Windows Server 2022 OpenSSH 服务配置：5步完成防火墙与自启动设置-拓冰建站

Windows Server 2022 OpenSSH 服务配置：5步完成防火墙与自启动设置

对于需要在Windows Server环境中实现安全远程管理的系统管理员来说，OpenSSH服务已成为不可或缺的工具。本文将提供一个完整的PowerShell自动化配置方案，涵盖从基础安装到高级安全设置的完整流程。

1. 环境准备与OpenSSH安装

在开始配置之前，请确保您的Windows Server 2022满足以下先决条件：

系统版本不低于Windows Server 2022（内部版本20348或更高）
PowerShell 5.1或更新版本
管理员权限账户

推荐安装方法是通过PowerShell完成，这能确保配置过程的可重复性和一致性：

# 检查OpenSSH可用性 $capabilities = Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH*' # 安装OpenSSH服务器组件 if ($capabilities.Where({$_.Name -eq 'OpenSSH.Server~~~~0.0.1.0' -and $_.State -ne 'Installed'})) { Add-WindowsCapability -Online -Name 'OpenSSH.Server~~~~0.0.1.0' }

安装完成后，系统会在%ProgramData%\ssh目录下生成默认配置文件。特别提醒：首次安装后不要立即启动服务，应先完成基础配置。

2. 防火墙规则配置

正确的防火墙配置是确保SSH可访问性的关键。我们建议创建专用的防火墙规则，而非使用默认规则：

$firewallParams = @{ Name = 'SSH-Custom-Access' DisplayName = 'Custom SSH Server Access' Description = 'Allow inbound SSH traffic on custom port' Enabled = $true Direction = 'Inbound' Protocol = 'TCP' Action = 'Allow' LocalPort = '2222' # 建议修改默认端口 } # 检查规则是否存在 if (-not (Get-NetFirewallRule -Name $firewallParams['Name'] -ErrorAction SilentlyContinue)) { New-NetFirewallRule @firewallParams Write-Host "已创建自定义防火墙规则" -ForegroundColor Green } else { Set-NetFirewallRule -Name $firewallParams['Name'] @firewallParams Write-Host "已更新现有防火墙规则" -ForegroundColor Yellow }

关键安全建议：

避免使用默认22端口
限制源IP范围（如企业内网IP段）
定期审核防火墙规则

3. 服务自启动与基础配置

为确保SSH服务在系统重启后自动运行，需要进行服务配置：

# 配置服务自动启动 Set-Service -Name sshd -StartupType 'Automatic' # 立即启动服务 Start-Service sshd # 验证服务状态 $serviceStatus = Get-Service sshd if ($serviceStatus.Status -ne 'Running') { throw "SSH服务启动失败，请检查系统日志" }

服务配置完成后，建议修改默认配置文件(sshd_config)中的关键参数：

# 示例sshd_config关键配置 Port 2222 PermitRootLogin no MaxAuthTries 3 LoginGraceTime 1m AllowGroups ssh-users

4. 安全加固措施

基础配置完成后，需要实施额外的安全措施：

4.1 证书认证配置

# 生成主机密钥（如果不存在） if (-not (Test-Path "$env:ProgramData\ssh\ssh_host_ed25519_key")) { ssh-keygen -A } # 配置证书认证 $configContent = @" PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys PasswordAuthentication no "@ Add-Content -Path "$env:ProgramData\ssh\sshd_config" -Value $configContent

4.2 用户权限管理

# 创建专用用户组 if (-not (Get-LocalGroup -Name 'ssh-users' -ErrorAction SilentlyContinue)) { New-LocalGroup -Name 'ssh-users' -Description 'SSH授权用户组' } # 添加示例用户到组 Add-LocalGroupMember -Group 'ssh-users' -Member 'AdminUser'

4.3 日志审计配置

# 日志配置示例 SyslogFacility LOCAL0 LogLevel VERBOSE

5. 自动化部署脚本

为方便批量部署，以下是整合所有步骤的完整PowerShell脚本：

<# .SYNOPSIS Windows Server OpenSSH自动化配置脚本 .DESCRIPTION 自动完成OpenSSH安装、防火墙配置、服务设置和安全加固 #> param( [int]$Port = 2222, [string]$UserGroup = 'ssh-users' ) # 1. 安装OpenSSH服务器 function Install-OpenSSH { $capability = Get-WindowsCapability -Online | Where-Object { $_.Name -eq 'OpenSSH.Server~~~~0.0.1.0' } if ($capability.State -ne 'Installed') { Write-Host "正在安装OpenSSH服务器..." -ForegroundColor Cyan $result = Add-WindowsCapability -Online -Name 'OpenSSH.Server~~~~0.0.1.0' if ($result.RestartNeeded) { Write-Warning "需要重启系统以完成安装" return $false } } return $true } # 2. 配置防火墙 function Set-FirewallRule { param($Port) $ruleName = "SSH-Access-$Port" $params = @{ Name = $ruleName DisplayName = "SSH Server (Port $Port)" Enabled = $true Direction = 'Inbound' Protocol = 'TCP' Action = 'Allow' LocalPort = $Port } if (-not (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue)) { New-NetFirewallRule @params | Out-Null } else { Set-NetFirewallRule -Name $ruleName @params | Out-Null } } # 3. 配置SSH服务 function Configure-SSHD { param($Port, $UserGroup) # 备份原始配置 $configPath = "$env:ProgramData\ssh\sshd_config" Copy-Item $configPath "$configPath.bak" -Force # 生成新的配置内容 $newConfig = @" # 自动生成配置 - $(Get-Date) Port $Port AddressFamily any ListenAddress 0.0.0.0 ListenAddress :: PermitRootLogin no MaxAuthTries 3 LoginGraceTime 1m StrictModes yes PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys HostKey $env:ProgramData\ssh\ssh_host_ed25519_key AllowGroups $UserGroup "@ Set-Content -Path $configPath -Value $newConfig } # 主执行流程 try { if (-not (Install-OpenSSH)) { exit 1 } Set-FirewallRule -Port $Port if (-not (Get-LocalGroup -Name $UserGroup -ErrorAction SilentlyContinue)) { New-LocalGroup -Name $UserGroup -Description 'SSH授权用户' } Configure-SSHD -Port $Port -UserGroup $UserGroup # 重启服务使配置生效 Restart-Service sshd -Force Write-Host "`nOpenSSH配置成功完成！" -ForegroundColor Green Write-Host "SSH服务运行在端口: $Port" -ForegroundColor Cyan Write-Host "授权用户组: $UserGroup" -ForegroundColor Cyan } catch { Write-Host "`n配置过程中发生错误: $_" -ForegroundColor Red exit 1 }

高级配置建议

对于需要更高安全性的环境，可以考虑以下额外措施：

端口敲门配置：

# 示例端口敲门规则 $knockPorts = @(1001,2002,3003) $knockRule = @{ Name = "SSH-Knocking-Sequence" DisplayName = "SSH Port Knocking Sequence" Enabled = $true Direction = 'Inbound' Protocol = 'TCP' Action = 'Allow' LocalPort = ($knockPorts -join ",") } New-NetFirewallRule @knockRule

Fail2Ban等效实现：

# 创建事件日志过滤器 $filterXml = @' <QueryList> <Query Id="0" Path="Application"> <Select Path="Application"> *[System[Provider[@Name='sshd'] and (EventID=1000 or EventID=1001 or EventID=1002)]] </Select> </Query> </QueryList> '@ $filterName = "SSH Failed Login Filter" if (-not (Get-WinEvent -ListLog "SSH Brute Force Attempts" -ErrorAction SilentlyContinue)) { New-WinEvent -LogName "SSH Brute Force Attempts" -MaxSize 1024KB } # 创建自定义事件视图 wevtutil set-log "SSH Brute Force Attempts" /q /e:true

网络级保护：

# 限制源IP范围（示例企业内网） $allowedIPs = '192.168.1.0/24', '10.0.0.0/16' Set-NetFirewallRule -Name 'SSH-Custom-Access' -RemoteAddress $allowedIPs

Windows Server 2022 OpenSSH 服务配置：5步完成防火墙与自启动设置