sshd_config

   1 # SSH daemon configuration file.
   2 #
   3 # Some options are set even if they are default to document that they are
   4 # important and to prevent upstream changes from affecting them.
   5
   6 # Copyright (C) 2013-2014  Simon Ruderich
   7 #
   8 # This file is free software: you can redistribute it and/or modify
   9 # it under the terms of the GNU General Public License as published by
  10 # the Free Software Foundation, either version 3 of the License, or
  11 # (at your option) any later version.
  12 #
  13 # This file is distributed in the hope that it will be useful,
  14 # but WITHOUT ANY WARRANTY; without even the implied warranty of
  15 # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  16 # GNU General Public License for more details.
  17 #
  18 # You should have received a copy of the GNU General Public License
  19 # along with this file.  If not, see <http://www.gnu.org/licenses/>.
  20
  21
  22 # Listen on port 22 (default).
  23 Port 22
  24
  25 # Only use protocol 2. Protocol 1 is insecure. (default)
  26 Protocol 2
  27
  28 # Stronger algorithms. See ssh_config for details.
  29 KexAlgorithms diffie-hellman-group-exchange-sha256
  30 Ciphers aes256-ctr
  31 MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-512
  32
  33 # Use privilege separation for increased security. "sandbox" applies
  34 # additional restrictions on the unprivileged process.
  35 UsePrivilegeSeparation sandbox
  36
  37 # Don't use PAM because it may circumvent other authentication methods used
  38 # below (default).
  39 UsePAM no
  40 # Disable authentication methods I don't use.
  41 ChallengeResponseAuthentication no
  42 GSSAPIAuthentication no
  43 HostbasedAuthentication no
  44 KerberosAuthentication no
  45 PasswordAuthentication no
  46 # Only enable those I need.
  47 PubkeyAuthentication yes
  48
  49 # Don't allow empty passwords (default).
  50 PermitEmptyPasswords no
  51 # Allow root-login only with public keys.
  52 PermitRootLogin without-password
  53
  54 # Be strict when checking user file permissions (default).
  55 StrictModes yes
  56
  57 # Allow more sessions per network connection (e.g. from ControlMaster/-M).
  58 # When not enough sessions are available this message is sent by ssh:
  59 # "mux_client_request_session: session request failed: Session open refused by
  60 # peer".
  61 MaxSessions 30
  62
  63 # Don't accept any environment variables from the client (default).
  64 AcceptEnv
  65 # Don't use ~/.ssh/environment and environment= options in
  66 # ~/.ssh/authorized_keys because LD_PRELOAD could be used to circumvent
  67 # authentications (default).
  68 PermitUserEnvironment no
  69
  70 # Send a message after the given seconds of inactivity through the encrypted
  71 # channel. Used to detect stale connections more quickly. Not necessary on all
  72 # servers.
  73 #ClientAliveInterval 60
  74 # Disconnect the client if more than max count alive messages were lost
  75 # (default). With the setting above this detects a broken connection after 3
  76 # minutes.
  77 ClientAliveCountMax 3
  78
  79 # Enable sftp (and sshfs) usage. internal-sftp also works in chroots.
  80 Subsystem sftp internal-sftp
  81
  82
  83 # Only allow logins for certain users.
  84 AllowUsers root