SSH : installation sur Ubuntu

SSH (Secure Shell) permet de se connecter à un serveur et d’y exécuter des commandes de façon chiffrée. Ce guide présente OpenSSH sur Ubuntu 24.04 et 26.04. Les exemples utilisent des noms génériques (serveur.exemple.com, deploy).

Versions fournies par Ubuntu

Ubuntu	OpenSSH
24.04	9.6
26.04	10.2

Installer le serveur

Les images Ubuntu Server installent déjà le serveur SSH. Sinon :

sudo apt update
sudo apt install openssh-server
ssh -V
sudo systemctl status ssh

Le client (ssh, scp, sftp) est fourni par openssh-client, installé par défaut.

Service et activation par socket

Sur Ubuntu, SSH démarre à la demande : c’est ssh.socket qui écoute sur le port 22, et ssh.service est lancé à la première connexion.

systemctl is-enabled ssh ssh.socket        # ssh : disabled, ssh.socket : enabled (comportement normal)
sudo systemctl status ssh.socket
sudo systemctl reload ssh                  # recharge sshd_config sans couper les sessions
sudo ss -tlnp | grep ':22'                 # processus en écoute

Conséquence : changer le port dans sshd_config ne suffit pas (voir Durcissement du serveur).

Ouvrir le port (UFW)

sudo ufw allow OpenSSH
sudo ufw status

Autoriser SSH avant d’activer le pare-feu, pour ne pas se verrouiller hors du serveur (voir Pare-feu : prise en main d’UFW).

Première connexion

ssh deploy@serveur.exemple.com

À la première connexion, SSH affiche l’empreinte de la clé du serveur :

The authenticity of host 'serveur.exemple.com (203.0.113.10)' can't be established.
ED25519 key fingerprint is SHA256:Ig72RFsAaD5nb+2ALRkZrNYtSNeW66TkOTdwkFVMcT0.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Comparer cette empreinte avec celle du serveur, affichée depuis une autre voie (console de l’hébergeur) :

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

Répondre yes seulement si elles sont identiques : elle est alors enregistrée dans ~/.ssh/known_hosts, et SSH avertira si elle change (voir Dépannage).

Se connecter avec un compte et une commande

ssh deploy@serveur.exemple.com                       # shell interactif
ssh deploy@serveur.exemple.com "uptime"              # une commande, puis déconnexion
ssh -p 2222 deploy@serveur.exemple.com               # port différent
ssh -i ~/.ssh/id_ed25519 deploy@serveur.exemple.com  # clé précise
exit                                                  # ou Ctrl+d : quitte la session

Pour utiliser ensuite une clé plutôt qu’un mot de passe : voir Clés SSH.

Fichiers et emplacements

Élément	Emplacement
Configuration du serveur	/etc/ssh/sshd_config et /etc/ssh/sshd_config.d/*.conf
Configuration globale du client	/etc/ssh/ssh_config et /etc/ssh/ssh_config.d/*.conf
Clés d’hôte du serveur	/etc/ssh/ssh_host_*_key (privées) et .pub (publiques)
Clés de l’utilisateur	~/.ssh/id_ed25519 (privée) et id_ed25519.pub
Clés autorisées à se connecter	~/.ssh/authorized_keys
Serveurs déjà rencontrés	~/.ssh/known_hosts
Configuration personnelle du client	~/.ssh/config

Journaux

sudo journalctl -u ssh -n 50 --no-pager           # connexions et échecs
sudo journalctl -u ssh -f
last -n 10                                         # dernières connexions réussies
sudo lastb -n 10                                   # dernières tentatives échouées

Mise à jour

sudo apt update && sudo apt upgrade                # correctifs de sécurité
sudo systemctl restart ssh                         # après une mise à jour d'OpenSSH

Désinstallation

sudo apt purge openssh-server
sudo apt autoremove

Attention

Sur un serveur distant, ne désinstallez jamais SSH sans autre moyen d’accès (console de l’hébergeur) : la session en cours est perdue à l’arrêt du service.

Dépannage rapide

Symptôme	Piste
Connection refused	Service arrêté (systemctl status ssh.socket), mauvais port, ou pare-feu
Connection timed out	Adresse incorrecte, ou pare-feu (UFW, hébergeur) qui ignore le port
Permission denied (publickey)	Voir Clés SSH et Dépannage
REMOTE HOST IDENTIFICATION HAS CHANGED	Voir Dépannage : ne pas ignorer l’avertissement sans vérifier

Ubuntu 24.04 et 26.04 : différences à connaître

L’installation est identique. Les changements de version portent sur le comportement d’OpenSSH.

Changement cassant — Ubuntu 26.04 : sudo remplacé par sudo-rs

La commande sudo est désormais fournie par sudo-rs (l’ancienne version devient sudo.ws). Les commandes de ce guide fonctionnent à l’identique. Des scripts qui analysent la sortie de sudo, ou une configuration sudoers avancée, sont à revérifier.

Changement cassant — Ubuntu 26.04 : clés DSA retirées

OpenSSH 10.2 ne gère plus l’algorithme DSA (ssh-dss) : ssh -Q key le liste sur 24.04, plus sur 26.04. Une très ancienne clé DSA ne fonctionne plus (client comme serveur) : générer une clé ed25519 (voir Clés SSH).

Ubuntu 26.04 : échange de clés post-quantique par défaut

OpenSSH 10.2 négocie par défaut l’algorithme hybride mlkem768x25519-sha256, résistant aux futurs ordinateurs quantiques (24.04 : sntrup761x25519-sha512@openssh.com, également hybride). Les connexions entre les deux versions fonctionnent ; l’algorithme réellement utilisé s’affiche avec ssh -v (ligne kex: algorithm:).

Ubuntu 26.04 : PerSourcePenalties

OpenSSH 10.2 active par défaut PerSourcePenalties : une adresse qui accumule des échecs d’authentification ou des connexions abandonnées est temporairement refusée (réglages visibles avec sudo sshd -T | grep persourcepenalties). Complémentaire de Fail2ban (voir Pare-feu : Fail2ban).

Ubuntu 26.04 : processus sshd-session

Depuis OpenSSH 9.8, les sessions sont gérées par un processus sshd-session : les journaux le mentionnent (sshd-session[1234]) au lieu de sshd[1234]. journalctl -u ssh fonctionne sur les deux versions.

Pour aller plus loin

• Documentation : openssh.com/manual et man ssh, man sshd_config
• Suite : Clés SSH

Dans la même rubrique

• Installation
• Clés SSH
• Configuration du client
• Durcissement du serveur
• Tunnels et rebonds
• Transfert de fichiers
• Dépannage