OpenSSH Server: เปิด SSH บน Windows Server ล็อกอินด้วยคีย์

Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH*'

Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

Start-Service sshd
Set-Service -Name sshd -StartupType Automatic
Get-Service sshd

Get-NetFirewallRule -Name OpenSSH-Server-In-TCP | Select-Object Name, Enabled, Direction, Action

Set-NetFirewallRule -Name OpenSSH-Server-In-TCP -RemoteAddress 198.51.100.0/24, 203.0.113.25
Get-NetFirewallRule -Name OpenSSH-Server-In-TCP | Get-NetFirewallAddressFilter

New-ItemProperty -Path "HKLM:\SOFTWARE\OpenSSH" -Name DefaultShell -Value "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

# บัญชีในเครื่อง
ssh [email protected]

# บัญชีโดเมนจาก PowerShell บน Windows
ssh corp\[email protected]

# บัญชีโดเมนจาก macOS หรือ Linux (ใส่เครื่องหมายคำพูดกัน backslash หาย)
ssh -l 'corp\somchai' 203.0.113.10

ขั้นตอนที่ 5: ตั้งค่าล็อกอินด้วยคีย์

สร้างคู่คีย์บนเครื่องลูกข่าย ตั้ง passphrase ด้วยเพื่อให้ไฟล์คีย์ที่หลุดออกไปใช้งานไม่ได้ทันที

ssh-keygen -t ed25519 -C "[email protected]"

จุดที่ทำให้คนตั้งค่าพลาดมากที่สุดคือไฟล์ sshd_config ของ Windows มีบล็อก Match Group administrators อยู่ท้ายไฟล์ ทำให้บัญชีที่อยู่ในกลุ่ม Administrators ใช้ไฟล์คีย์กลางของเครื่อง ไม่ใช่ไฟล์ในโปรไฟล์ของตัวเอง

บัญชีที่อยู่ในกลุ่ม Administrators

บนเซิร์ฟเวอร์ คัดลอกเนื้อหาของไฟล์ id_ed25519.pub มาวางในตัวแปร แล้วเขียนลงไฟล์คีย์กลางพร้อมตั้งสิทธิ์

$key = 'ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIExampleOnlyReplaceWithYourKey [email protected]'
Add-Content -Path "$env:ProgramData\ssh\administrators_authorized_keys" -Value $key
icacls.exe "$env:ProgramData\ssh\administrators_authorized_keys" /inheritance:r /grant "Administrators:F" /grant "SYSTEM:F"

ไฟล์นี้ต้องมีสิทธิ์เฉพาะ SYSTEM และ Administrators เท่านั้น ถ้ามีผู้ใช้อื่นมีสิทธิ์อยู่ sshd จะไม่ยอมอ่านไฟล์และกลับไปถามรหัสผ่านโดยไม่แจ้งเหตุผลบนหน้าจอ บน Windows ภาษาอื่นที่ชื่อกลุ่มไม่ใช่ภาษาอังกฤษ ให้ใช้ SID แทน คือ *S-1-5-32-544:F

บัญชีผู้ใช้ทั่วไป

ผู้ใช้ที่ไม่ได้อยู่ในกลุ่ม Administrators ใช้ไฟล์ C:\Users\ชื่อผู้ใช้\.ssh\authorized_keys ให้สร้างโฟลเดอร์ .ssh ในโปรไฟล์ของผู้ใช้นั้นแล้ววางคีย์หนึ่งบรรทัดต่อหนึ่งคีย์ จากนั้นทดสอบจากเครื่องลูกข่าย

ssh -i ~/.ssh/id_ed25519 [email protected]

ถ้าตั้งถูกต้อง ระบบจะถามเฉพาะ passphrase ของคีย์ ไม่ถามรหัสผ่านของ Windows

ขั้นตอนที่ 6: ปิดล็อกอินด้วยรหัสผ่านและจำกัดผู้ใช้

เมื่อทุกคนที่ต้องใช้ล็อกอินด้วยคีย์ได้แล้ว ให้ปิดการล็อกอินด้วยรหัสผ่านใน OpenSSH Server เปิดไฟล์คอนฟิกด้วย notepad C:\ProgramData\ssh\sshd_config แล้วเพิ่มบรรทัดเหล่านี้ ไว้เหนือ บล็อก Match Group administrators เพราะค่าที่อยู่ใต้ Match จะมีผลเฉพาะบัญชีที่ตรงเงื่อนไขเท่านั้น

PubkeyAuthentication yes
PasswordAuthentication no
AllowGroups administrators corp\sshusers

ชื่อผู้ใช้และกลุ่มใน AllowGroups ต้องเป็นตัวพิมพ์เล็กทั้งหมด กลุ่มโดเมนใช้รูปแบบ โดเมน\ชื่อกลุ่ม จากนั้นรีสตาร์ตบริการ

Restart-Service sshd

อย่าปิดหน้าต่างที่เชื่อมต่ออยู่ ให้เปิดหน้าต่างใหม่แล้วทดสอบล็อกอินด้วยคีย์ก่อน ถ้าเข้าไม่ได้ ยังแก้ค่ากลับได้จาก session เดิมหรือผ่าน Remote Desktop

ตรวจสอบว่า OpenSSH Server ทำงานถูกต้อง

ทุกการล็อกอินถูกบันทึกไว้ใน Event Viewer › Applications and Services Logs › OpenSSH › Operational ดูจาก PowerShell ได้ด้วยคำสั่งนี้

Get-WinEvent -LogName OpenSSH/Operational -MaxEvents 10 | Format-Table TimeCreated, Message -Wrap

รายการที่ขึ้นต้นด้วย Accepted publickey for แปลว่าล็อกอินด้วยคีย์สำเร็จ ถ้าเห็น Failed password จาก IP แปลกจำนวนมาก แปลว่ากฎไฟร์วอลล์ยังเปิดกว้างเกินไป

ปัญหาที่พบบ่อยเกี่ยวกับ OpenSSH Server

ใส่คีย์แล้วแต่ระบบยังถามรหัสผ่านทุกครั้ง ต้องตรวจอะไร?

สาเหตุเกือบทั้งหมดมาจากสามเรื่อง บัญชีอยู่ในกลุ่ม Administrators แต่วางคีย์ไว้ในโปรไฟล์ผู้ใช้แทนไฟล์ administrators_authorized_keys สิทธิ์ของไฟล์มีผู้อื่นนอกจาก SYSTEM และ Administrators หรือไฟล์ถูกบันทึกเป็น UTF-16 จากคำสั่ง echo ... > ไฟล์ ของ Windows PowerShell 5.1 ให้เขียนไฟล์ใหม่ด้วย Add-Content แล้วรัน icacls ตามขั้นตอนที่ 5

Add-WindowsCapability ล้มเหลวด้วยรหัส 0x800f0954 แก้อย่างไร?

มักเกิดกับเครื่องที่รับอัปเดตจาก WSUS ทำให้ดึงแพ็กเกจ Optional Feature จาก Windows Update ไม่ได้ เปิดนโยบาย Specify settings for optional component installation and component repair ที่ Computer Configuration › Administrative Templates › System แล้วเลือกให้ดาวน์โหลดจาก Windows Update โดยตรง จากนั้นรันคำสั่งติดตั้งอีกครั้ง

เชื่อมต่อแล้วขึ้น Connection timed out ทั้งที่ sshd ทำงานอยู่ เกิดจากอะไร?

แพ็กเก็ตถูกทิ้งก่อนถึงเครื่อง ตรวจว่า IP ของคุณอยู่ในรายการ RemoteAddress ของกฎ OpenSSH-Server-In-TCP และเปิดพอร์ต 22 ที่ไฟร์วอลล์ของคลาวด์แล้ว ทดสอบจากเครื่อง Windows ด้วย Test-NetConnection 203.0.113.10 -Port 22 ถ้า TcpTestSucceeded เป็น False ปัญหาอยู่ที่เครือข่าย ไม่ใช่ที่ sshd

ผู้ใช้โดเมนล็อกอินไม่ได้หลังเพิ่ม AllowGroups ทำไม?

OpenSSH บน Windows เทียบชื่อกลุ่มแบบตัวพิมพ์เล็กในรูปแบบ โดเมน\กลุ่ม ถ้าพิมพ์ชื่อเป็นตัวใหญ่หรือใช้ชื่อ FQDN กฎจะไม่ตรงและบัญชีถูกปฏิเสธ แก้เป็นตัวพิมพ์เล็กแล้วรีสตาร์ต sshd จากนั้นดูข้อความปฏิเสธใน log OpenSSH/Operational เพื่อยืนยัน

เปิด SSH แล้วควรปิด Remote Desktop เลยหรือไม่?

ไม่จำเป็นต้องปิด แต่ควรจำกัด RDP ให้เข้าได้เฉพาะ IP ที่ไว้ใจเช่นเดียวกัน และเก็บไว้เป็นช่องทางสำรองเมื่อตั้งค่า SSH ผิด หากต้องเปิด RDP ต่อ ควรเปิด Account Lockout Policy เพื่อป้องกันการเดารหัสผ่านด้วย

ถ้าต้องการให้ช่วยวางระบบเข้าถึงเซิร์ฟเวอร์อย่างปลอดภัย หรือตั้ง OpenSSH Server ให้หลายเครื่องพร้อมกัน ติดต่อทีมงาน THAI DATA CLOUD ได้ทุกเมื่อ อ่านรายละเอียดเพิ่มเติมจาก เอกสาร OpenSSH for Windows ของ Microsoft Learn และ การใช้คีย์กับ OpenSSH บน Windows

สรุปขั้นตอน OpenSSH Server

ทบทวน OpenSSH Server ทั้งหมดตามลำดับ ก่อนนำไปใช้กับระบบจริง

1. ติดตั้งหรือเปิดใช้ OpenSSH Server
2. เริ่มบริการ sshd และจำกัด IP ที่ไฟร์วอลล์ (OpenSSH Server)
3. ตั้ง PowerShell เป็นเชลล์เริ่มต้น
4. ทดสอบล็อกอินด้วยรหัสผ่าน
5. ตั้งค่าล็อกอินด้วยคีย์
6. ปิดล็อกอินด้วยรหัสผ่านและจำกัดผู้ใช้

เมื่อทำครบทุกข้อแล้ว OpenSSH Server จะพร้อมใช้งาน หากผลลัพธ์ไม่เป็นไปตามที่คาด ให้ย้อนกลับไปดูหัวข้อปัญหาที่พบบ่อยด้านบน ซึ่งรวบรวมกรณีที่พบจริงจากการใช้งาน OpenSSH Server ไว้แล้ว

อ่านเพิ่มเติมเกี่ยวกับ OpenSSH Server

• เอกสารทางการของ Microsoft Learn
• สร้างผู้ใช้ใหม่สำหรับ Remote Desktop บน Windows Server
• คู่มือการใช้งานทั้งหมดของ THAI DATA CLOUD