Provided by: manpages-hu_20010119-6_all bug

NÉV

       ssh - biztonságos shell kliens (távoli gépre való belépésre szolgáló program)

ÁTTEKINTÉS

       ssh [-l login_name] hostname [parancs]

       ssh  [-a]  [-c  idea|blowfish|des|3des|arcfour|none]  [-e escape_char]  [-i identity_fájl]
       [-l login_name] [-n] [-k] [-V] [-o opciók] [-p port] [-q] [-P] [-t] [-v]  [-x]  [-C]  [-g]
       [-L port:host:hostport] [-R port:host:hostport] hostname [parancs]

LEÍRÁS

       Az  ssh  (Secure  Shell)  egy program, ami arra való, hogy távoli gépekre jelentkezzünk be
       és/vagy parancsokat hajtsunk végre  távoli  gépeken.   Célja  az,  hogy  helyettesítse  az
       rlogin-t és az rsh-t, és biztonságos (titkosított) kapcsolatot biztosítson két gép között.
       X11 kapcsolatokat és tetszőleges TCP/IP portokat szintén lehet  a  biztonságos  csatornára
       továbbítani (forwardolni).

       Az  ssh  kapcsolódik és belép a megadott hostname gépre.  A felhasználó több módszerrel is
       igazolhatja azonosságát.

       Előszor is, ha az a gép, amelyről a felhasználó belép fel van sorolva az  /etc/hosts.equiv
       -ban  vagy  az  /etc/ssh/shosts.equiv  -ban  a  távoli  gépen,  és  a  felhasználói  nevek
       megegyeznek mindkét oldalon, akkor rögtön beengedik.   Másodszor,  ha  a  .rhosts  vagy  a
       .shosts fájl ott van a felhasználó home könyvtárában a távoli gépen és tartalmaz egy sort,
       amely a  kliens  gép  nevét  tartalmazza,  a  felhasználó  beléphet.  Az  authentikációnak
       (authentication  -  hitelesítés,  amikor bizonyítod, hogy az vagy, akinek mondod magad - a
       ford.  megjegyzése)  ezt  a  formáját  általában  nem  engedélyezi  a  szerver,  mert  nem
       biztonságos.

       A második (és elsődleges) lehetőség az authentikációra az rhosts vagy hosts.equiv módszer,
       RSA-alapú gép-authentikációval kombinálva.  Ez azt jelenti,  hogy  a  belépés  csak  akkor
       engedélyezett,  ha  az  .rhosts,  .shosts,  /etc/hosts.equiv,  vagy /etc/ssh/shosts.equiv,
       megengedi,  és  ezen  kívül   a   kliens   gép   kulcsát   ellenőrizni   lehet   (lásd   a
       $HOME/.ssh/known_hosts   és   /etc/ssh/ssh_known_hosts   -t  a  FÁJLOK  részben).   Ez  az
       authentikációs módszer kizárja az "IP spoofing", "DNS spoofing" és  a  "routing  spoofing"
       által    kihasznált    biztonsági   lyukakat.    [Megjegyzés   a   rendszergazdáknak:   az
       /etc/hosts.equiv,  .rhosts,  és  a  rlogin/rsh  protokollok   általában   eredendően   nem
       biztonságosak és le kell tiltani őket, ha a biztonság fontos szempont.]

       Harmadik  authentikációs  módszerként  az  ssh  támogatja az RSA alapú authentikációt.  Az
       elrendezés a nyilvános kulcsú kriptográfián alapul: vannak olyan  titkosítási  rendszerek,
       ahol  a  titkosítás  és  visszafejtés  különböző  kulcsok  használatával  történik,  és  a
       visszafejtéshez  használt  kulcsot   nem   lehet   a   titkosításhoz   használt   kulcsból
       kikövetkeztetni.  Az  RSA  egy  ilyen rendszer.  Az elgondolás az, hogy minden felhasználó
       készít egy nyilvános/privát kulcspárt authentikációs célokra.  A szerver tudja a nyilvános
       kulcsot, de a privát kulcsot csak a felhasználó ismeri.  A $HOME/.ssh/authorized_keys fájl
       tartalmazza azokat a nyilvános kulcsokat, amelyekkel be lehet lépni.  Amikor a felhasználó
       be  akar  lépni,  az  ssh  program  megmondja  a szervernek, hogy  melyik kulcspárt akarja
       authentikációra felhasználni.  A szerver ellenőrzi, hogy a kulcs engedélyezve van-e, és ha
       igen,  akkor  úgy  teszi  próbára   a  felhasználót  (pontosabban  az általa futtatott ssh
       programot), hogy egy véletlen számot küld el neki, amit a felhasználó nyilvános  kulcsával
       titkosít.   Ezt  csak a megfelelő privát kulcs segítségével lehet visszafejteni.  Ezután a
       felhasználó kliense visszafejti a privát kulcsal, így bebizonyítja, hogy ismeri a a privát
       kulcsot anélkül, hogy azt elküldené a szervernek.

       Az  ssh  automatikusan  alkalmazza az RSA authentikációs protokollt. A felhasználó az ssh-
       keygen(1) futattásával automatikusan létrehozza az ő  RSA  kulcspárját.   Ezzel  a  privát
       kulcs  a  .ssh/identity  -ba  kerül,  míg  a  nyilvános  kulcs  a .ssh/identity.pub -ba, a
       felhasználó home könyvtárában.  A  felhasználónak  ezután  a  saját  identity.pub  -ját  a
       .ssh/authorized_keys   -ba   kell   másolnia  a  home  könyvtárában  a  távoli  gépen  (az
       authorized_keys fájl megfelelt a hagyományos .rhosts fájlnak,  és  soronként  egy  kulcsot
       tartalmaz,  bár  a sorok nagyon hosszúak lehetnek). Ezután a felhasználó beléphet, anélkül
       hogy a jelszavát megadná. Az  RSA  authentikáció  sokkal  biztonságosabb  mint  az  rhosts
       authentikáció.

       Az  RSA  authentikáció  egy  authentikációs  közvetítő  (agent) segítségével használható a
       legkényelmesebben. Lásd az ssh-agent(1) -et további információkért.

       Egy negyedik authentikációs módszerként, az ssh támogatja a TIS  authentikációs  szerveren
       keresztüli  authentikációt.   Az  elképzelés az, hogy az ssh megkéri a TIS authsrv(8) -et,
       hogy  authentikálja  a  felhasználót.  Előfordulhat,  hogy  a  felhasználói  nevek  a  TIS
       adatbázisban  nem  ugyanazok  mint a lokákis gépen, például ha a felhasználó egy smartcard
       -al vagy  Digipass-al  authentikálja  magát.  Ebben  az  esetben  a  felhasználói  név  az
       adatbázisban   általában   csak  az  authentikációs  eszköz  sorozatszámaként  ismert.  Az
       /etc/ssh/sshd_tis.map fájl tartalmazza a lokális felhasználók  ás  a  neki  megfelelő  TIS
       adatbázis-beli  nevek  közötti  leképezést.   Ha ez a fájl nem létezik, vagy a felhasználó
       nincs benne, akkor az ssh feltételezi, hogy a felhasználói név és a TIS adatbázis-beli név
       ugyanaz.

       Ha  a  többi  authentikációs  módszer  meghiúsul,  az  ssh jelszót kér a felhasználótól. A
       jelszót ellenőrzés céljából elküldi a távoli  gépre,  azonban  mivel  minden  kommunikáció
       titkosítva van, a jelszót nem olvashatja el valaki, aki a hálózaton hallgatózik.

       Amikor  a  felhasználó  azonosságát elfogadja a szerver, akkor vagy végrehajtja a megadott
       parancsot, vagy belép a gépbe, és a felhasználónak egy szokásos shell-t ad a távoli gépen.
       Minden,  a  távoli  parancsal  vagy shell-el történő kommunikáció automatikusan titkosítva
       lesz.

       Ha egy pszeudo-terminál volt allokálva (normális login session), a felhasználó kiléphet  a
       "~." parancs segítségével  és felfüggesztheti az ssh -t "~^Z" -vel.

       Az  összes  forwardolt  kapcsolatot  ki  lehet  listázni  egy  "~#" -el, és ha a session a
       forwardolt X11 vagy TCP/IP kapcsolatok végetérésére várva blokkol, akkor "~&" -el háttérbe
       lehet  küldeni  (Ezt  nem  szabad  addig hasznélni, amíg a felhasználó shellje aktív, mert
       akkor a shell "lógni" fog).  Az összes escape-szekvenciát "~?" -el lehet kilistázni.

       Egyetlen tilde (~) karaktert "~~" -ként lehet  elküldeni  (vagy   úgy,  hogy  a  tildét  a
       fentiekben  nem  említett  karakter követi).  Az escape karakter csak akkor van különleges
       karakterként interpretálva, ha újsort követ. Az escape karaktert meg lehet  változtatni  a
       konfigurációs fájlokban vagy a parancssorban.

       Ha  az  ssh  nem  foglal le egy pszeudo terminált, akkor a session átlátszó lesz, és lehet
       bináris adatok megbízható átvitelére használni.  A legtöbb rendszerben az escape  karakter
       ``none''  -ra (semmire) való állítása a sessiont átlátszóvá teszi akkor is, ha egy tty van
       használatban.

       Egy session akkor ér véget, amikor a parancs végrehajtása vagy  a  shell  a  távoli  gépen
       véget ér, és az összes X11 és TCP/IP kapcsolat lezárult.  Az ssh a távoli program kilépési
       értékével (exit status) lép ki.

       Ha a felhasználó X11-et használ (a DISPLAY környezeti változó  be  van  állítva),  az  X11
       displayhez  való  kapcsolat  automatikusan  forwardolódik  a távoli géphez, olymódon, hogy
       minden a shellből (vagy parancsból) indított X11 program a titkosított csatornán  jön  át,
       az  igazi  X szerverrel való kapcsolat pedig a lokális gépről jön létre.  A felhasználónak
       nem  kell  kézzel  beállítania  a  DISPLAY  -t.   Az  X11  kapcsolatok  forwardolásást   a
       parancssoron vagy a konfigurációs fájlokban lehet beállítani.

       Az ssh által beállított DISPLAY a szerver gépre mutat, de zérónál nagyobb display számmal.
       Ez azért van, mert az ssh egy "proxy" X szervert állít fel a szerver gépen  a  kapcsolatok
       titkosított csatornán való továbbításához.

       Az  ssh  automatikusan  beállítja  a  szerveren  az  Xauthority  adatokat  is.   Ehhez egy
       véletlenszerű authorizációs cookie-t generál, amit a szerveren  tárol  az  Xauthority-ban,
       ellenőrzi, hogy az összes forwardolt kapcsolat ezzel a cookie-val jön-e, és kicseréli őket
       az igazi cookie-ra, amikor a kapcsolat megnyílik.  Az igazi authentikációs  cookie-t  soha
       nem küldi el a szerver gépre, és semmilyen cookie-t nem küld el titkosítás nélkül.

       Ha  egy  felhasználó  egy  authentikációs közvetítőt (agent) használ, akkor a közvetítőhöz
       való kapcsolatot automatikusan forwardolja a távoli gépre,  hacsak  ez  nincs  letiltva  a
       parancssoron vagy egy konfigurációs fájlban.

       Tetszőleges   TCP/IP   kapcsolatoknak   a   biztonságos  csatornán  való  forwardolását  a
       parancssoron vagy egy konfigurációs fájlban lehet megadni.  A  TCP/IP  forwardolásnak  egy
       lehetséges  alkalmazása  egy  elektronikus  pénztárcához való biztonságos kapcsolódás; egy
       másik a tűzfalakon való átjutás.

       Az ssh automatikusan fenntart és ellenőriz egy adatbázist,  amely  tartalmazza  az  összes
       olyan  gép  RSA-alapú  azonosítását,  amellyel  valaha is használva volt.  Az adatbázis az
       .ssh/known_hosts -ban van, a felhasználó home könyvtárában.  Ezen kívül az ismert  gépeket
       az  /etc/ssh/ssh_known_hosts -ban is leellenőrzi.  Minden új gép automatikusan hozzáadódik
       a felhasználó fájljához.  Ha egy gép nyilvános kulcsa megváltozik, az ssh figyelmeztet  és
       megtiltja  a  jelszóval  való  belépést,  nehogy a felhasználó jelszavát egy "trójai faló"
       lopja el. Ennek a mechanizmusnak egy másik célja a "középen a  támadó"  (man-in-the-middle
       attack)    megakadályozása,    amely    egyébként    meghiúsítaná    a   titkosítást.    A
       StrictHostKeyChecking  opciót  (lásd  az   alábbiakban)   lehet   arra   használni,   hogy
       megakadályozzuk  az  olyan  gépre  való  belépést,  amelyeknek  a  kulcsa  nem ismert vagy
       megváltozott.

OPCÍÓK

       -a     Megtiltja az authentikációs közvetítő  (agent)  forwardolását.   Ezt  egy  gépektől
              függő módon a konfigurációs fájlban is meg lehet adni.

       -c idea|des|3des|blowfish|arcfour|none
              A   session  titkosításának  a  módját  adja  meg.   Az  idea  az  alapértelmezett.
              Biztonságosnak  tartják.  A  des  az  adattitkosítási  szabvány  (data   encryption
              standard),  de  feltörhető  a  kormányzatok,  nagyobb  vállalatok  és  a  fontosabb
              bűnüldoző szervek által. A 3des (triple-des) egy titkosítás-visszafejtés-titkosítás
              három   különboző   kulcsal.   Valószínűleg  biztonságosabb  mint  a  DES.   Ez  az
              alapértelmezett, ha valamelyik oldal nem támogatja az  IDEA-t.   A  blowfish  Bruce
              Schneier  által  kitalált  titkosítási algoritmus, ami 128 bites kulcsokat használ.
              Az arcfour egy 1995-ben az Usenet News-ben publikált algoritmus. Úgy tartják,  hogy
              ez  ugyanaz  mint az RSA Data Security által használt RC4 titkosítás (az RC4 az RSA
              Data  Security  bejegyzett  védjegye).  Ez  a   jelenleg   támogatott   leggyorsabb
              algoritmus.   none  esetén  egyáltalán  nincs  titkosítás  - ezt csak hibakeresésre
              szánták, és a kapcsolat nem biztonságos.

       -e ch|^ch|none
              Beállítja  a  pty-vel   rendelkező   session-ök   számára   az   escape   karaktert
              (alapértelmezett:  ~).   Ez  csak  a  sor elején számít escape karakternek.  A pont
              által követett escape karakter bezárja a kapcsolatot,  a  control-Z  által  követve
              felfüggeszti  a  kapcsolatot,  és  önmaga  által követve egyszer küldi el az escape
              karaktert.  A karakternek a ´none´ -ra való  állítása  letilt  minden  escape-t  és
              teljesen átlászóvá teszi a session-t.

       -f     A  háttérbe  teszi  az  ssh  -t  az  authentikáció  befejezése  és  a forwardolások
              létrehozása után.  Ez hasznos ha az ssh jelszót vagy jelmondatot (passphrase)  kér,
              de a felhasználó a háttérben akarja futtatni. Szkriptekben is hasznos lehet.  Ez az
              opció a -n opciót is  magában  foglalja.   A  távoli  gépeken  levő  X11  programok
              elindításának az ajánlott módja valami "ssh -f gép xterm" szerű.

       -i identity_fájl
              Megadja,   hogy   melyik   fájlból   legyen   kiolvasva   a  privát  kulcs  az  RSA
              authentikációhoz.  Az  alapértelmezett   a   .ssh/identity   a   felhasználó   home
              könyvtárában.   Identity fájlokat gépektől függő módon a konfigurációs fájlokban is
              meg lehet adni.  Lehetséges több -i opciót is megadni (és a konfigurációs fájlokban
              is lehet több privát kulcs).

       -k     Letiltja  a  kerberos ticket-ek forwardolását.  Ezt szintén meg lehet adni gépektől
              függő módon a konfigurációs fájlokban is.

       -l login_name
              Meghatározza, hogy milyen felhasználói néven lépjen be a távoli gépre.  Ezt szintén
              meg lehet adni gépektől függő módon a konfigurációs fájlokban is.

       -n     A  /dev/null  -ból  irányítja  át  a stdin-t (vagyis gyakorlatilag megakadályozza a
              stdin-ról való olvasást) Ezt használni kell, amikor az ssh a  háttérben  fut.   Egy
              szokásos  trükk  ezt  a  távoli  gépen  levő  X11  programok futtatására használni.
              Például  "ssh  -n  shadows.cs.hut.fi   emacs   &"   egy   emacs-ot   indít   el   a
              shadows.cs.hut.fi  -n, és a X11 kapcsolat automatikusan forwardolódik a titkosított
              csatornán.  Az ssh program a háttérbe kerül.  (Ez  nem  működik,  ha  az  ssh  -nak
              jelszóra vagy jelmondatra van szüksége; erre lásd az -f opciót.)

       -o 'opciók'
              Ezt  arra  lehet  használni,  hogy  a  konfigurációs fájlok formátumában adjunk meg
              opciókat. Ez olyan opciók  esetén  hasznos,  amelyeknek  nincs  külön  parancssoron
              használható  flag-jük.  Az  így  megadott  opcióknak  ugyanaz a formátumuk mint egy
              konfigurációs fájl-beli sornak.

       -p port
              Megadja, hogy a távoli gép melyik portjára csatlakozzunk.  Ezt  szintén  meg  lehet
              adni gépektől függő módon a konfigurációs fájlokban is.

       -q     Csendes  (quiet)  üzemmód.  Ilyenkor a figyelmeztetések és a diagnosztikai üzenetek
              nem íródnak ki, csak a végzetes hibák.

       -P     Nem privilégizált portot használ. Ilyenkor nem tudod az  rhosts  vagy  a  rsarhosts
              authentikációt használni, de át tud menni olyan tűzfalakon, amelyek nem engednek át
              privilégizált forrás-portról induló csomagokat.

       -t     Kényszeríti  a  pseudo-tty   lefoglalást.   Ezt   például   távoli   gépeken   futó
              képernyő-alapú  programok  futtatására  lehet  használni  (például  amelyek menüket
              használnak).

       -v     Bőbeszédő  (verbose)  üzemmód.  Ilyenkor  az  ssh  debugging  üzeneteket  ír  ki  a
              működéséről.  Ez  a  kapcsolatfelépítéssel,  authentikációval  és a konfigurációval
              kapcsolatos problémák hibakeresésénél hasznos.

       -V     Csak kiírja a verziószámot és kilép.

       -g     Megengedi, hogy  távoli  gépek  lokális  port-forwardoló  portokra  kapcsolódjanak.
              Alapértelmezés  szerint  csak  a  localhostról  lehet  a  lokálisan lekötött (bind)
              portokra csatlakozni.

       -x     Letiltja az X11 forwardolást.  Ezt szintén meg lehet adni gépektől  függő  módon  a
              konfigurációs fájlokban is.

       -C     Az  összes  adat  (beleértve  a stdin-t, stdout-ot, stderr-t és a forwardolt X11 és
              TCP/IP kapcsolatokat) tömörítve lesz. A tömörítési algoritmus ugyanaz mint  a  gzip
              által  használt,  és  a  "szintjét"  a CompressionLevel opcióval (lásd alább) lehet
              beállítani.  A tömörítés hasznos modemvonalakon és egyéb lassú kapcsolatok  esetén,
              de a gyors hálózatok esetén csak lassítani fogja a dolgokat.  Ezt szintén meg lehet
              adni gépektől függő módon a konfigurációs fájlokban  is,  lásd  a  Compress  opciót
              alább.

       -L port:host:hostport
              Forwardol  egy  adott  portot  a  lokális  (kliens) gépről egy távoli gépre. Ez úgy
              működik, hogy lefoglal egy socket-et, hogy a port -on várakozzon (listen) a lokális
              oldalon,  és  valahányszor  egy  kapcsolat  jön  erre  a  portra, azt a biztonságos
              csatornán keresztül forwardolja, és a host:hostport -re a távoli gépről lép be.   A
              port-forwardolást  a  konfigurációs  fájlban  is  specifikálni  lehet.  Csak a root
              forwardolhat privilégizált portokat.

       -R port:host:hostport
              Forwardol egy adott portot a távoli (szerver) gépről  egy  lokális  gépre.  Ez  úgy
              működik,  hogy lefoglal egy socket-et, hogy a port -on várakozzon (listen) a távoli
              oldalon, és valahányszor egy  kapcsolat  jön  erre  a  portra,  azt  a  biztonságos
              csatornán keresztül forwardolja, és a host:hostport -re a lokális gépről lép be.  A
              port-forwardolást a konfigurációs fájlban is specifikálni lehet.   A  távoli  gépen
              rootként kell belépnünk, ha privilégizált portokat akarunk forwardolni.

KONFIGURÁCIÓS FÁJLOK

       Az  ssh  a  következő  forrásokból  veszi  a  konfigurácós  adatait  (ebben a sorrendben):
       parancssorbeli  opciók,  felhasználó  konfigurációs  fájlai  ($HOME/.ssh/config),   és   a
       renszerszintű  konfigurációs  fájl  (/etc/ssh/ssh_config).  Minden paraméter az így kapott
       első értéket kapja.  A konfigurációs fájlok "Host" specifikációk által behatárolt részeket
       tartalmaznak,  és  egy adott rész csak azokra a gépekre vonatkozik, amelyek illeszkednek a
       specifikációban megadott mintára. A parancssoron megadott gépnév kerül illesztésre.

       Mivel minden paraméter az első  értéket  kapja,  az  inkább  egy  adott  gépre  specifikus
       deklarációkat a fájl elején érdemes megadni, az általánosabb default-okat pedig a végén.

       A konfigurációs fájlnak a következő formátuma van:

              Az üres sorok és a ´#´ -el kezdődő sorok megjegyzések.

              Egyébként  pedig  egy  sor  formátuma  "kulcsszó  argumentumok"  vagy  "kulcsszó  =
              argumentumok". A lehetséges kulcsszavakat és a  jelentésüket  lásd  az  alábbiakban
              (megjegyzés:  a  konfigurációs  fájlokban  különbség  van  a  kisbetű és a nagybetű
              közott, de a kulcsszavaknál ez nem számít):

       Host   Az ezt követő deklarációkat korlátozza, hogy csak a kulcsszó után következő mintára
              illeszkedő  gépnevekre legyen érvényes (egészen a következő Host kulcsszóig). A ´*´
              és a ´?´ wildcard-ként használható a mintákban.  Ha a minta egyetlen ´*´ -ből  áll,
              akkor  az az összes gépre vonatkozó globális defaultot jelent.  A gépnév ilyenkor a
              parancssoron megadott hostname argumentum (vagyis  a  név  nincs  kanonikus  alakba
              hozva az illeszkedésvizsgálat előtt).

       BatchMode
              Ha  ez "yes" -re van állítva, akkor a jelszó/jelmondat megkérdezése letiltódik. Ezt
              akkor hasznos, ha szkriptekből vagy egyéb automatizált eszközökből hívod, és  nincs
              felhasználó, aki megadhatná a jelszót.  Az argumentum "yes" vagy "no" kell legyen.

       Cipher Meghatározza  a  session titkosításához használat módszert.  Jelenleg az idea, des,
              3des, blowfish, arcfour és none vannal  támogatva.   A  alapértelmezett  az  "idea"
              (vagy  a  "3des"  ha  az "idea"-t nem támogatja mindkét gép). A "none" esetén nincs
              titkosítás - ezt csak hibakeresésre szabad használni, mert ilyenkor a kapcsolat nem
              biztonságos.

       ClearAllForwardings
              Kitörli  az összes forwardolást, miután beolvasta az összes konfigurációs fájlt, és
              a  parancssort  is.  Ez  arra  jó,  hogy  a   konfigurációs   fájlokban   található
              forwardolásokat  letiltsd,  amikor  egy  második  kapcsolatot akarsz létrehozni egy
              olyan géppel, amelynek a konfigurációs fájlában a forwardolás be van  állítva.   Az
              scp  ezt  alapértelmezés  szerint  beállítja,  így  működni  fog még akkor is, ha a
              konfigurációs fájban forwardolások vannak beállítva.

       Compression
              Meghatározza hogy legyen-e tömörítés használva.  Az argumentum "yes" vagy "no" kell
              legyen.

       CompressionLevel
              Meghatározza  a tömörítés szintjét, ha a tömörítés engedélyezve van.  Az argumentum
              egy  1  (gyors)  és  9  (lassú,  de  a  legjobb)  közötti  szám  kell  legyen.   Az
              alapértelmezett  szint  6,  ami  jó  a legtöbb alkalmazás szempotjából.  Ezeknek az
              értékeknek a jelentése ugyanaz, mint a GNU GZIP esetén.

       ConnectionAttempts
              Meghatározza, hogy hányszor próbálkozzon (másodpercenként egyszer), mielőtt az rsh-
              val próbálkozna, vagy kilépne. Az argumentum egy egész szám kell legyen. Ez hasznos
              lehet szkriptekben, ha a kapcsolatfelvétel néha nem sikerül.

       EscapeChar
              Beállítja az escape karaktert (az  alapértelmezett:  ~).   Az  escape  karaktert  a
              parancssoron  is be lehet állítani.  Az argumentum egy betű által követett ´^´ kell
              legyen, vagy ``none'', hogy az  escape  karaktert  teljesen  letiltsuk  (és  így  a
              kapcsolatot átlátszóvá tegyük a bináris adatok számára)

       FallBackToRsh
              Meghatározza,  hogy ha az ssh kapcsolat nem sikerül "connection refused" hiba miatt
              (amit valószínüleg az okoz, hogy a másik gépen nem fut az  sshd  ),  akkor  az  rsh
              legyen-e  használva automatikusan helyette (egy megfelelő figyelmeztetés után, mely
              szerint a session nem lesz titkosítva).  Az argumentum "yes" vagy "no" kell legyen.

       ForwardAgent
              Meghatározza,  hogy  egy  authentikációs  közvetítővel  való  kapcsolat  (ha   van)
              forwardolva legyen-e a távoli gépre.  Az argumentum "yes" vagy "no" kell legyen.

       ForwardX11
              Meghatározza  ,  hogy  az  X11  kapcsolatok automatikusan át legyenek-e irányítva a
              biztonságos csatornára a DISPLAY beállításával egyidejűleg.   Az  argumentum  "yes"
              vagy "no" kell legyen.

       GatewayPorts
              Meghatározza,  hogy távoli gépek kapcsolódhatnak-e a lokálisan forwardolt portokra.
              Az argumentum "yes" vagy "no" kell legyen.

       GlobalKnownHostsFile
              Meghatározza, hogy a /etc/ssh/ssh_known_hosts helyett melyik fájl legyen használva.

       HostName
              Meghatátozza annak a gépnek az igazi nevét, amelyikre be akarunk  lépni.   Ez  arra
              jó,  hogy  rövidített neveket használjunk. A default a parancssoron megadott név. A
              numerikus IP címek szintén engedélyezve vannak (a parancssoron is,  és  a  HostName
              specifikációkban is).

       IdentityFile
              Meghatározza,  hogy  a  felhasználó RSA authentikációs kulcsa melyik fájlból legyen
              kiolvasva (az alapértelmezett az .ssh/identity a  felhasználó  home  könyvtárában).
              Ezenkívül  egy  esetleges  authentikációs  közvetítő  által megadott identitások is
              felhasználódnak.  A fájl neve tertalmazhatja a  tildét,  hogy  a  felhasználó  home
              könyvtárát  jelezze.  Több  identitás-fájlt  is  meg  lehet  adni  a  konfigurációs
              fájlokban, ilyenkor ezek az adott sorrendben lesznek kipróbálva.

       KeepAlive
              Meghatározza, hogy a rendszer küldjön-e  "maradj  élve"  (keepalive)  üzeneteket  a
              túloldalnak.  Ha  küld,  akkor  a  kapcsolat  megszünése,  vagy a gépek egyikének a
              meghalása megfelelően észlelődik.  Ugyanakkor ez azt is jelenti, hogy a kapcsolatok
              megszakadnak  akkor  is  ha a hálózat csak ideiglenesen nem működik, és van aki ezt
              idegesítőnek tartja.

              A alapértelmezett az hogy "yes" (küldjön ilyeneket), és a kliens észre fogja  venni
              ha  a  szerver  vagy  a  hálózat lehal. Ez fontos a scriptekben, és sok felhasználó
              szintén szereti.

              A keepalives-ek letiltásához ezt az értéket "no"-ra kell állítani mind  a  szerver,
              mind a kliens konfigurációs fájljaiban.

       KerberosAuthentication
              Meghatározza, hogy legyen-e Kerberos V5 authentikáció használva.

       KerberosTgtPassing
              Meghatározza, hogy legyen-e egy Kerberos V5 TGT a szervernek elküldve.

       LocalForward
              Azt  állítja  be,  hogy  egy  lokális  TCP/IP port forwardolva legyen a biztonságos
              csatornán keresztül a megadott gép  megadott  portjára.   Az  első  argumentum  egy
              portszám  kell  legyen, a második meg egy gép:port.  Egyszerre több forwardolást is
              be lehet állítani, és  további  forwardolásokat  lehet  a  parancssoron  hozzáadni.
              Privilégizált portokat csak a root forwadolhat.

       NumberOfPasswordPrompts

              Meghatározza,  hogy  az  ssh  hányszor kérje el a jelszót mielőtt feladná.  Mivel a
              szerver szintén limitálja a próbálkozások számát  (jelenleg  5  a  maximum),  ezért
              hatástalan ennél nagyobb értékre állítani.  Az alapértelmezett érték egy.

       PasswordAuthentication
              Meghatározza   legyen-e  jelszó-authentikáció  használva.  Az argumentum "yes" vagy
              "no" kell legyen.

       PasswordPromptHost
              Meghatározza, hogy benne legyen-e  a  távoli  gép  neve  a  jelszó  promptban.   Az
              argumentum "yes" vagy "no" kell legyen.

       PasswordPromptLogin
              Meghatározza,  hogy  benne  legyen-e  a  távoli  login  név a jelszó promptban.  Az
              argumentum "yes" vagy "no" kell legyen.

       Port   Meghatározza, hogy a távoli gépen milyen porton probálkozzon. A default 22.

       ProxyCommand
              Meghatározza, hogy milyen  parancs  segítségével  kapcsolódjunk  egy  szerverre.  A
              parancs-string  a sor végéig tart, a /bin/sh hajtja végre. A parancs-stringben a %h
              helyére a szerver gép neve kerül, %p helyére pedig a portszám.   A  parancs  szinte
              bármi  lehet, a stdin-ről kell olvasnia, és a stdout-re írnia. Végül egy valamilyen
              gépen futó sshd szerverre kell kapcsolódnia,  vagy  "sshd  -i"  -t  kell  futtatnia
              valahol.   A  gép-kulcs  kezelése  a szerver gép HostName-ja segítségével (aminak a
              defaultja a felhasználó által beírt név) történik.  (Megjegyzés: az  ssh  -t  lehet
              úgy  konfigurálni,  hogy  a  SOCKS rendszert támogassa: ehhez fordításkor a --with-
              socks4 vagy --with-socks5 opciókat kell megadni).

       RemoteForward
              Azt állítja be, hogy egy  távoli  TCP/IP  port  forwardolva  legyen  a  biztonságos
              csatornán  keresztül  a megadott lokális gép megadott portjára.  Az első argumentum
              egy portszám kell legyen, a második meg egy gép:port.  Egyszerre több  forwardolást
              is  be  lehet  állítani, és további forwardolásokat lehet a parancssoron hozzáadni.
              Privilégizált portokat csak a root forwadolhat.

       RhostsAuthentication
              Meghatározza, hogy az rhosts authentikáció ki legyen-e próbálva.  Megjegyzés: ez  a
              deklaráció  csak  a kliens viselkedését befolyásolja, és a biztonságra semmi hatása
              nincs.  Az rhosts  authentikációval  való  próbálkozás  letiltása  csökkentheti  az
              authentikációs  időt  lassú  kapcsolatok  esetén,  ha az rhosts authentikáció nincs
              használatban. A legtöbb szerver nem engedélyezi az az rhosts  authentikációt,  mert
              az  nem  biztonságos  (lásd  RhostsRSAAuthentication) Az argumentum "yes" vagy "no"
              kell legyen.

       RhostsRSAAuthentication
              Meghatározza, hogy az RSA gép-authentikációval kombinált  rhosts  authentikáció  ki
              legyen-e  próbálva.  Ez az elsődleges authentikációs módszer a legtöbb esetben.  Az
              argumentum "yes" vagy "no" kell legyen.

       RSAAuthentication
              Meghatározza, hogy az RSA authentikáció ki legyen-e próbálva.  Az argumentum  "yes"
              vagy  "no"  kell  legyen.  Az RSA authentikáció csak akkor lesz megpróbálva, ha egy
              identity fájl létezik, vagy ha egy authentikációs közvetítő fut.

       StrictHostKeyChecking
              Ha ez a flag "yes" - re van állítva, akkor az ssh soha nem fogja a gép-kulcsokat  a
              $HOME/.ssh/known_hosts  fájlhoz  automatikusan hozzáadni, és megtagadja, hogy olyan
              gépekre lépjen be, amelyeknek a kulcsa megváltozott.  Ez maximális védelmet nyújt a
              trójai  faló  típusú  támadások  ellen.   Ugyanakkor eléggé idegesítő tud lenni, ha
              nincs egy jó /etc/ssh/ssh_known_hosts fájlod installálva  és  gyakran  próbálsz  új
              gépekre  kapcsolódni.   Gyakorlatilag  ez az opció arra kényszeríti a felhasználót,
              hogy kézzel adja hozzá az összes új gépet.   Általában  "ask"-ra  állítják  ezt  az
              opciót,  és  az  új  gépek  automatikusan hozzáadódnak az ismert gépeket tartalmazó
              fájlhoz, miután a felhasználó megerősítette, hogy valóban ezt akarja. Ha ez "no"-ra
              van  állítva,  akkor  az  új  gépek  automatikusan  adódnak hozzá az ismert gépeket
              tartalmazó  fájlhoz.  Az  ismert  gépek  kulcsai   minden   esetben   automatikusan
              ellenőrizve lesznek.  Az argumentum "yes", "no" vagy "ask" kell legyen.

       TISAuthentication
              Meghatározza,  hogy  megpróbálkozzunk-e  TIS authentikációval.  Az argumentum "yes"
              vagy "no" kell legyen.

       UsePrivilegedPort
              Meghatározza, hogy használjunk-e privilégizált portokat, amikor  a  másik  oldalhoz
              hozzákapcsolódunk.  Az  alapértelmezett az, hogy "yes", ha az rhosts authentikációk
              engedélyezve vannak.

       User   Meghatározza, hogy milyen felhasználóként lépjen be. Ez akkor lehet hasznos,  ha  a
              különböző  gépeken  más-más  a felhasználói neved, és nem akarod azzal veszíteni az
              időt, hogy a parancssoron adod meg a felhasználói nevet.

       UserKnownHostsFile
              Meghatározza, hogy a $HOME/.ssh/known_hosts helyett milyen fájlt használjunk.

       UseRsh Meghatározza, hogy  egy  adott  gépre  rögtön  az  rlogin/rsh  legyen-e  használva.
              Előfordulhat, hogy egy gép egyáltalán nem támogatja az ssh protokollt. Ilyenkor ssh
              rögtön elindítja az rsh -t. Az összes többi opció (kivéve a  HostName-t)  ignorálva
              lesz.  Az argumentum "yes" vagy "no" kell legyen.

       XAuthLocation
              Meghatározza a elérési utat a xauth programhoz.

KÖRNYEZET

       Az ssh normális esetben a következő környezeti változókat állítja be:

       DISPLAY
              A  DISPLAY  változó  az  X11  szerver  helyére  utal.  Ezt az ssh automatikusan egy
              "gépnév:n" alakra állítja be, ahol a gépnév annak a gépnek a  neve,  ahol  a  shell
              fut,  és  n  egy  >=  1  egész  szám.   Az  ssh  ezt  arra  használja,  hogy az X11
              kapcsolatokat a biztonságos csatornán  forwadolja.   Jobb,  ha  a  felhasználó  nem
              állítja  be  maga  a  DISPLAY-t  expliciten,  mert  ez azt eredményezi, hogy az X11
              kapcsolat nem lesz biztonságos.  (és a felhasználó kénytelen lesz magának bemásolni
              a szükséges authorizációs cookie-kat).

       HOME   A felhasználó home könyvtára.

       LOGNAME
              Az  USER szinonimája - az olyan rendszerekkel való kompatibilitás céljából, amelyek
              ezt a változót használják.

       MAIL   A felhasználó mailbox-a.

       PATH   Egy olyan alapértelmezett PATH-ra van  beállítva,  amelyet  fordítás  közben  lehet
              megadni  az  ssh  -nak,  vagy egyes rendszerekben az /etc/environment -ban vagy  az
              /etc/default/login -ban.

       SSH_AUTH_SOCK
              Ha létezik, arra van használva, hogy egy olyan unix-domain sockethez vezető path-ot
              jelezzen,  ami  egy  authentikációs közvetítővel (avgy lokális megfelelőjével) való
              kapcsolathoz kell.

       SSH_CLIENT
              A kapcsolat kliens részét jelzi. Ez  a  változó  három  space-el  határolt  értéket
              tartalmaz: kliens ip-cím, kliens portszám és szerver portszám.

       SSH_ORIGINAL_COMMAND
              Ez   az  eredeti  parancssor  kényszerített  parancsfuttatás  esetén.   Arra  lehet
              használni, hogy elérd az argumentumokat stb. a túloldalról.

       SSH_TTY
              Ez a jelenlegi shellel vagy parancsal társított tty nevére  (egy  eszközhöz  vezető
              útvonalra) van állítva. Ha a jelenlegi session-nak nincs tty-je, ez a változó nincs
              beálítva.

       TZ     Az időzóna (timezone) változó a jelenlegi időzónát jelzi, ha az be volt  állítva  a
              démon indításakor. (A démon átadja ezt az értéket az új kapcsolatoknak.)

       USER   A belépett felhasználó neve.

       Ezeken  kívül az ssh elolvassa az /etc/environment és $HOME/.ssh/environment, fájlokat, és
       VÁLTOZÓNÉV=érték  formátumú  sorokat  ad  a  környezethez.   Egyes  rendszereken   további
       mechanizmusok  is  létezhetnek a környezet beállítására, így például az /etc/default/login
       Solaris-on.

FÁJLOK

       $HOME/.ssh/known_hosts
              Olyan gépek kulcsai,  amelyikbe  a  felhasználó  belépett  (és  nincsenek  benne  a
              /etc/ssh/ssh_known_hosts -ban). Lásd még az sshd kézikönyvlapot.

       $HOME/.ssh/random_seed
              A  véletlenszám-generátor  inicializálásához  használt  fájl.   Ez  a  fájl  fontos
              adatokat tartalmaz, a felhasználónak legyen írási/olvasási  joga  rá,  de  másoknak
              semmi.  Ez  a  fájl  akkor  keletkezik,  amikor  egy  program  első  ízben  fut, és
              automatikusan változik.  A felhasználónak sohasem kell elolvasnia vagy  módódítania
              ezt a fájlt.

       $HOME/.ssh/identity
              A  felhasználó  RSA  authentikációs  identitását  tartalmazza.   Ez  a  fájl fontos
              adatokat tartalmaz, a felhasználónak legyen írási/olvasási  joga  rá,  de  másoknak
              semmi.   Ennek  a  kulcsnak a generálásákor egy jelmondatot is meg lehet adni, ez a
              jelmondat arra használható, hogy ennek a fájlnak az érzékeny részét  titkosítsa  az
              IDEA segítségével

       $HOME/.ssh/identity.pub
              Az  authentikációra  használt  nyilvános  kulcsot  tartalmazza  (az  identitás-fájl
              nyilvános  részét   olvasható   formában)   ennek   a   fájlnak   a   tartalmát   a
              $HOME/.ssh/authorized_keys fájlhoz kell hozzáadni minden olyan gépen, amelyikre RSA
              authentikáció segítségével akarsz belépni.  Ez a fájl nem érzékeny,  és  lehet  (de
              nem  szükségszerű)  mindenki  által  olvashatóvá  tenni.   Ezt  a  fájlt  soha  nem
              használják automatikusan, és nincs is  szükség  rá,  csak  a  felhasználó  kényelme
              kedvéért van ott.

       $HOME/.ssh/config
              Ez a konfigurációs fájl a felhasználóra jellemző beállításokat tartalmazza.  A fájl
              formátuma a fentiekben  van  leírva.  Ezt  a  fájlt  az  ssh  kliensek  használják.
              Általában   ez  a  fájl  nem  tartalmaz  érzékeny  információkat,  de  az  ajánlott
              jogosultságok írás/olvasás a felhasználónak, és semmi jog másoknak.

       $HOME/.ssh/authorized_keys
              Azokat az RSA kulcsokat tartalmazza, amelyek használhatók arra, hogy segítségével e
              felhasználóként   be   lehessen   lépni.  Ennek  a  fájlnak  a  formátuma  az  sshd
              kézikönyvlapban van leírva.  Legegyszerűbb esetben a formátum ugyanaz mint  a  .pub
              identitás fájlok esetén.

              Ez a fájl nem tartalmaz nagyon érzékeny információkat, de az ajánlott jogosultságok
              írás/olvasás a felhasználónak, és semmi jog másoknak.

       /etc/ssh/ssh_known_hosts
              Az ismert gépek kulcsainak rendszerszintű listája. Ezt a fájlt  a  rendszergazdának
              kell   elkészítenie,   hogy   a  hálózaton  belüli  összes  gép  nyilvános  kulcsát
              tartalmazza.  Ennek a fájlnak mindenki által  olvashatónak  kell  lennie.   Ha  egy
              gépnek több neve is van, akkor az összes ilyen gépnevet fel kell sorolni, vesszővel
              elválasztva.  A formátumot az sshd kézikönyvlap írja le.

              Belépéskor a kanonikus gépnév (amit a nameserver  visszaad)  az,  amit  az  sshd  a
              kliens  gép identitásának a megállapítására használ belépéskor; a többi névre azért
              van szükség, mert az  ssh  nem  konvertálja  a  felhasználó  által  megadott  nevet
              kanonikus  névvé,  mielőtt  egy  kulcsot  ellenőrizne,  mivel egyébként valaki, aki
              hozzáfér a nameserver-hez, átverhetné a gép-authentikációt.

       /etc/ssh/ssh_config
              A rendszerszintű konfigurációs fájl. Ez a fájl defaultokat specifikál olyan értékek
              számára,  amelyek  nincsenek  a  felhasználó  konfigurációs  fájljában,  vagy olyan
              felhasználóknak, akiknek nincs konfigurációs fájljuk.   Ennek  a  fájlnak  mindenki
              által olvashatónak kell lennie.

       $HOME/.rhosts
              Ez  a  fájl  az  .rhosts  authentikáció  során  van  használva, mégpedig arra, hogy
              felsorolja azokat a gép/felhasználó párokat, amelyeknek a belépés engedélyezve van.
              (Megjegyzés:  ezt  a  fájlt használja az rlogin és az rsh is, ezért használatuk nem
              számít biztonságosnak) A fájl minden sora tartalmaz egy gépnevet (abban a kanonikus
              formában,  ahogy  a  nameserverek  adják),  utána  pedig egy azon a gépen található
              felhasználó  felhasználói  nevét,  vesszővel  elválasztva.   Ennek  a   fájlnak   a
              felhasználó  tulajdonában  kell  lennie, és nem szabad másoknak is írási jogot adni
              rá.

              Megjegyzés: alapértelmezés szerint az sshd sikeres RSA  gép-authentikációt  igényel
              mielőtt  megengedné az .rhosts authentikációt. Ha egy szerver géped nem tartalmazza
              egy   kliens   gép   kulcsát   az   /etc/ssh/ssh_known_hosts   -ben,    akkor    az
              $HOME/.ssh/known_hosts  -be  is  teheted.   A  legegyszerűbb módja ennek az, hogy a
              szerverről belépsz a kliensre, ekkor a kliens gép kulcsa automatikusan  hozzáadódik
              a $HOME/.ssh/known_hosts -hoz.

       $HOME/.shosts
              Ezt  a  fájlt  pontosan ugyanúgy kell használni mint a .rhosts -t.  Csak azért van,
              hogy képes legyél az rhosts authentikációt használni az  ssh  -val,  anélkül,  hogy
              megenged az rlogin-t vagy az rsh-t.

       /etc/hosts.equiv
              Ez  a  fájl  az  .rhosts  authentikáció  során van használva.  Kanonikus gépneveket
              tartalmaz,  soronként  egyet   (a   formátum   teljes   leírását   lásd   az   sshd
              kézikönyvlapban).   Ha egy kliens gép benne van ebben a fájlban, és a login nevek a
              szerveren és a kliensen megegyeznek, akkor  a  belépés  automatikusan  engedélyezve
              lesz.  Ezen  kívül sikeres RSA gép-authentikációra is szükség van normális esetben.
              Ennek a fájlnak csak a root által kell írhatónak lennie.

       /etc/ssh/shosts.equiv
              Ez a fájl pontosan úgy van feldolgozva, mint a  /etc/hosts.equiv.   Arra  jó,  hogy
              megengedje az ssh belépéseket, de megtiltsa az rsh/rlogin belépéseket.

       /etc/ssh/sshrc
              Az  ebben  a fájlban található parancsok akkor hajtódnak végre az ssh által, amikor
              felhasználó belép, közvetlenül azelőtt, hogy a felhasználó shellje (vagy  parancsa)
              elindulna.  Lásd az sshd kézikönyvlapot további információkért.

       $HOME/.ssh/rc
              Az  ebben  a  fájlban  található  parancsok akkor lesznek végrehajtva az ssh által,
              amikor felhasználó belép, közvetlenül azelőtt, hogy  a  felhasználó  shellje  (vagy
              parancsa) elindulna.  Lásd az sshd kézikönyvlapot további információkért.

INSTALLÁLÁS

       Az  ssh  általában  suid  rootként  van  felinstallálva.  A  root  jogokra  csak az rhosts
       authentikáció miatt van szüksége (Az rhosts authentikáció azt igényli,  hogy  a  kapcsolat
       egy  privilégizált  portról  kezdeményeződjön,  és  ilyen  portot csak root jogokkal lehet
       lefoglalni) Ezen  kívül  képesnek  kell  lennie  arra,  hogy  a  /etc/ssh/ssh_host_key  -t
       elolvassa,  hogy RSA gép authentikációt tudjon használni.  Lehetséges az ssh -t root jogok
       nélkül használni, de akkor az rhosts authentikációt nem lehet használni.  Az  ssh  eldobja
       az összes extra jogot, amint a kapcsolat a távoli géppel létrejött.

       Mindent  megtettünk  azért,  hogy az ssh biztonságos legyen.  Ha ennek ellenére biztonsági
       problémát találsz, kérjük rögtön értesíts minket az <ssh-bugs@cs.hut.fi> címen.

SZERZŐ

       Tatu Ylonen <ylo@ssh.fi>

       Az újabb verziókról, levelezési listákról, és a többi kapcsolódó témáról az ssh  WWW  home
       page-n, a http://www.cs.hut.fi/ssh címen találsz információt.

LÁSD MÉG

       sshd(8),   ssh-keygen(1),   ssh-agent(1),   ssh-add(1),  scp(1),  make-ssh-known-hosts(1),
       rlogin(1), rsh(1), telnet(1)

MAGYAR FORDÍTÁS

       Balázs-Csíki László <bcsl@elender.hu>