怎么限制OpenSSH最大验证尝试次数并配置拦截策略指南-安全-PHP中文网

openssh 本身不支持最大验证尝试次数限制，需借助 pam_faillock（用户级锁定）或 fail2ban（ip 级封禁）实现；前者通过 pam 记录失败登录并临时锁定账户，后者监控日志调用防火墙封禁源 ip，二者均需正确配置参数与路径并测试验证。

怎么限制openssh最大验证尝试次数并配置拦截策略指南

OpenSSH 本身不直接提供“最大验证尝试次数”的内置限制功能，该能力需依赖系统级工具（如 fail2ban 或 denyhosts）或 PAM 模块（如 pam_faillock）来实现登录失败计数与自动封禁。单纯修改 sshd_config 只能控制连接超时、密钥认证开关等，无法拦截暴力重试。

使用 pam_faillock 限制单用户失败次数（推荐 RHEL/CentOS/Fedora）

pam_faillock 是 Linux PAM 官方模块，可对每个用户独立记录失败登录，并在达到阈值后临时锁定账户（不影响 SSH 连接，仅拒绝认证）。配置前确保已安装 libpam-pwquality 和 pam_faillock（多数发行版默认包含）：

编辑 /etc/pam.d/sshd，在文件开头附近添加两行（注意顺序，[default=die] 表示只要 faillock 拒绝就立即终止认证）：

auth [default=die] pam_faillock.so authfail deny=3 unlock_time=600 fail_interval=900<br>
auth [default=die] pam_faillock.so authsucc deny=3 unlock_time=600 fail_interval=900

再在 /etc/pam.d/system-auth（或 common-auth，取决于发行版）中添加：

auth [default=bad] pam_faillock.so preauth deny=3 unlock_time=600 fail_interval=900<br>
auth [default=bad] pam_faillock.so authfail deny=3 unlock_time=600 fail_interval=900

参数说明：deny=3 表示 3 次失败后锁定；unlock_time=600 锁定 10 分钟；fail_interval=900 表示只统计最近 15 分钟内的失败记录
查看锁定状态：运行 faillock --user username；手动解锁：faillock --user username --reset

用 fail2ban 实现 IP 级自动封禁（通用性强，支持 Debian/Ubuntu/CentOS）

fail2ban 监控 SSH 日志（如 /var/log/auth.log 或 /var/log/secure），匹配失败模式后调用防火墙命令（iptables/nftables）封禁源 IP。操作步骤如下：

安装：Debian/Ubuntu 执行 sudo apt install fail2ban；CentOS/RHEL 执行 sudo yum install epel-release && sudo yum install fail2ban
复制默认配置：sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local，编辑 jail.local

启用 SSH 监控，在 [sshd] 段取消注释并调整：

enabled = true<br>
maxretry = 3<br>
bantime = 3600<br>
findtime = 600<br>
backend = systemd

（若日志由 journald 管理）

可选：自定义封禁动作（如加入云防火墙白名单、发送邮件告警），通过 action_ 参数配置
重启服务：sudo systemctl restart fail2ban；查看状态：sudo fail2ban-client status sshd

辅助加固：精简 SSH 认证方式与连接行为

限制尝试次数只是防御一环，配合以下配置可显著降低攻击面：

禁用密码登录，强制使用密钥：PasswordAuthentication no（写入 /etc/ssh/sshd_config，执行 sudo systemctl reload sshd 生效）
关闭 root 远程登录：PermitRootLogin no
限制允许登录的用户或组：AllowUsers alice bob 或 AllowGroups sshusers
缩短连接超时：LoginGraceTime 30（30 秒内未完成认证即断开）
禁用空密码：PermitEmptyPasswords no

验证与排查要点

配置生效后务必测试，避免误锁自己：

新终端登录测试失败计数是否触发（如用错误密码连 3 次后检查 faillock --user $USER 或 fail2ban-client status sshd）
确认封禁 IP 是否出现在 iptables -L -n | grep f2b（fail2ban）或 sudo iptables -L INPUT -n 中
检查日志路径是否匹配：fail2ban 的 filter 默认匹配 /var/log/auth.log（Debian）或 /var/log/secure（RHEL），路径错误会导致监控失效
PAM 方式下，若使用非标准 SSH 端口或自定义服务名，需同步修改对应 PAM 配置文件（如 /etc/pam.d/sshd）