AIX系统默认安装并启用了SSH服务,对于绝大多数现代AIX版本（如AIX 6.1、7.1及更高版本），系统开箱即用即具备SSH连接能力，核心结论是：AIX开启SSH服务器的过程，本质上是对OpenSSH软件包的安装确认、配置文件优化以及系统服务激活的过程，若系统未预装，需通过AIX Toolbox for Linux Applications或安装介质手动部署，成功开启的关键在于准确配置sshd_config文件、合理管理SSH密钥对，并正确使用lssrc与startsrc命令进行服务控制，同时确保网络端口与防火墙策略放行。
检查系统环境与软件包依赖
在执行任何配置操作前,必须对系统现状进行专业评估，AIX系统的SSH服务依赖于OpenSSH软件包，而OpenSSH又依赖于OpenSSL库。
- 确认系统版本：使用
oslevel -s命令查看当前AIX系统的技术级别和服务包，确保系统版本支持当前的OpenSSH版本。 - 验证软件包安装状态：使用
lslpp -l | grep ssh命令检查是否已安装OpenSSH相关软件包。- 若输出结果中包含
openssh.base.client和openssh.base.server，且状态为“APPLIED”，则表明软件已安装。 - 若未安装,需从IBM官方提供的AIX Toolbox for Linux Applications下载对应版本的RPM包或使用
installp命令从安装介质进行安装。
- 若输出结果中包含
- 检查依赖库：执行
lslpp -l | grep ssl确认OpenSSL库已正确安装且版本匹配。OpenSSL是SSH加密通信的基石，版本不兼容将导致服务启动失败。
配置SSH服务器核心参数
配置文件 /etc/ssh/sshd_config 是控制SSH服务行为的“大脑”，为了确保服务器的安全性与可用性，必须对该文件进行精细化配置，这是体现管理员专业度的关键环节。
- 修改默认端口：默认端口22极易遭受暴力破解攻击，建议将端口修改为高位端口（如2222或8822），但这需同步更新防火墙策略。
- 限制Root用户远程登录：严禁 PermitRootLogin 设置为 yes，生产环境中，应将其设置为
no或prohibit-password，强制用户使用普通账号登录后再通过su切换至Root，以此构建审计追踪链条。 - 启用密钥认证并禁用密码认证：
- 设置
PubkeyAuthentication yes。 - 在测试密钥登录成功后,将
PasswordAuthentication no设置为生效状态。 - 禁用密码认证能有效防御互联网上的字典攻击和暴力破解，是保障AIX服务器安全的最有效手段。
- 设置
- 优化连接参数：调整
ClientAliveInterval和ClientAliveCountMax参数，自动断开长时间无操作的空闲连接，释放系统资源。
密钥管理与信任关系建立
在AIX开启ssh服务器的实际应用中,基于密钥的认证方式优于传统的密码认证，这涉及非对称加密技术的应用。
- 生成密钥对：在客户端主机上使用
ssh-keygen -t rsa -b 4096生成高强度的RSA密钥对，或使用更现代的ssh-keygen -t ed25519生成Ed25519密钥。 - 分发公钥：将生成的公钥（
id_rsa.pub）上传至AIX服务器目标用户的家目录下，即~/.ssh/authorized_keys文件中。- 可使用
ssh-copy-id命令自动完成，或手动追加内容。 - 务必确保
.ssh目录权限为 700，authorized_keys文件权限为 600，权限过于宽松会导致SSH服务拒绝读取密钥文件，从而导致认证失败。
- 可使用
- 验证信任关系：配置完成后，在客户端尝试连接，若无需输入密码即可登录，则证明信任关系建立成功。
启动服务与系统资源控制
AIX系统使用系统资源控制器（SRC）来管理子系统，SSH服务作为其中一个子系统，需通过标准命令进行管理。
- 启动SSH服务：执行
startsrc -s sshd命令启动服务。 - 停止与重启服务：
- 停止服务：
stopsrc -s sshd。 - 刷新配置（重启）：
refresh -s sshd。每次修改sshd_config文件后，必须执行刷新操作才能生效。
- 停止服务：
- 查看服务状态：使用
lssrc -s sshd查看服务状态，若输出显示“active”，则服务运行正常；若为“inoperative”，则需检查/var/log/syslog或系统控制台日志排查错误。 - 设置开机自启：检查
/etc/inittab文件或通过lsitab -a确认SSH服务是否已配置在系统启动脚本中，通常安装OpenSSH后会自动添加启动项，确保系统重启后服务自动恢复。
网络防火墙与端口放行
服务启动成功并不代表客户端一定能连接,网络层面的访问控制是最后一道关卡。
- 检查端口监听：使用
netstat -an | grep <端口号>确认SSH服务正在监听指定端口。 - 配置IP过滤器：AIX通常使用IP Security功能进行防火墙管理，需确保SSH端口在防火墙规则中处于“允许”状态。
- 网络设备策略：如果是云环境或局域网环境，还需检查物理防火墙、安全组策略是否放行了SSH端口。
相关问答
AIX开启SSH服务器后，客户端连接提示“Permission denied (publickey)”，如何解决？
解答： 该错误表明服务器启用了公钥认证且拒绝了密码登录，但客户端未能提供有效的密钥。
- 检查客户端是否提供了正确的私钥文件。
- 登录AIX服务器端,检查目标用户的
~/.ssh/authorized_keys文件是否包含客户端的公钥内容。 - 重点排查权限问题：确认用户家目录权限应为755或更严格，
.ssh目录权限必须为700，authorized_keys文件权限必须为600。 - 查看
/var/log/messages或sshd的调试日志，确认具体的拒绝原因。
如何在不重启AIX系统的情况下，让修改后的sshd_config配置生效？
解答： AIX系统提供了SRC机制来平滑重载配置，直接执行 refresh -s sshd 命令即可，该命令会通知sshd守护进程重新读取配置文件，不会中断当前已建立的SSH连接，保证了业务的连续性，切勿直接杀进程，这会导致服务不可用。
如果您在配置过程中遇到特殊的报错或拥有更优化的安全策略,欢迎在评论区分享您的实战经验。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/aix%e5%bc%80%e5%90%afssh%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%80%8e%e4%b9%88%e6%93%8d%e4%bd%9c%ef%bc%9faix%e5%bc%80%e5%90%afssh%e6%9c%8d%e5%8a%a1%e5%91%bd%e4%bb%a4%e8%af%a6%e8%a7%a3/
