做运维这行Windows服务器一直绕不开但真要说远程管理舒服还是得靠SSH。Windows 10从1809版本开始把OpenSSH Server作为可选功能内置了不用装第三方工具原生的SSH服务端就能搞定远程管理、文件传输、端口转发这些事。对日常要管Windows机器、又习惯了Linux命令行的朋友来说这个功能能省不少事。这篇就把Win10上装OpenSSH服务的完整流程、配置要点、密钥登录和常见坑都过一遍照着做基本一次能成。1. 安装前先搞明白Win10自带OpenSSH到底是什么1.1 OpenSSH服务端与客户端的区别很多人在网上搜OpenSSH结果下载了一个客户端装上之后发现自己还是连不上自己的机器就是因为没搞清楚服务端和客户端的区别。OpenSSH分两个部分客户端ssh.exe负责主动去连接别人服务端sshd.exe负责开放22端口让别人连进来。Win10系统其实默认就装了OpenSSH客户端也就是说你在cmd里敲ssh root192.168.1.100这样的命令这是本来就支持的。但是要让别人能SSH进你的Win10必须在系统里安装并启动OpenSSH Server也就是服务端。我们要做的就是把这个服务端装好、启动起来、配上防火墙规则。顺带一提很多文章里写Win10自带OpenSSH其实只说对了一半——自带的是客户端服务端需要手动添加。这也是为什么有人照着教程试了发现连不上一查服务列表里根本没有sshd这个服务。1.2 你的Win10版本支持吗这里先说一个硬性前提OpenSSH Server是随Windows 10 1809版本开始作为可选功能提供的如果你的系统是1803或者更早去可选功能里是找不到OpenSSH Server的。所以第一步先确认系统版本按WinR输入winver看一下版本号。如果版本号高于1809比如1903、1909、20H2、21H2、22H2那么直接走内置可选功能安装就行。如果版本很老比如1607、1709那就得换思路了可能要下载微软官方提供的OpenSSH Win64安装包或者干脆升级系统因为太老的版本本身也快失去微软支持了。另外还有一个容易忽略的点家庭版Win10其实也支持安装OpenSSH Server只是部分高级配置项的权限管理路径和Pro版略有差异核心功能都能用。我自己实测过Win10家庭版装好之后SSH进去操作完全没问题。1.3 安装前的检查清单在动手指安装之前建议先花一分钟做三个检查避免装到一半发现被什么卡住了。第一确认系统版本。前面说过了1809以上才有内置路线。第二确认系统里还没有安装过OpenSSH Server。有些电脑装过第三方SSH工具或者以前手动装过OpenSSH可能会造成冲突。可以在PowerShell里执行Get-Service sshd看有没有这个服务如果提示找不到说明没装过。第三确认当前用户有管理员权限。安装服务必须提权普通用户权限不够跑安装命令。注意我见过有人开着某些优化软件自动关闭了Windows服务管理的相关权限导致安装服务后无法启动。如果后续排查到服务死活起不来可以先检查一下是不是系统被优化过。检查完之后就可以正式安装了。下面两种安装方式选一种就行推荐第二种快、稳、好排查。2. 两种安装方式走通一条就够2.1 图形界面安装适合不常敲命令的人图形界面安装其实挺简单的跟着点就行。按下WinI打开设置依次进入应用-可选功能然后点击添加功能按钮。在弹出的列表里往下翻找到OpenSSH服务器注意别选成OpenSSH客户端虽然这两个长得很像但一个是别人连你一个是你去连别人。选中之后点击安装等它转圈跑完就装好了。这个过程本身的成功率很高但存在两个让人翻车的地方。第一有些精简版系统把可选功能的组策略或者Windows Update的底层服务关掉了添加功能的时候会卡在某个进度一直不动最后报错0x800F0954或者类似的状态码。这种情况其实不是安装包坏了而是系统组件的更新通道有问题。可以通过命令行安装绕过或者用DISM修复系统后面会讲命令行安装的方式遇到这问题直接用命令行装就行。第二添加功能完成后服务不一定是自动启动的。很多时候在可选功能列表里看到OpenSSH服务器显示已安装但去服务管理器里看sshd服务的状态是已停止启动类型也是手动。这个不是安装失败了而是需要手动去启动后面3.1节会详细讲怎么启动和设置。2.2 PowerShell命令行安装一条命令搞定如果习惯命令行操作或者图形界面安装踩了上面说的坑推荐直接用PowerShell装。右键开始菜单选择Windows PowerShell(管理员)然后执行Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0这里有个细节后面的那串写法是固定的网上有些老教程写的是OpenSSH.Server~~~少了一组波浪线会导致命令直接报错。所以最好直接复制标准命令执行不要手动敲。执行完成后会显示操作进度最后提示部署类型是已安装之类的字样就说明装完了。如果执行过程中报错多数情况下是因为Windows Update服务或者其他系统更新服务被停用了。可以先把Windows Update服务打开再重试一次Start-Service wuauserv如果还是报错可以执行下面这条命令检查具体错误原因Get-WindowsCapability -Online -Name OpenSSH.Server*这条命令会返回包括OpenSSH.Server和OpenSSH.Client的安装状态。如果看到State不是Installed而是类似暂存或者已卸载那说明安装过程没有真正完成需要看返回的详细信息里有没有错误码。常见错误码0x800f0954和0x800f0922都指向系统的更新源或组件存储出问题这种情况尝试执行DISM在线修复后重试安装DISM /Online /Cleanup-Image /RestoreHealthDISM修复的耗时取决于系统盘速度和之前组件损坏的程度快的话几分钟慢的话可能半小时跑完再重新执行安装命令。这一步能解决绝大部分装不上的玄学问题。2.3 老版本Win10或系统组件异常时的思路如果系统版本实在太老或者DISM修复完还是装不上就只能走第三方安装包路线GitHub上有微软开源项目Win32-OpenSSH的发布包不过要注意这不是微软官方推荐的正式渠道下载和使用需要自己判断。下载后解压把OpenSSH-Win64目录放到一个固定位置比如C:\Program Files\OpenSSH然后用管理员PowerShell进入目录执行安装服务脚本powershell.exe -ExecutionPolicy Bypass -File install-sshd.ps1这种方式本质上是把OpenSSH的服务手动注册到Windows服务管理器里所以它能绕开可选功能的组件存储校验。我在几年前帮人处理老版本Win10时这么装过能用但后续更新得自己盯着不像内置功能那样随系统更新走。所以我的建议是能升级系统就升级升级不了再用这个方案。3. 服务配置与启动装完不是结束能连上才是3.1 初始化安装完成后的服务状态检查无论是图形界面装的还是命令行装的装完之后第一件事就是确认服务状态。在管理员PowerShell里执行Get-Service sshd正常情况下你会看到sshd服务存在但状态是Stopped。如果服务状态里根本没有sshd那说明安装过程有问题再用Get-WindowsCapability查一下状态。然后启动服务并设置开机自启Start-Service sshd Set-Service -Name sshd -StartupType Automatic这两条命令分别做了两件事让服务立刻运行以及让它以后随系统开机自动启动。后面这条很重要很多教程只让启动服务没让设置自动启动结果一重启电脑又连不上了。启动完之后可以再看一眼服务状态变成Running就对了。如果想保险一点还可以查一下监听端口netstat -ano | findstr :22正常情况下会看到一条LISTENING的记录说明sshd正在22端口等待连接。3.2 防火墙放行与端口确认服务起来了但还差一道防火墙。Win10的防火墙默认会拦截所有入站连接包括22端口所以不配防火墙规则的话别人从局域网或公网SSH连你会直接超时。如果在安装OpenSSH Server之后系统弹了一个Windows安全警报窗口问是否允许OpenSSH Server通过防火墙选择允许访问即可。如果没有弹窗或者当时手滑点了取消那就用命令手动添加防火墙规则。管理员PowerShell执行New-NetFirewallRule -Name sshd -DisplayName OpenSSH Server (sshd) -Enabled True -Direction Inbound -Protocol TCP -Action Allow -LocalPort 22这条命令的每个参数都值得解释一下。Name是规则内部名称随便起DisplayName是防火墙列表里显示的名字Direction Inbound代表入站规则Protocol TCP和LocalPort 22则精确指到了SSH默认端口。Action Allow是允许动作。执行完以后可以用下面命令确认规则已生效Get-NetFirewallRule -Name sshd如果之后换了端口比如改成2222只需要把上面命令里的22改成2222然后重新执行再删掉旧规则保留新规则即可。修改端口后记得重启sshd服务否则配置不生效。3.3 sshd_config核心配置项解读OpenSSH for Windows的配置文件在C:\ProgramData\ssh\sshd_config。注意是ProgramData目录不是Program Files很多人找错位置。如果系统装在C盘这个目录是隐藏的需要在资源管理器地址栏直接输入路径才能进去或者在PowerShell里用记事本打开notepad C:\ProgramData\ssh\sshd_config配置文件里有很多默认项但大部分被注释掉了实际生效的默认配置就那么几条。对于日常使用建议重点关注以下几个参数。第一条是Port。默认情况下Port 22是被注释的状态但sshd实际还是监听22端口因为Windws自带的OpenSSH有内部默认值。如果想改端口就把这行取消注释并改成你想要的值比如Port 2222。改完之后重启服务。第二条是PermitRootLogin。这个名字在Windows环境下有点别扭它实际对应的默认用户是Administrator。默认值在较新版本里是prohibit-password意思是允许管理员用密钥登录但不允许空密码。如果想用密码登录管理员账户可以改成yes但这么做安全性较低建议配合强密码使用。个人测试环境改成yes问题不大生产环境还是建议走密钥。第三条是PasswordAuthentication。默认是yes允许密码登录。如果配置了密钥认证并想禁用密码登录就把它改成no。注意在Windows上这个配置项的生效还依赖本地安全策略有时候改了PasswordAuthentication no之后密码还是能连上就是因为被本地策略覆盖了这个我会在5.2节里详细说。还有一条是PubkeyAuthentication默认是yes但Windows默认并没有开启对管理员账户的密钥登录授权目录。简单说光靠默认配置密钥登录并不会生效需要在指定位置放好公钥这块我放在4.2节详细讲。改完任何配置都需要重启sshd服务才能生效Restart-Service sshd3.4 开机自启与日常管理设置开机自启用的是前面那条Set-Service命令这里再补充几个日常管理的高频操作。查询服务状态、重启服务、停止服务分别对应Get-Service sshd Restart-Service sshd Stop-Service sshd除此之外还有几个日志查看方法。SSHD的日志会写到系统事件日志里在PowerShell里可以用Get-WinEvent -LogName OpenSSH/Operational -MaxEvents 20如果连接异常或者登录失败去OpenSSH/Operational这个事件日志里翻一翻通常能看到具体的原因日志比瞎猜强得多。这个日志路径和Linux下看/var/log/auth.log的逻辑是一样的只是换了个方式。还有一个容易忽略的坑如果你的Win10开启了快速启动有时开机后sshd服务虽然标记为运行中但实际端口还没有开始监听。遇到这种情况可以先Stop-Service sshd再Start-Service sshd手动重启一次服务即可恢复。这个问题在部分老版本Win10上比较明显新版本已经少见了。4. 连接测试与密钥登录配置4.1 本机测试与远程连接服务启动、防火墙放行接下来就要测连接了。先在Win10本机回环测试一把这样能快速确认服务是否正常而不受网络因素干扰。在本机PowerShell执行ssh localhost如果是第一次连接会提示确认指纹输入yes回车然后输入当前Windows账户的密码。能进入Windows命令行提示符说明本机服务端一切正常。本机通了之后再找同一局域网里的另一台设备手机、Linux虚拟机、另一台Windows都行。假设Win10机器的IP是192.168.1.10在另一台设备上执行ssh administrator192.168.1.10这里用户名换成你Win10上实际使用的Windows用户名。如果用户名中间有空格比如Zhang San命令里要写成ssh Zhang San192.168.1.10或者在交互提示符里输入用户名直接带空格会解析错乱。连不上时先别急着怀疑配置按这个顺序排查先ping一下Win10的IP确认网络通不通再检查Win10本机22端口有没有监听再确认防火墙规则是否生效最后再看sshd服务状态。这套排查逻辑能覆盖九成以上的连不上问题。4.2 配置密钥登录免密登录密码登录用起来方便但安全性一般。给OpenSSH Server配置密钥登录是避免密码暴力破解、提升管理便利性的关键一步。整个过程分三步。第一步在客户端也就是你用来连接Win10的那台设备上生成密钥对。Linux、macOS终端或者Win10自带的PowerShell里都可以执行ssh-keygen -t ed25519 -C your_emailexample.com如果客户端是Windows路径默认生成在C:\Users\你的用户名.ssh\id_ed25519生成过程会提示设置passphrase这个相当于私钥的解锁密码建议设置防止私钥文件泄露后被直接使用。第二步把公钥内容加到Win10服务端的authorized_keys文件里。这里有个Windows特有的坑默认配置下OpenSSH for Windows把不同用户的公钥文件放在C:\ProgramData\ssh\administrators_authorized_keys而不是用户目录下的.ssh\authorized_keys。也就是说如果你想用管理员组成员登录公钥必须放在administrators_authorized_keys这个文件里并且这个文件的权限配置还很讲究权限过宽会导致sshd直接忽略它。具体操作如下。先在Win10机器上用管理员PowerShell把客户端的公钥内容追加到文件Add-Content -Path C:\ProgramData\ssh\administrators_authorized_keys -Value ssh-ed25519 AAAA... 你的公钥内容然后手动修复这个文件的ACL权限。这一步是Windows OpenSSH特有的必须设置成只有SYSTEM和Administrators组有完全控制权去掉其他用户继承的权限。可以用以下命令快速搞定icacls C:\ProgramData\ssh\administrators_authorized_keys /inheritance:r /grant Administrators:F /grant SYSTEM:F第三步回到客户端重新用密钥登录ssh -i ~/.ssh/id_ed25519 administrator192.168.1.10如果客户端是Windows自带的ssh默认会去读账号下的.ssh目录所以通常不用加-i参数直接连也行。配置成功后会直接进入系统不会再提示输入Windows账户密码。4.3 多用户场景和权限注意事项如果一台Win10机器要给多个同事或朋友提供SSH登录每个人都需要独立的Windows用户账户。OpenSSH在Windows下无法像Linux那样只创建系统用户而不创建Windows账户也就是说每个能SSH登录的人都得有一个真实的Windows用户。标准做法是在Win10上创建一个标准用户非管理员组然后在自己的管理员SSH会话里把公钥放到这个标准用户的对应的授权文件里。普通用户的授权文件路径是C:\Users\你的用户名.ssh\authorized_keys这个文件位置和前面说到的管理员授权文件不一样需要注意。如果多个人的公钥要放在同一个授权文件里直接在文件里换行追加即可一行一个公钥。注意文件末尾要有一个换行否则最后一条公钥可能不被识别。还有一个细节值得提醒配置普通用户密钥登录时普通用户自己的.ssh目录和authorized_keys文件的所有者必须是这个用户本身ACL权限也要足够精确。如果复制管理员文件的权限设置经验到这里有时候反而不生效因为普通用户没有Administrators权限但文件如果被Administrators组托管sshd一样会拒绝。说白了Windows下OpenSSH的授权文件权限配置比较折磨人遇到密钥看起来没问题但就是认证失败的情况先检查ACL权限。5. 常见问题与排查技巧实录5.1 服务启动失败先看事件日志sshd服务启动失败是最常见的问题表现就是执行Start-Service sshd时提示错误或者服务刚起来马上又停了。这时候别慌先看日志。管理员PowerShell执行Get-WinEvent -LogName OpenSSH/Operational -MaxEvents 10 | Format-List如果日志提示sshd严重错误、初始化失败之类的信息多半是配置文件写坏了。最简单的方法是先把sshd_config改名备份让服务用默认配置重新启动。如果默认配置能启动说明问题出在你改的某个配置项上用二分法逐项排查。如果是端口被占用日志里会有Permission denied或者bind失败的记录。最常见的是别的东西已经把22端口占用了比如某些内置Web服务或者远程桌面代理这个时候改成自定义端口是最快的方案。还有一个隐蔽的情况Windows更新后C:\ProgramData\ssh\文件夹的权限被重置导致sshd服务无法读取配置。这时候只需要重新赋予SSHD服务对配置文件夹的读取权限即可具体操作可以比对官方微软文档这里不展开。5.2 连接时提示权限拒绝连接时报Permission denied (publickey,password)时先别急着怀疑密码错误。排除密码正确性的前提下最常见的是这两个原因。第一sshd_config里改了PasswordAuthentication no但本地安全策略里仍然允许网络登录或者反过来。Windows的Windows Defender Firewall和本地安全策略secpol.msc里的从网络访问此计算机用户权限会和sshd_config的配置叠加生效。解决方法是在secpol.msc里检查从网络访问此计算机的用户列表或者干脆把sshd_config改回默认值再重启服务测试。第二授权文件权限不对。前面4.2节提过Windows下OpenSSH的授权文件ACL要求非常严格任何一个额外组或用户的权限项都有可能导致公钥认证失败。如果你确认公钥内容没错但用密钥登录始终报权限拒绝执行一下这个基础排查在Win10本机把authorized_keys临时改成Everyone完全控制权限测试能不能连能连上就说明是权限问题。但测试后一定要把权限收回来否则安全上就是裸奔。还有一种情况是用户名写错了。Windows的用户名可能和显示名不一样比如界面显示张三实际账户名可能是zhangsan。在PowerShell里执行whoami可以确认当前账户名。5.3 与第三方软件冲突OpenSSH Server和某些安全软件、杀毒软件的兼容性问题不多但遇到了就很闹心。最常见的是杀毒软件把sshd.exe当作可疑进程拦截或者隔离掉导致服务启动失败或者连接时卡在握手阶段。处理思路很简单在杀毒软件的信任区里添加C:\Windows\System32\OpenSSH\sshd.exe顺便把C:\ProgramData\ssh\目录也加到实时扫描的白名单里。如果用的第三方防火墙同时也检查一下有没有自动拦截sshd的入站连接。另外如果你之前装过第三方SSH服务比如Cygwin、Git自带的OpenSSH或者FreeSSHd这些软件可能也占用了22端口或者注册了sshd这个名字的服务。和它们共存是有可能的但建议先完全卸载老软件避免服务名冲突导致后续管理混乱。5.4 升级OpenSSH版本的注意事项Windows 10内置OpenSSH的升级通常跟随Windows更新也就是说正常情况下你不用单独操心版本。但如果遇到安全漏洞通报或者体验了新功能想提前用免不了想去下载新版手动升级。Windows下手动升级OpenSSH Server一般是从GitHub上Win32-OpenSSH项目里下载新版压缩包然后替换系统目录下的文件。这里有一个必须提醒的事替换文件前先停止服务并且备份好C:\ProgramData\ssh\sshd_config等配置文件。如果不备份升级后配置被覆盖服务会按默认配置运行端口、权限、认证方式全部回到初始状态远程连接可能突然就断了。另外手动替换文件后服务路径如果发生变化现有服务可能指向旧路径导致启动失败。升级完毕后建议先查一下服务的BinaryPathName是否指向了新版本所在路径不对的话要把服务路径改成新路径再启动。这块操作技术门槛稍高不建议新手直接上手能走Windows更新就用系统更新稳妥。我在实际运维中还遇到过一个典型问题客户端是Linux机器里面执行ssh连接Windows的OpenSSH服务有时报no matching key exchange method。老版本的Win32-OpenSSH支持的密钥交换算法较旧新版OpenSSH客户端默认禁用了一些老算法解决办法是更新Windows端的OpenSSH版本或者在客户端配置里允许老算法。两个方案里我强烈建议前者因为允许老算法等于降低了安全下限。结尾可以这样做OpenSSH for Windows并不复杂装好服务、配好防火墙、把密钥认证跑通日常管理Windows机器就舒服多了尤其是从Mac或Linux电脑远程过来再也不用依赖笨重的图形远程桌面。我个人实际用下来最大的体会是Windows下的OpenSSH和Linux下的OpenSSH在原理上高度相似但在配置细节和权限管理上又到处是Windows特色比如那个administrators_authorized_keys文件的ACL权限还有本地安全策略和sshd_config互相打架的情况都是踩过坑才记住的。如果你在配置过程中遇到奇怪的问题第一步永远是去看OpenSSH/Operational事件日志日志里其实已经写明了绝大多数答案只是很多人没走到这一步。最后再提醒一句别嫌麻烦把密钥认证配起来把密码登录关掉这个习惯能帮你省掉很多安全问题。