Windows 10 OpenSSH服务器广域网暴露场景下的配置有效性及安全优化咨询

背景与需求 #

我正在将Windows 10上的OpenSSH服务器暴露到广域网（此前仅在局域网内使用），具体需求如下：

• 互联网连接场景：仅允许特定用户remoteuser接入；该用户仅能通过TCP端口转发到指定主机（已配置PermitOpen指令），禁止Shell访问、SFTP及任何我可能不了解的其他功能。
• 局域网连接场景：通过Match块匹配安全局域网来源，放宽安全限制：允许密码认证、允许更多用户接入（但sftpuser1仅能使用SFTP）。

疑问 #

1. 我的Match块是否能按预期工作？这种实现方式是否合理？
2. 针对互联网客户端，除了Shell、SFTP、X11转发外，还有哪些我不了解的功能需要禁用？

我的解答 #

一、关于Match块的有效性与合理性

只要你的Match块语法正确、规则顺序得当，完全可以实现你的需求，这也是OpenSSH官方推荐的精细化权限控制方案，非常合理。这里给你几个关键注意点：

• 规则顺序是核心：OpenSSH会从上到下匹配Match块，所以一定要把互联网访问的严格规则放在最前面，局域网的宽松规则放在后面，避免宽松规则覆盖严格限制。举个示例结构：

  # 优先匹配互联网来源的remoteuser
  Match User remoteuser, Address !192.168.0.0/16,!10.0.0.0/8,!172.16.0.0/12
      PermitOpen 192.168.1.10:80 192.168.1.11:3389
      ForceCommand echo "Only port forwarding allowed"
      AllowTcpForwarding yes
      X11Forwarding no
      AllowAgentForwarding no
      PermitTTY no
      PasswordAuthentication no
  
  # 匹配局域网内的sftpuser1，仅允许SFTP
  Match User sftpuser1, Address 192.168.0.0/16,10.0.0.0/8,172.16.0.0/12
      ForceCommand internal-sftp
      AllowTcpForwarding no
      X11Forwarding no
      PasswordAuthentication yes
  
  # 匹配其他局域网用户，放宽限制
  Match Address 192.168.0.0/16,10.0.0.0/8,172.16.0.0/12
      PasswordAuthentication yes
      AllowTcpForwarding yes
      X11Forwarding yes
  

• 验证方法：你可以通过ssh -v remoteuser@your-wan-ip测试互联网连接，查看终端输出的权限协商信息；局域网内用不同用户登录，确认各自的权限是否符合预期，比如sftpuser1能不能登录Shell，remoteuser能不能在局域网外执行其他操作。

二、互联网客户端需额外禁用的功能

除了你提到的Shell、SFTP、X11转发外，还有这些容易被忽略的功能建议禁用，进一步缩小攻击面：

• AllowAgentForwarding：禁止SSH代理转发，避免攻击者利用你的SSH代理访问内部网络资源。
• AllowStreamLocalForwarding：禁止Unix域套接字转发（Windows上虽不常用，但禁用无副作用）。
• PermitTunnel：禁止创建VPN隧道，防止攻击者通过隧道绕过你的端口转发限制，访问更多内部资源。
• GatewayPorts：禁止远程客户端绑定到服务器的公网端口，避免你的服务器被用作网络中转跳板。
• PermitTTY：禁止分配TTY终端，彻底阻断Shell访问的可能（即使ForceCommand配置失误，也能兜底）。
• PermitUserRC：禁止用户执行自定义的.ssh/rc脚本，避免恶意脚本在服务器端执行。

三、额外安全加固建议

• 给remoteuser强制启用SSH密钥认证，完全禁用密码认证（互联网场景下密码认证的暴力破解风险极高）。
• 修改OpenSSH默认监听端口（比如从22改成2222），减少自动化扫描工具的攻击尝试。
• 开启OpenSSH的详细日志功能，定期检查Windows事件查看器中的SSH日志，发现异常连接及时处理。
• 确保Windows 10系统和OpenSSH服务器始终安装最新的安全补丁，修复已知漏洞。

备注：内容来源于stack exchange，提问作者M_D