OpenSSH使用Match指令实现差异化安全策略-安全-PHP中文网

openssh的match指令实现细粒度访问控制，支持按用户、组、地址等条件动态覆盖配置；匹配条件为“与”，多块间为“或”，首匹配生效，需置于sshd_config末尾并测试语法。

openssh使用match指令实现差异化安全策略

OpenSSH 的 Match 指令是实现细粒度访问控制的核心机制，它允许你根据用户、组、地址、主机名等条件，为不同连接动态启用或覆盖全局配置项。合理使用 Match 能在不牺牲可用性的前提下显著提升安全性。

Match 块的基本结构与匹配逻辑

Match 必须出现在 sshd_config 文件末尾（或至少在所有被其影响的配置项之后），且每个 Match 块只能包含一组匹配条件，后跟若干配置指令。匹配条件之间是“与”关系；多个 Match 块之间是“或”关系。一旦某连接满足某个 Match 块的所有条件，该块内的配置即生效，并会覆盖此前定义的同名全局配置。

支持的匹配字段包括：User、Group、Host（客户端主机名）、Address（客户端 IP 或 CIDR）、LocalAddress、LocalPort、AuthenticationMethods 等
条件值支持通配符（* 和 ?）和否定（前缀 !），例如 Match User !root, !backup
一个连接最多只匹配第一个符合条件的 Match 块（按配置文件中出现顺序），后续块即使也满足条件也不会生效

限制高权限账户的登录方式

对 root 或管理员账户强制更严格的身份验证，是降低横向移动风险的关键措施。例如，禁止 root 密码登录，仅允许指定密钥 + 双因子认证：

Match User root
    PermitRootLogin prohibit-password
    AuthenticationMethods publickey,keyboard-interactive:pam
    PubkeyAuthentication yes
    PasswordAuthentication no
    KbdInteractiveAuthentication yes

PermitRootLogin prohibit-password 禁用密码但保留密钥登录能力
AuthenticationMethods 要求必须同时通过公钥和 PAM（如 Google Authenticator）两步验证
注意：PAM 模块需已在系统中配置并启用，否则连接将失败

按来源网络实施差异化策略

内网管理终端可信度较高，可适当放宽限制；而来自公网的连接则应强化防护。例如，允许内网用户使用密码登录，但公网连接必须使用密钥：

Match Address 192.168.0.0/16,10.0.0.0/8,172.16.0.0/12
    PasswordAuthentication yes
    MaxAuthTries 6
<p>Match Address 0.0.0.0/0,::/0
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
LoginGraceTime 90</p>

第一个 Match 针对私有地址段，允许密码登录并提高尝试次数容限
第二个 Match 匹配所有 IPv4/IPv6 地址（即兜底规则），关闭密码登录，缩短认证超时时间
注意：Address 匹配的是 TCP 连接发起方的真实 IP，NAT 或反向代理后需确保 SSH 服务能获取原始地址（如通过 ProxyProtocol 或前端透传）

为特定用户组启用审计与会话限制

对运维人员或开发人员等特权组，可附加命令执行日志、会话超时、环境变量锁定等增强管控：

Match Group ops,admin
    ForceCommand /usr/local/bin/ssh-audit-wrapper
    AllowTcpForwarding no
    X11Forwarding no
    ClientAliveInterval 300
    ClientAliveCountMax 2
    SetEnv LANG=en_US.UTF-8
    UnsetEnv *