Windows Server 2022/2025 OpenSSH 服务配置：5 步完成防火墙与自启动

在当今的IT运维环境中，远程管理已成为日常工作的核心部分。对于Windows Server管理员而言，OpenSSH提供了一种安全、高效的远程连接方式，特别是在需要频繁执行命令行操作的场景中。本文将深入探讨如何在Windows Server 2022/2025环境中配置OpenSSH服务，重点解决防火墙规则设置和服务自启动这两个关键环节。

1. OpenSSH服务安装与验证

Windows Server 2025已经默认安装了OpenSSH组件，但对于Windows Server 2022，我们可能需要手动安装。以下是完整的安装验证流程：

# 检查OpenSSH组件安装状态 Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH*'

如果输出显示"NotPresent"，则需要执行安装命令：

# 安装OpenSSH服务器组件 Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

安装完成后，我们可以通过以下命令验证服务状态：

# 检查sshd服务状态 Get-Service sshd | Select-Object Name, Status, StartType

注意：在Windows Server环境中，建议始终使用管理员权限运行PowerShell进行这些操作。如果遇到执行策略限制，可临时设置为RemoteSigned：Set-ExecutionPolicy RemoteSigned -Scope Process

2. 防火墙规则配置详解

正确的防火墙配置是确保SSH连接可用的关键。Windows Server通常启用了严格的防火墙策略，我们需要专门为SSH服务创建规则。

2.1 检查现有防火墙规则

首先，我们应检查是否已存在相关规则：

Get-NetFirewallRule -Name *ssh* -ErrorAction SilentlyContinue | Format-Table Name, DisplayName, Enabled, Direction, Action

2.2 创建入站规则

如果不存在适当规则，我们需要创建允许TCP 22端口入站连接的规则：

$firewallParams = @{ Name = 'OpenSSH-Server-In-TCP' DisplayName = 'OpenSSH Server (sshd)' Description = '允许SSH连接通过TCP端口22' Enabled = $true Direction = 'Inbound' Protocol = 'TCP' Action = 'Allow' LocalPort = 22 Profile = 'Domain,Private,Public' } New-NetFirewallRule @firewallParams

2.3 防火墙规则验证

创建后，应验证规则是否生效：

Test-NetConnection -ComputerName localhost -Port 22

下表总结了关键防火墙参数：

3. 服务自启动配置

为确保服务器重启后SSH服务自动恢复，我们需要正确配置服务启动类型。

3.1 设置自动启动

Set-Service -Name sshd -StartupType 'Automatic'

3.2 立即启动服务

Start-Service sshd

3.3 验证服务状态

$serviceStatus = Get-Service sshd if ($serviceStatus.Status -ne 'Running') { Write-Warning "SSH服务未正常运行，当前状态: $($serviceStatus.Status)" # 尝试重新启动 Restart-Service sshd } else { Write-Output "SSH服务正在运行，启动类型: $($serviceStatus.StartType)" }

提示：如果服务启动失败，可以检查事件查看器中的系统日志，过滤事件源为"OpenSSH"的条目，这能帮助诊断问题原因。

4. 高级配置与优化

基础配置完成后，我们可以进行一些优化设置以提升安全性和可用性。

4.1 修改默认端口（可选）

为增强安全性，可以考虑修改默认SSH端口：

# 备份原始配置文件 Copy-Item -Path "$env:ProgramData\ssh\sshd_config" -Destination "$env:ProgramData\ssh\sshd_config.bak" # 修改端口设置 (Get-Content "$env:ProgramData\ssh\sshd_config") -replace '#Port 22', 'Port 2222' | Set-Content "$env:ProgramData\ssh\sshd_config" # 更新防火墙规则 Set-NetFirewallRule -Name 'OpenSSH-Server-In-TCP' -LocalPort 2222

4.2 配置密钥认证

相比密码认证，密钥认证更安全：

# 启用公钥认证 (Get-Content "$env:ProgramData\ssh\sshd_config") -replace '#PubkeyAuthentication yes', 'PubkeyAuthentication yes' | Set-Content "$env:ProgramData\ssh\sshd_config" # 禁用密码认证（可选） (Get-Content "$env:ProgramData\ssh\sshd_config") -replace '#PasswordAuthentication yes', 'PasswordAuthentication no' | Set-Content "$env:ProgramData\ssh\sshd_config"

4.3 配置用户访问限制

可以限制允许通过SSH登录的用户：

# 允许特定用户组 "AllowGroups ssh-users" | Out-File -FilePath "$env:ProgramData\ssh\sshd_config" -Append # 创建ssh-users组并添加成员 New-LocalGroup -Name 'ssh-users' -Description '允许SSH访问的用户' Add-LocalGroupMember -Group 'ssh-users' -Member 'Administrator'

5. 完整验证与故障排除

完成所有配置后，我们需要进行全面验证。

5.1 本地连接测试

ssh $env:USERNAME@localhost

5.2 远程连接测试

从另一台机器测试连接：

# Linux/macOS终端 ssh username@server_ip -p 22

5.3 常见问题排查

遇到连接问题时，可以检查以下方面：

1. 服务状态：确认sshd服务正在运行
2. 端口监听：netstat -ano | findstr :22
3. 防火墙日志：Get-WinEvent -FilterHashtable @{LogName='Security';ID=5152} | Where-Object {$_.Message -like '*OpenSSH*'}
4. SSH服务日志：Get-WinEvent -FilterHashtable @{LogName='Application';ProviderName='OpenSSH'} | Format-List

5.4 配置检查清单

最后，使用以下清单确认所有关键配置已完成：

• [ ] OpenSSH服务器组件已安装
• [ ] 防火墙规则已配置并启用
• [ ] sshd服务设置为自动启动
• [ ] 服务当前正在运行
• [ ] 可以从本地连接
• [ ] 可以从远程连接
• [ ] 认证方式符合安全要求

通过以上步骤，我们建立了一个稳定、安全的OpenSSH服务环境，为Windows Server的远程管理提供了可靠的基础设施。在实际运维中，建议定期检查服务状态和日志，确保服务的持续可用性。