:

Пустые и строки начинающиеся с ‘#’ считаются комментариями. Директивы имеют формат “параметр аргументы”. Аргументы отделяются от имени параметра пробелом или знаком ‘=’ (с необязательными пробелами); последнее полезно при указании директив через опцию -o командной строки ssh, scp и sftp, т.к. при использовании пробела понадобилось заключать директиву в кавычки (").

Возможные параметры и их описание (регистр аргументов учитывается, регистр имён параметров - нет):

Host

Ограничивает множество хостов, к которым применяются последующие (до ближайшей новой директивы Host) директивы, по указанным шаблонам (хост должен соответствовать хотя бы одному шаблону). Шаблон состоящий из одного символа ‘*’ соответствует любому хосту. Под хостом в данном контексте понимается аргумент имя-хоста передаваемый в командной строке (т.е. никаких преобразований перед сравнением не выполняется).

О шаблонах см. раздел ШАБЛОНЫ.

AddressFamily

Семейство адресов которое должен использовать клиент. Допустимые значения: “any”, “inet” (только IPv4) и “inet6” (только IPv6).

BatchMode

При значении “yes”, запрос паролей отключается. Полезно при использовании программы их сценариев, выполняемых без вмешательства человека. Значение по умолчанию: “no”.

BindAddress

Какой из адресов локальной системы (если их несколько) использовать в качестве исходного для соединений. Параметр не учитывается если значение UsePrivilegedPort равно “yes”.

ChallengeResponseAuthentication

Определяет, разрешается ли безпарольная идентификация "вызов-ответ". Поддерживаются все схемы идентификации login.conf(5) Значение по умолчанию: “yes”.

CheckHostIP

При значении “yes”, ssh(1) будет выполнять проверку наличия IP-адресов в файле known_hosts. Это позволяет обнаруживать подмену ключа хоста посредством вмешательства в работу с DNS. При значении “no”, проверка не выполняется. Значение по умолчанию: “yes”.

Cipher

Шифр для защиты сеансов по протоколу версии 1. Поддерживаются “blowfish”, “3des”, и “des”. Алгоритм des поддерживается в клиенте ssh(1) только для совместимости со старыми серверами не поддерживающими 3des. Рекомендуется воздержаться от использования первого из-за его слабой стойкости. Значение по умолчанию: “3des”.

Ciphers

Допустимые для протокола версии 2 шифры. Несколько шифров указываются через запятую. Поддерживаются следующие шифры: “3des-cbc”, “aes128-cbc”, “aes192-cbc”, “aes256-cbc”, “aes128-ctr”, “aes192-ctr”, “aes256-ctr”, “arcfour128”, “arcfour256”, “arcfour”, “blowfish-cbc” и “cast128-cbc”. Значение по умолчанию:

aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour128,
arcfour256,arcfour,aes192-cbc,aes256-cbc,aes128-ctr,
aes192-ctr,aes256-ctr

ClearAllForwardings

Отключить все локальные удалённые и динамические перенаправления портов (туннелирования), указанные в файлах конфигурации и в командной строке. Эта директива обычно указывается в командной строке ssh(1) для отмены всех туннелирований и автоматически устанавливается утилитами scp(1) и sftp(1). Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”.

Compression

Использовать сжатие Допустимые значения: “yes” и “no”. Значение по умолчанию: “no”.

CompressionLevel

Степень сжатия, если оно используется. Допустимы целые значения от 1 (быстрое сжатие) до 9 (сильное сжатие). Значение по умолчанию: 6. Параметры сжатия соответствующие каждому значению описаны в gzip(1). Данный параметр относится только к протоколу версии 1.

ConnectionAttempts

Количество безуспешных попыток подключения (выполняются с интервалом в 1 секунду) после которого программа завершит работу. Может быть полезно в сценариях если соединение не устойчивое. Значение по умолчанию: 1.

ConnectTimeout

Время ожидания (в секундах) подключения к серверу SSH (имеет больший приоритет чем системное значение времени ожидания протокола TCP). Это значение игнорируется если с сервером не удаётся соединиться потому что он отклоняет запросы на подключение.

ControlMaster

Разрешить использовать соединение для нескольких сеансов. При этом первый сеанс называется основным, а другие - дополнительными. При значении “yes”, ssh(1) будет ожидать дополнительные подключения на управляющем сокете определённом в директиве ControlPath. При выполнении дополнительного подключения значение ControlPath должно быть таким же, а значение ControlMaster
- “no” (значение по умолчанию). Если открыть новые сеанс через указанный сокет не удаётся, то для него создаётся отдельное (обычное) соединение.

При значении “ask” ssh будет ожидать запросы на новые сеансы, но требовать подтверждения с помощью программы указанной в SSH_ASKPASS (см. ssh-add(1) ). Если сокет определённый в ControlPath открыть не удастся то создаётся отдельное (обычное) соединение.

Туннелирование X11 и ssh-agent(1) через общие соединения поддерживается, но дисплей и исполнительная программа (агент ключей) в нём будут принадлежать основному сеансу, т.е. туннель может быть использован только для одного дисплея и одной исполнительной программы.

Для таких случаев предназначены два дополнительных значения: пытаться использовать существующее соединение, и создавать новое если туннелирование через существующее (и тем более несуществующее) соединение невозможно: “auto” и “autoask”. Аналогично, второе значение включает подтверждения.

ControlPath

Путь к управляющему сокету для совместного использования соединения (см. ControlMaster выше). Значение “none” отключает совместное использование соединения. Последовательность ‘%l’ в пути заменяется на имя локального хоста, ‘%h’ на имя целевого хоста, ‘%p’ на порт, ‘%r’ - на имя пользователя в удалённой системе. Рекомендуется в пути всегда использовать как минимум %h, %p и %r для обеспечения уникальности.

DynamicForward

Перенаправлять трафик указанного порта TCP локальной системы на порт удалённой системы через защищённый канал. Порт удалённой системы определяется по протоколу приложения которое подключается к локальному порту.

Значение параметра должно быть в виде [один-из-адресов-локальной-системы:]порт. При указании адреса IPv6 его необходимо заключать в квадратные скобки либо использовать альтернативный формат: [один-из-адресов-локальной-системы/]порт. По умолчанию локальный порт привязывается к адресу в соответствии с GatewayPorts. Однако параметр один-из-адресов-локальной-системы позволяет явно указать адрес для привязывания. Если указать в качестве один-из-адресов-локальной-системы значение “localhost,” то порт будет доступен только с локальной системы, а если ‘*’ - порт будет доступен со всех интерфейсов.

В настоящее время поддерживаются протоколы SOCKS4 и SOCKS5, ssh(1) имитирует работу сервера SOCKS. Допустимо использование нескольких перенаправлений, как посредством указания в данной директиве, так и через командную строку. Привилегированные порты может перенаправлять только суперпользователь.

EnableSSHKeysign

Значение “yes” указанное в глобальном файле конфигурации /etc/ssh/ssh_config позволяет во время аутентификации по хосту ( HostbasedAuthentication ) использовать вспомогательную программу ssh-keysign(8) Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”. Эта директива должна указываться в самом общем разделе файла (для всех хостов). См. ssh-keysign(8)

EscapeChar

Символ отменяющий интерпретирование следующего за ним символа (по умолчанию - ‘~’). Символ можно также задавать через командную строку. В качестве аргумента следует указывать последовательность из ‘^’ и символа, либо “none” для отключения данного механизма (что позволит использовать соединение для передачи двоичных данных без искажений).

ExitOnForwardFailure

Закрывать соединение если ssh(1) не удаётся настроить все запрошенный динамические, локальные и удалённые туннелирования. Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”.

ForwardAgent

Перенаправлять (туннелировать) ли запросы к программе управляющей ключами на удалённую систему (используется для аутентификации через сервер-посредник). Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”.

Такое туннелирование следует использовать с осторожностью. Если пользователь может обойти ограничение на доступ к файлам в удалённой системе (для сокета менеджера ключей в домене Unix), то он также получает возможность использовать локальный менеджер (и соответственно ключи которыми он управляет) через туннелированное соединение для аутентификации на других серверах от чужого имени (т.е. доступа к самим ключам у него не будет, хотя аутентификация с помощью них будет возможна).

ForwardX11

Включить автоматическое туннелирование соединений X11 через защищённый канал. При этом переменная DISPLAY устанавливается в соответствующее значение. Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”.

Используйте эту функцию с осторожностью. Если пользователь может обойти ограничение на доступ к файлам в удалённой системе (для базы данных прав доступа X11), то он получает возможность доступа к локальному дисплею X11 через туннель. Если параметр ForwardX11Trusted включен, злоумышленник сможет получать данные о таких действиях как движения указателем мыши.

ForwardX11Trusted

При значении “yes”, удалённые клиенты X11 будут получать полный доступ к исходному дисплею X11.

При значении “no”, удалённые клиенты X11 будут считаться ненадёжными и будут приниматься меры для предотвращения получения или подмены данных принадлежащих надёжным клиентам X11. Более того, для маркера xauth(1) используемого для сеанса будет устанавливаться срок действия 20 минут. По прошествии этого времени удалённым клиентам будет отказываться в доступе.

Значение по умолчанию - “no”.

См. спецификацию расширения X11 SECURITY.

GatewayPorts

Определяет, разрешено ли удалённым машинам подключение к локальным портам, выделенным для туннелирования. По умолчанию ssh(1) делает доступными порты, используемые для туннелирования инициируемого клиентом, только для подключений к кольцевому (loopback) адресу, т.е. удалённые машины подключаться к перенаправляемым портам не могут. С помощью данного параметра можно исправить такое положение дел (т.е. допустить подключения целевым адресом которых является некольцевой - например подключения инициируемые через разные интерфейсы). Допустимые значения - “yes” or “no”. Значение по умолчанию - “no”.

GlobalKnownHostsFile

Файл который следует использовать в качестве глобальной базы данных ключей хостов вместо стандартного /etc/ssh/ssh_known_hosts.

GSSAPIAuthentication

Допускать аутентификацию по GSSAPI. Значение по умолчанию - “no”. Данный параметр относится только к протоколу версии 2.

GSSAPIDelegateCredentials

Перенаправлять (делегировать) идентификационные данные серверу. Значение по умолчанию - “no”. Данный параметр относится только к протоколу версии 2.

HashKnownHosts

Создавать хэши имён хостов при добавлении их в ~/.ssh/known_hosts. Использование хэшей имён хостов вместо самих имён хостов поддерживается и ssh(1) и sshd(8), и позволяет предотвратить утечку информации в случае разглашения содержимого файла. Значение по умолчанию - “no”. Уже имеющиеся в файле имена хостов не будут преобразованы автоматически, это можно сделать вручную с помощью утилиты ssh-keygen(1).

HostbasedAuthentication

Пытаться ли выполнять аутентификацию по хосту, т.е. аутентификацию по rhosts или /etc/hosts.equiv в сочетании с открытым ключом. Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”. Этот параметр схож с RhostsRSAAuthentication и применим только к протоколу версии 2.

HostKeyAlgorithms

Алгоритмы ключей для протокола 2 в порядке предпочтения. Значение по умолчанию: “ssh-rsa,ssh-dss”.

HostKeyAlias

Псевдоним который следует использовать вместо настоящего имени хоста при поиске или сохранении ключа в базе данных ключей хостов. Полезно при туннелировании соединений SSH, а также при использовании нескольких серверов на одном хосте.

HostName

Устанавливает соответствие между псевдонимами, сокращениями и настоящими именами хостов. По умолчанию используется имя передаваемое в командной строке. Допустимо непосредственное указание IP-адресов (как в командной строке, так и в директивах HostName ).

IdentitiesOnly

Разрешить использование программой ssh(1) только файлов идентификации указанных в файлах конфигурации ssh_config, даже если ssh-agent(1) предоставляет и другие субъекты. Допустимые значения - “yes” и “no”. Полезно если ssh-agent предоставляет много различных субъектов. Значение по умолчанию - “no”.

IdentityFile

Файл с идентификационными данными (субъектом) RSA или DSA. Значение по умолчанию - ~/.ssh/identity для протокола версии 1, ~/.ssh/id_rsa и ~/.ssh/id_dsa для протокола версии 2. Кроме того для аутентификации будут использоваться данные предоставляемые менеджером ключей.

В имени файла может присутствовать тильда для указания каталог пользователя, а также следующие последовательности: ‘%d’ (домашний каталог локального пользователя). ‘%u’ (имя локального пользователя), ‘%l’ (имя локального хоста), ‘%h’ (имя удалённого хоста), ‘%r’ (имя удалённого пользователя).

Допустимо указание нескольких файлов с идентификационными данными в файлах конфигурации; все они будут пробоваться по очереди.

KbdInteractiveDevices

Список методов для интерактивной аутентификации через запятую. По умолчанию используется список определяемый сервером. Соответственно, доступные методы зависят от сервера. В случае сервера OpenSSH это может быть любое подмножество из “bsdauth”, “pam” и “skey”.

LocalCommand

Команда выполняемая в локальной системе после успешного подключения к серверу. Для выполнения используется /bin/sh. Данная директива принимается во внимание только если включен параметр PermitLocalCommand.

LocalForward

Перенаправлять трафик поступающий на локальный порт TCP через защищённый канал на указанный хост и порт с удалённой машины. Первый аргумент должен быть в форме [один-из-адресов-локальной-системы:]порт второй - хост:порт. При указании адреса IPv6 его необходимо заключать в квадратные скобки либо использовать альтернативный формат: [один-из-адресов-локальной-системы/]порт. хост/порт. Допустимо использование нескольких перенаправлений, как посредством указания в данной директиве, так и через командную строку. Привилегированные порты может перенаправлять только суперпользователь. По умолчанию локальный порт привязывается к адресу в соответствии с GatewayPorts. Однако параметр один-из-адресов-локальной-системы позволяет явно указать адрес для привязывания. Если указать в качестве один-из-адресов-локальной-системы значение “localhost,” то порт будет доступен только с локальной системы, а если ‘*’ - порт будет доступен со всех интерфейсов.

LogLevel

Задаёт уровень сообщений для журнала протоколов ssh(1). Допустимыми являются значения: QUIET, FATAL, ERROR, INFO, VERBOSE, DEBUG, DEBUG1, DEBUG2 и DEBUG3. Значение по умолчанию - INFO. Значения DEBUG и DEBUG1 эквивалентны. DEBUG2 и DEBUG3 отвечают наибольшей подробности.

MACs

Порядок предпочтения алгоритмов MAC (Message Authentication Code - код установления подлинности сообщения). Они используются в протоколе версии 2 для гарантирования целостности данных. Несколько алгоритмов следует указывать через запятую. Значение по умолчанию: “hmac-md5,hmac-sha1,hmac-ripemd160,hmac-sha1-96,hmac-md5-96”.

NoHostAuthenticationForLocalhost

Этот параметр полезен если домашний каталог является общим для нескольких машин. В этом случае localhost будет соответствовать каждый раз разным машинам, в результате чего пользователи будут получать предупреждения об изменённых ключах хоста. Данный параметр позволяет отключить аутентификацию по хосту для localhost. Допустимые значения - “yes” и “no”. По умолчанию ключ localhost проверяется.

NumberOfPasswordPrompts

Число попыток ввода пароля предоставляемых пользователю. Значение по умолчанию - 3.

PasswordAuthentication

Использовать ли аутентификацию по паролю. Допустимые значения - “yes” и “no”. Значение по умолчанию - “yes”.

PermitLocalCommand

Разрешить выполнение локальной команды указанной в LocalCommand или через управляющую последовательность !command в ssh(1). Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”.

Port

Порт на удалённой машине к которому следует подключаться. Значение по умолчанию - 22.

PreferredAuthentications

Порядок предпочтения методов аутентификации протокола 2. Значение по умолчанию: “gssapi-with-mic, hostbased, publickey, keyboard-interactive, password”.

Protocol

Версии протокола которые следует пытаться использовать, в порядке предпочтения. Допустимые значения - ‘1’ и ‘2’. Значение по умолчанию - “2,1”. Это означает, что ssh сначала пытается подключиться по протоколу 2 и, если он не поддерживается, пробует протокол 1.

ProxyCommand

Команда-посредник используемая для подключения к серверу. Для выполнения используется /bin/sh. В команде ‘%h’ заменяется на имя хоста, ‘%p’ - на порт. Команда, вообще говоря, может делать что угодно. Предполагается, что она считывает данные из стандартного ввода и записывает данные в стандартный вывод. Она должна подключаться к sshd(8) на какой-либо машине или запускать sshd -i. При управлении ключами хостов будет использоваться HostName подключаемого хоста (по умолчанию - имя введенное пользователем). Значение “none” отключает данную функцию. Если для подключения используется команда-посредник, CheckHostIP не учитывается.

Данная директива может использоваться с nc(1) Например, следующая директива позволяет подключаться через HTTP-прокси на 192.0.2.0:

ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p

PubkeyAuthentication

Пытаться ли выполнять аутентификацию по открытому ключу. Допустимые значения - “yes” и “no”. Значение по умолчанию - “yes”. Данный параметр относится только к протоколу версии 2.

RekeyLimit

Ограничение на передаваемый объём данных для одного ключа сеанса. После превышения процедура создания ключа сеанса повторяется. Единицы по умолчанию - байты. Приставки ‘K’, ‘M’, и ‘G’ позволяют указывать значения в более крупных единицах. Значение по умолчанию - между ‘1G’ и ‘4G’, в зависимости от шифра. Данный параметр относится только к протоколу версии 2.

RemoteForward

Перенаправлять трафик порта TCP на удалённой машине через защищённый канал на указанные хост/порт, соединение с которыми будет выполняться с локальной системы. Первый аргумент должен быть в форме [один-из-адресов-локальной-системы:]порт второй - хост:порт. При указании адреса IPv6 его необходимо заключать в квадратные скобки либо использовать альтернативный формат: [один-из-адресов-локальной-системы/]порт. хост/порт. Допустимо использование нескольких перенаправлений, как посредством указания в данной директиве, так и через командную строку. Привилегированные порты может перенаправлять только суперпользователь.

Если один-из-адресов-локальной-системы не указан, то принимаются запросы, имеющие в качестве адреса назначения кольцевой (loopback) адрес. Если один-из-адресов-локальной-системы равен ‘*’ или пустой, то соединения принимаются со всех интерфейсов. Указание в качестве один-из-адресов-локальной-системы удалённого адреса сработает только если на сервере будет включен параметр GatewayPorts (см. sshd_config(5)).

RhostsRSAAuthentication

Пытаться ли выполнять аутентификацию по rhosts Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”. Данный параметр относится только к протоколу версии 1 и требует setuid root для ssh(1).

RSAAuthentication

Пытаться ли выполнять аутентификацию только по ключу RSA. Допустимые значения - “yes” и “no”. RSA будет выполняться только если будет найден файл с идентификационными данными или при работающем менеджере ключей. Значение по умолчанию - “yes”. Данный параметр относится только к протоколу версии 1.

SendEnv

Переменные локальной среды environ(7) которые следует посылать серверу для копирования. Эта функция доступна только для протокола 2. Сервер также должен поддерживать передачу переменных, кроме того, таковая должна быть разрешена. За это отвечает параметр AcceptEnv файла конфигурации сервера sshd_config(5). Переменные задаются по шаблону имён. Несколько шаблонов разделяются пробелами, либо указываются в нескольких директивах SendEnv. По умолчанию не передаются никакие переменные.

См. ШАБЛОНЫ.

ServerAliveCountMax

Количество запросов проверяющих доступность сервера (см. ниже), которые могут оставаться без ответа. Если предел достигнут, ssh(1) отключится от сервера клиента и завершит сеанс. Имейте в виду, запросы server alive отличаются от TCPKeepAlive (см. ниже). Данные запросы отправляются через защищённый канал и поэтому не могут быть подменены. Параметр TCPKeepAlive допускает возможность подменены данных. Механизм server alive полезен если поведение клиента или сервера зависит от активности соединения.

Значение по умолчанию - 3. Если ServerAliveInterval (см. ниже) равно 15, а для ServerAliveCountMax оставлено значение по умолчанию, то не отвечающий сервер SSH будет отключаться приблизительно через 45 секунд. Данный параметр относится только к протоколу версии 2.

ServerAliveInterval

Время бездействия со стороны сервера в секундах, после которого ssh(ё) отправляет через защищённый канал запрос отклика серверу. Значение по умолчанию - 0, что означает, что серверу не будут направляться такие запросы. Этот параметр применим только с протоколом версии 2.

SmartcardDevice

Устройство для чтения смарт-карты с частным ключом RSA. По умолчанию устройство не указано и поддержка смарт-карт отключена.

StrictHostKeyChecking

При значении “yes”, ключи хоста не будут автоматически добавляться в ~/.ssh/known_hosts и программа не будет соединяться с хостами ключи которых изменились. Это позволяет лучше защититься от "троянских коней", некоторые люди сочтут это раздражающим, особенно если им приходится часто подключаться к новым серверам. При значении “no”, новые ключи хостов будут автоматически добавляться в соответствующий файл. При значении “ask”, новые ключи хостов будут добавляться после подтверждения пользователем, к хостам, ключи которых изменились, по-прежнему подключиться будет невозможно. Ключи имеющиеся в файле известных хостов проверяются автоматически в любом случае. Допустимые значения - “yes”, “no”, и “ask”. Значение по умолчанию - “ask”.

TCPKeepAlive

Указывает, будет ли система посылать другой стороне контрольные сообщения для удержания соединения активным. Если они посылаются, то разрыв соединения или аварийный отказ одной из машин будут должным образом замечены. Однако, при этом временная потеря маршрута также повлечёт за собой разрыв соединения и некоторые люди сочтут это раздражающим.

Значение по умолчанию - “yes” (отправлять сообщения TCP keepalive). Может быть полезно также в сценариях.

Для отключения посылки сообщений TCP keepalive установите значение “no”.

Tunnel

Запрашивать туннелирование (между клиентом и сервером) для устройств tun(4) Допустимые значения - “yes”, “point-to-point” (layer 3), “ethernet” (layer 2), и “no”. При указании “yes” программа будет запрашивать режим туннелирования по умолчанию, “point-to-point”. Значение по умолчанию - “no”.

TunnelDevice

Устройства tun(4) которые должны открываться на стороне клиента (local_tun) и сервера (remote_tun).

Формат аргумента: local_tun[:remote_tun]. Устройства можно указывать по числовому идентификатору. Значение “any”, отвечает ближайшему доступному устройству tunnel. Если часть remote_tun не указана, она считается равной “any”. Значение по умолчанию - “any:any”.

UsePrivilegedPort

Использовать ли привилегированный порт для исходящих соединений. Допустимые значения - “yes” и “no”. Значение по умолчанию - “no”. Значение “yes” требует setuid root для ssh(1). Для аутентификации RhostsRSAAuthentication на старых серверах требуется значение этого параметра “yes”.

User

Имя пользователя которое следует использовать при регистрации в удалённой системе. Полезно когда на разных серверах используются разные имена, т.к. избавляет от надобности вспоминать каждый раз нужное имя.

UserKnownHostsFile

Файл который следует использовать в качестве пользовательской базы данных ключей хостов вместо стандартного ~/.ssh/known_hosts.

VerifyHostKeyDNS

Следует ли проверять удалённый ключ по записям DNS и SSHFP. При значении “yes”, клиентом будет считаться что ключи соответствующие отпечаткам DNS являются надёжными. В случае небезопасных отпечатков поведение будет таким как при значении “ask”: будут показываться сведения об отпечатке, пользователь должен будет явно утвердить новый ключ хоста, в соответствие с StrictHostKeyChecking. Допустимые значения - “yes”, “no”, и “ask”. Значение по умолчанию - “no”. Данный параметр относится только к протоколу версии 2.

См. также ПРОВЕРКА КЛЮЧЕЙ ХОСТОВ в ssh(1).

XAuthLocation

Полное имя команды xauth(1). Значение по умолчанию - /usr/X11R6/bin/xauth.

ШАБЛОНЫ

Шаблон может состоять из обычных символов, ‘*’ (обозначает любое (включая ноль) количество символов), и ‘?’ (обозначает один любой символ). Например, для определения правил для всех хостов в домене “.co.uk” следует использовать такую директиву:

Следующий шаблон будет соответствовать хостам в диапазоне 192.168.0.[0-9]:

Список-шаблонов - это несколько шаблонов разделённых запятыми. Возможно указание отрицательного шаблона посредством предварения его восклицательным знаком (‘!’). Например, для того чтобы разрешить использование ключа во всей организации за исключением модемного пула “dialup”, укажите такой шаблон (в authorized_keys):

ФАЙЛЫ

~/.ssh/config

Файл конфигурации для текущего пользователя. Его формат описан выше. Он используются клиентом SSH. Права доступа: чтение/запись для пользователя (владельца), не доступен для остальных.

/etc/ssh/ssh_config

Общесистемный файл конфигурации. Параметры определённые в нём используются если аналогичные параметры в пользовательском файле не определены (для соответствующего подмножества хостов), в т.ч. если пользовательский файл не существует. Этот файл должен быть доступен для чтения всем.

СМ. ТАКЖЕ

ssh(1)

АВТОРЫ

Продукт OpenSSH является производным от оригинальной и свободной версии ssh 1.2.12 выпущенной Tatu Ylonen. Aaron Campbell, Bob Beck, Markus Friedl, Niels Provos, Theo de Raadt и Dug Song удалили много ошибок, самостоятельно реализовали функции доступные в несвободных версиях оригинальной программы и создали OpenSSH. Markus Friedl реализовал поддержку протоколов SSH версии 1.5 и 2.0.

Николай Шафоростов <shafff@ukr.net> 2007