Comment changer le port sshd sur Mac OS X?

Je veux changer le port sshdutilisé sur un serveur Mac. Par exemple, disons du port 22 au port 32.

Le montage /etc/sshd_configne semble pas fonctionner. Est-ce que quelqu'un sait comment le changer? Je préférerais une méthode compatible avec toutes les versions d'OSX (ou autant que possible, au moins).

Toutes les réponses précédentes fonctionnent (comme le suggère Google), mais elles sont sales et inélégantes .

La bonne façon de changer le port d'écoute d'un service launchd géré sous Mac OS X consiste à apporter les modifications aux clés dédiées disponibles dans ssh.plist

La solution est donc aussi simple que d’utiliser le numéro de port au lieu du nom du service.

Un extrait de mon édition /System/Library/LaunchDaemons/ssh.plist:

    <key>Sockets</key>
    <dict>
            <key>Listeners</key>
            <dict>
                    <key>SockServiceName</key>
                    <string>22022</string>
                    <key>SockFamily</key>
                    <string>IPv4</string>
                    <key>Bonjour</key>
                    <array>
                            <string>22022</string>
                    </array>
            </dict>
    </dict>

Remarque: pour pouvoir éditer ce fichier sur El Capitan, Sierra et probablement de futures versions, vous devez désactiver SIP (System Integrity Protection). Voir Comment désactiver la protection de l'intégrité du système (SIP) [...] .

La modification ci-dessus forcera également sshd à n'écouter que sur IPV4.

Après toute modification ssh.plist, le fichier doit être rechargé comme suit:

sudo launchctl unload /System/Library/LaunchDaemons/ssh.plist
sudo launchctl load /System/Library/LaunchDaemons/ssh.plist

Notez que l'utilisation de launchctl stop ...et launchctl start ...ne rechargera PAS ce fichier.

La page de manuel contenant plus d'informations peut être trouvée en tapant man launchd.plistou en utilisant ce lien .

Si vous voulez que sshd écoute sur un port supplémentaire, vous pouvez ajouter plusieurs entrées au dictionnaire Sockets.

Exemple:

<key>Sockets</key>
<dict>
        <key>Listeners</key>
        <dict>
                <key>SockServiceName</key>
                <string>ssh</string>
                <key>Bonjour</key>
                <array>
                        <string>ssh</string>
                        <string>sftp-ssh</string>
                </array>
        </dict>
        <key>Listeners2</key>
        <dict>
                <key>SockServiceName</key>
                <string>22022</string>
        </dict>
</dict>

D'après ce que j'ai lu (et expérimenté) jusqu'à présent, trois méthodes principales peuvent être utilisées:

1. changez le réglage dans le fichier ssh.plist;
2. modifiez les paramètres dans le fichier / etc / services;
3. modifiez le paramètre dans le fichier /etc/sshd.conf.

Une autre façon de le faire, que je préfère de loin à toutes et chacune de ces méthodes, pour éviter les problèmes de fichiers système Mac OS X, consiste à utiliser socat pour rediriger le port 22 vers le port de votre choix.

1. Téléchargez socat: http://www.dest-unreach.org/socat/download/socat-1.7.3.2.tar.gz
2. Déplacez le fichier tar.gz dans votre répertoire / usr / local / ( sudo mv ./socat-1.7.3.2.tar.gz /usr/local/bin/socat-1.7.3.2.tar.gz)
3. Allez dans votre répertoire / usr / local / bin ( cd /usr/local/bin)
4. Décompresser: sudo tar -xvzf socat-1.7.3.2.tar.gz
5. Déplacer vers le répertoire de fichier non compressé: cd ./socat-1.7.3.2
6. Exécutez les commandes habituelles configure, make et make install pour installer socat ( sudo ./configure && sudo make && sudo make install)
7. Redirige le port 22 (ssh par défaut) vers le port de votre choix (dans l'exemple suivant, 2222) en utilisant l'option appropriée en envoyant un appel socat ( sudo socat TCP-LISTEN:2222,reuseaddr,fork TCP:localhost:22)

Vous avez terminé et vos fichiers système mac os x ne sont pas modifiés. De plus, cette méthode ne fonctionne pas uniquement sur Snow Leopard, mais sur toutes les versions de Mac OS X et sur toutes les machines sur lesquelles socat peut s'exécuter.

La dernière chose que vous devez faire si vous utilisez un routeur / pare-feu est d’inclure les commandes de redirection appropriées dans votre routeur / pare-feu.

De plus, cela évite de se perdre dans le débat, que la méthode ssh.plist, la méthode des services ou la méthode de votre choix soit meilleure, plus élégante ou pire que l’autre.

Vous pouvez également préparer facilement un script qui s'exécute au démarrage pour reconstruire la redirection socat à chaque redémarrage de votre ordinateur. Placez ceci dans /Library/LaunchDaemons/com.serverfault.sshdredirect.plist:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>com.serverfault.sshdredirect</string>
    <key>KeepAlive</key>
    <dict>
        <key>NetworkState</key>
        <true/>
    </dict>
    <key>RunAtLoad</key>
    <true/>
    <key>ProgramArguments</key>
    <array>
        <string>/usr/local/bin/socat</string>
        <string>TCP-LISTEN:2222,reuseaddr,fork</string>
        <string>TCP:localhost:22</string>
    </array>
</dict>
</plist>

Utilisez sudo launchctl load -w /Library/LaunchDaemons/com.serverfault.sshdredirect.plistpour le charger. Il se chargera automatiquement lors des prochains redémarrages.

En outre, vous pouvez également améliorer la sécurité en (i) configurant votre pare-feu de manière à bloquer toute connexion à votre port 22 à partir de toute interface autre que la boucle (127.0.0.1) et (ii) à modifier de manière similaire le fichier sshd.conf. ssh n'écoute que sur le bouclage.

Prendre plaisir.

Je ne pouvais pas voir cela correctement documenté nulle part dans une page de manuel, mais si vous ne voulez rien faire de plus que d'ajouter un auditeur supplémentaire, vous pouvez utiliser un éventail d'écouteurs et créer un dictée supplémentaire. Cela ne nécessite pas de modification de / etc / services si vous utilisez directement le port (mais n'oubliez pas d'ouvrir le port sur votre pare-feu!)

    <key>Listeners</key>
    <array>
    <dict>
        <key>Bonjour</key>
        <array>
            <string>ssh</string>
            <string>sftp-ssh</string>
        </array>
        <key>SockServiceName</key>
        <string>ssh</string>
    </dict>
    <dict>
        <key>SockServiceName</key>
        <string>22222</string>
    </dict>
    </array>