如何在Linux中配置具体的SSH权限-LINUX-PHP中文网

必须同步设置PasswordAuthentication no，否则攻击者可爆破普通用户密码后sudo提权；PermitRootLogin no仅禁root登录，不关密码认证则普通用户仍可用密码登录。

如何在linux中配置具体的ssh权限

PermitRootLogin no 为什么必须配 PasswordAuthentication no

只关 PermitRootLogin no 不关 PasswordAuthentication no，等于给攻击者留了条后门：他们可以爆破普通用户密码，再用 sudo 提权。这两个开关是正交的，不是“二选一”。PermitRootLogin 控制 root 能不能登录，PasswordAuthentication 控制密码能不能用——关前者不关后者，普通用户照样能输密码登录。

常见错误包括：

PasswordAuthentication 行被注释（# PasswordAuthentication yes），实际生效的是默认值 yes
配置文件里存在多行 PasswordAuthentication，系统取第一个未注释的值
改完没 reload 或 restart 服务，配置根本没加载

AllowUsers 配置错一个字母就全锁死

AllowUsers 是白名单机制，写错用户名、漏加空格、或用户还没创建，会导致所有 SSH 连接被拒——包括你正在用的那个会话。它比 PermitRootLogin 更早拦截连接请求，连登录提示都不显示。

实操要点：

在 /etc/ssh/sshd_config 末尾添加一行：AllowUsers admin deploy（空格分隔，不要逗号）
确保这些用户已存在：id admin 要返回用户信息
如果已禁用密码登录，确认每个允许用户的 ~/.ssh/authorized_keys 存在且权限为 600
修改后用 sudo systemctl reload sshd（不是 restart），避免当前会话断开

Match 块必须放配置文件末尾且用空行分隔

Match 块用于条件化策略，比如“只让运维组从内网登录”或“SFTP 用户禁止 shell 访问”。但它不按顺序执行，而是按匹配优先级生效，且解析逻辑依赖位置。

典型错误：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

Match 块写在 PermitRootLogin 等全局配置前面，导致部分规则被忽略
块之间没空行，SSH 守护进程把两段当成一个块解析，报错 sshd_config line xxx: Bad Match condition
ChrootDirectory 指定路径的所有者不是 root，启动时直接拒绝加载该 Match

示例（限制 sftp-only 组）：

Match Group sftp-only
    PasswordAuthentication no
    ChrootDirectory /sftp/%u
    ForceCommand internal-sftp
    AllowTcpForwarding no

authorized_keys 权限不对，密钥就失效

SSH 服务对密钥文件权限极其敏感。只要 ~/.ssh 目录权限不是 700，或 authorized_keys 不是 600，就会静默跳过密钥认证，回退到密码（如果启用）或直接拒绝。

注意点：

用户主目录（如 /home/deploy）不能有组/其他写权限，否则整个 ~/.ssh 树被忽略
SELinux 启用时，~/.ssh 下文件上下文必须是 ssh_home_t，否则即使权限正确也失败；可用 restorecon -R ~/.ssh 修复
sshd_config 中 AuthorizedKeysFile 默认是 .ssh/authorized_keys，别改成相对路径如 ./.ssh/... 或绝对路径没写对

最常被忽略的是：改完权限后忘了重启 sshd，或者用 sudo su - user 切换用户时，当前 shell 的 umask 影响新生成文件的默认权限。