更改 OpenSSH 上的 KexAlgorithms

Question

我想在我的 OpenSSH 上禁用“diffie-hellman-group1-sha1”和“diffie-hellman-group-exchange-sha1”密钥交换算法。 我编辑了 /etc/ssh/sshd_config 并添加了这一行： Kex算法 ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha256

之后我通过命令重新启动了 SSH -> 'service sshd restart'

现在，当我运行命令“ssh -Q kex”时，输出仍然是： diffie-hellman-group1-sha1 diffie-hellman-group14-sha1 diffie-hellman-group14-sha256 diffie-hellman-group16-sha512 diffie-hellman-group18-sha512 diffie-hellman-group-exchange-sha1 diffie-hellman-group-exchange-sha256 ecdh-sha2-nistp256 ecdh-sha2-nistp384 ecdh-sha2-nistp521 曲线25519-sha256 curve25519-sha256@libssh.org gss-gex-sha1- gss-group1-sha1- gss-group14-sha1-

为什么不做任何改变？我是不是做错了什么？

Answer 1

我相信“ssh -Q kex”显示了所有可用的密钥交换算法：不一定只是配置为在任何给定情况下使用的算法。考虑一下，在 ssh_config 中，可以指定一组特定的密钥交换算法用于特定主机。 “ssh -Q kex”如何知道感兴趣的主机？此外，我还配置了 /etc/ssh/ssh_config、~/.ssh/config 甚至 /etc/ssh/sshd_config，以指定启用或禁用某些密钥交换算法。根据我的经验，“ssh -Q kex”并没有反映这些变化。

通过实际尝试使用 ssh -vv 或 ssh -vvv 登录到特定的 ssh 主机/服务器，然后查看我的客户端和服务器各自提供的用于密钥交换的内容，我获得了更好的运气。在配置适当的配置文件后或在 ssh 命令行中添加“-o kex=specific_key_exchange_algorithm”后，我确实看到报告的“调试”消息中反映的更改。 YMMV。我希望这对某人有所帮助，即使答案相对于原始发帖人的问题来说已经很晚了。

Answer 2

ssh 显示机器上 SSH 客户端使用的密钥，sshd 显示机器上 SSH 服务器使用的密钥。

您已经修改了 /etc/ssh/sshd_config 所使用的文件 sshd。

尝试使用sshd -T。