如何通过PAM认证模块实现基于IP白名单的SSHD细粒度访问控制-安全-PHP中文网

pam不适合做ssh ip白名单，因其作用于认证阶段而非连接建立前，无法阻止非法ip发起tcp握手和协议协商，仍消耗资源并产生日志；且openeuler等系统禁用usepam no，表明其定位是辅助认证而非网络准入控制。

如何通过pam认证模块实现基于ip白名单的sshd细粒度访问控制

不能靠 PAM 实现真正的 SSH IP 白名单访问控制。

为什么 PAM 不适合做 SSH 的 IP 白名单

PAM（Pluggable Authentication Modules）在 SSH 登录流程中起作用的位置较晚——它发生在 TCP 连接已建立、SSH 协议握手完成、用户身份（如用户名）已提交之后。此时连接已进入认证阶段，IP 地址虽可被获取（如通过 pam_access.so），但无法阻止非法 IP 发起连接请求本身。

这意味着：攻击者仍能持续发起 TCP 握手和 SSH 协议协商，消耗服务端资源；大量失败登录日志仍会产生；且若用户存在弱密钥或配置疏漏，PAM 层的限制可能被绕过。

更关键的是：OpenEuler 等主流发行版明确警告不支持禁用 PAM（UsePAM no 不被允许），说明其设计定位是辅助认证与会话管理，而非网络准入控制。

真正有效的 IP 白名单应放在网络层或 SSH 协议层

优先级从高到低推荐如下：

防火墙（firewalld / iptables）：在网络入口处拦截，未匹配白名单的 IP 连 22 端口都会被直接丢弃，零认证开销。例如：
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.10" port port="22" protocol="tcp" accept'
sudo firewall-cmd --reload
sshd_config 的 AllowUsers + 主机模式：在 SSH 协议解析阶段过滤，支持 alice@203.0.113.10 或 bob@192.168.1.*，认证前拒绝，不提示密码。需 systemctl reload sshd 生效。
TCP Wrappers（/etc/hosts.allow & /etc/hosts.deny）：对支持 libwrap 的服务有效，但 OpenSSH 在多数现代系统中默认已禁用该功能，不可依赖。

如果坚持要在 PAM 中加一层校验（仅作补充）

可配合 pam_access.so 做二次检查，但必须清楚它的局限性：

编辑 /etc/pam.d/sshd，在首行插入：
auth [fail=ok ignore=ignore] pam_access.so accessfile=/etc/security/access.conf
在 /etc/security/access.conf 中写入：
+ : alice : 203.0.113.10
- : ALL : ALL
注意：此规则只对已输入用户名的登录尝试生效；若攻击者扫的是 root/test 等无效用户，PAM 甚至不会加载该模块；且无法阻止暴力探测本身。