OpenSSH unter Windows 10 und Server 2016 aktivieren, PowerShell-Remoting nutzen

In der Vergangen­heit musste man für SSH unter Windows auf Tools wie PuTTY zurückgreifen, weil das Betriebs­system dafür keine Unter­stützung bot. Aber im Zuge der neuen Multiplattform-Strategie portierte Microsoft nicht nur PowerShell auf andere Systeme, sondern umgekehrt auch OpenSSH auf Windows.

OpenSSH als optionales Feature in Windows 10

In Windows 10 1709 ist es bereits als Feature enthalten, wenn auch als Beta.

Zuständig ist dafür die App Einstellungen, wo man unter Apps dem Link Optionale Features verwalten folgt. Dort klickt man auf Features hinzufügen und wählt hier je nach Bedarf OpenSSH Client bzw. OpenSSH Server aus. Auch wenn Windows anschließend nach keinem Neustart verlangt, so ist man gut beraten, den Rechner trotzdem neu zu booten.

Zieht man PowerShell vor, dann installiert man das Feature folgendermaßen:

Add-WindowsCapability -Online -Name OpenSSH*

Möchte man nur den Client hinzufügen, dann gibt man OpenSSH.Client* für den Parameter Name an, und OpenSSH.Server*, falls es nur der Server sein soll.

Unkomplizierter Client

Der SSH-Client sollte sich nun problemlos nutzen lassen. Die Syntax entspricht jener der Linux-Version und lässt sich über den Aufruf von ssh.exe ohne Parameter anzeigen. Als normales Konsolen­programm steht es unter der Eingabeauf­forderung oder Windows PowerShell zur Verfügung.

Ganz und gar nicht so unkompliziert gestaltet sich die Inbetriebnahme des SSH-Servers. Dieser läuft als Service, dessen Starttyp als automatisch konfiguriert ist. Sieht man in services.msc nach, dann wird man schnell feststellen, dass sshd nicht läuft.

Startet man ihn manuell, dann erhält man Meldungen wie Fehler 1607: Der Prozess wurde unerwartet beendet. Der Grund dafür liegt schlicht darin, dass der OpenSSH-Server erst konfiguriert werden muss.

sshd konfigurieren

Im ersten Schritt lädt man das aktuelle OpenSSH für Windows in der x86- oder x64-Version von Github herunter, weil es die von uns jetzt benötigten OpenSSHUtils enthält.

Diesen Download braucht man in jedem Fall, wenn man OpenSSH unter Windows Server 2016 einrichten will, weil es dort nicht über Add-WindowsCapability hinzugefügt werden kann. Vielmehr entpackt man am Server das ZIP-Archiv in das Zielverzeichnis und führt das PowerShell-Script install-sshd.ps1 aus. Dieses registriert die beiden Services für SSH. Den Client ssh.exe kann man direkt nutzen.

Unter Windows 10 entnimmt man aus dem ZIP-Archiv die Dateien FixHost­File­Permissions.ps1, OpenSSH­Utils.psm1 und OpenSSh­Utils.psd1 und kopiert sie in das OpenSSH-Verzeichnis unterhalb von %SystemRoot%\System32. Bei Server 2016 befinden sie sich schon im Programm­verzeichnis und können dort gestartet werden.

Update: Alternativ kann man die OpenSSHUtils mittlerweile auch über das Package Management von PowerShell hinzufügen. Dazu gibt man erst

Install-Module OpenSSHUtils

ein und importiert das Modul anschließend mit

Import-Module OpenSSHUtils

In einer PowerShell mit administrativen Berechtigungen führt man dann den Befehl

.\FixHostFilePermissions.ps1 -Confirm:$false

aus.

Bevor man den SSH-Dienst startet, sind noch ein paar weitere Dinge zu erledigen. Dazu gehört die Anpassung der Datei sshd_config, die sich ebenfalls in diesem Verzeichnis befindet. Für sie muss man sich als Administrator erst die erforderlichen Schreib­rechte einräumen, bevor man folgende Schritte ausführt:

Entfernen des Kommentarzeichens '#' am Beginn der Zeilen

PubkeyAuthentication yes

PasswordAuthentication yes

und Hinzufügen des Eintrags

Subsystem powershell c:/program files/powershell/6.0.0-rc/pwsh.exe -sshs -NoLogo -NoProfile

Der Pfad muss natürlich auf das Verzeichnis verweisen, in dem man PowerShell Core tatsächlich installiert hat.

Abschließend generiert man die Schlüssel für die Authentifizierung mit

.\ssh-keygen.exe -A

und öffnet den Port 22 in der Firewall:

netsh advfirewall firewall add rule name=SSH dir=in action=allow protocol=TCP localport=22

Nun sollte sich der SSH-Daemon mit

net start sshd

erfolgreich starten lassen.

PowerShell-Remoting über SSH

Möchte man sich nun von einem anderen Rechner mit diesem Host verbinden, dann kann man dies wie oben beschrieben über den Aufruf von ssh auf der Kommando­zeile tun. In diesem Fall landet man auf der Eingabeauf­forderung cmd.exe, wo man bei Bedarf auch Windows PowerShell starten kann.

Interessanter ist indes die Möglichkeit, Remote-Sessions in PowerShell über SSH zu öffnen. Dies bleibt allerdings PowerShell Core vorbehalten, die man parallel zur mitge­lieferten Windows PowerShell installieren kann (Download von Github).

Zuständig dafür sind die Cmdlets New-PSSession und Enter-PSSession, welche bisher Remote-Sessions nur über WinRM aufbauen konnten. Unter PowerShell Core erhielten sie für SSH einen neuen Parameter­satz.

Anstatt mit ComputerName spezifiziert man den entfernten Rechner mit HostName, den Benutzernamen übergibt man nicht mit dem Parameter Credential, sondern mit UserName. Zusätzlich kann man den Schalter SSHTransport hinzufügen:

Enter-PSSession -HostName WS2016-L1 -UserName contoso\hmeier -SSHTransport

Dieses Kommando funktioniert über Plattform­grenzen hinweg, so dass man auf diese Weise zum Beispiel einen Windows Server von einem Mac aus mittels PowerShell Core verwalten kann.