怎么配置 SSH 登录策略强制实施严格的身份验证链路实战

StrictModes仅校验路径权限与归属，需协同密钥强制、IP白名单、日志审计等四层设防：服务端启用PubkeyAuthentication yes并禁用密码登录；客户端使用ed25519密钥并设passphrase；网络层限制来源IP；运维层配置fail2ban与90天密钥轮换。

要让 SSH 登录真正具备可信赖的身份验证链路，不能只靠单一机制，而需在客户端发起、服务端校验、密钥生命周期、访问上下文四个环节协同设防。StrictModes 是其中一环，但不是全部——它只管权限和归属，不碰密钥有效性、不控 IP 来源、不验用户意图。

一、从服务端校验层加固：StrictModes + 密钥强制 + 用户锁定

StrictModes yes 是基础防线，但它默认开启且仅检查路径权限。必须配合以下配置才能形成完整校验链：

• 确保 /etc/ssh/sshd_config 中启用关键参数：
  PubkeyAuthentication yes
  PasswordAuthentication no
  PermitRootLogin no
  StrictModes yes（保持默认即可）
• 对高权限用户（如 deploy、admin），用 Match User 做精细化约束：
  Match User deploy
    ForceCommand /bin/bash -c 'echo "Deploy user: only authorized commands"; exec "$@"' --
    AllowTcpForwarding no
    X11Forwarding no
• 重启生效：sudo systemctl restart sshd

二、从客户端可信链入手：密钥生成与分发规范

再严格的服务器策略，也挡不住弱密钥或私钥泄露。实战中必须统一密钥标准：

• 生成时强制使用强算法与长度：
  ssh-keygen -t ed25519 -C "deploy@prod-2026"（优于 RSA-2048）
• 私钥必须设密码保护（passphrase），禁用空口令；公钥上传后立即执行权限修正：
  chmod 700 ~/.ssh && chmod 600 ~/.ssh/id_ed25519 && chmod 644 ~/.ssh/id_ed25519.pub
• 服务端 ~/.ssh/authorized_keys 中每行公钥建议添加环境限制与命令锁定，例如：
  command="/usr/local/bin/deploy-wrapper.sh",no-port-forwarding,no-X11-forwarding,from="10.10.5.0/24" ssh-ed25519 AAAAC3N... user@laptop

三、从访问控制层补位：IP 白名单 + 连接频控

身份验证链不能脱离网络上下文。仅凭密钥合法 ≠ 允许任意来源登录：

• 在 /etc/ssh/sshd_config 中结合 AllowUsers 或 AllowGroups 限定主体：
  AllowUsers [email protected].* [email protected]
• 搭配系统级防火墙（如 firewalld 或 iptables）做前置过滤：
  sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.10.5.0/24" service name="ssh" accept'
• 启用 fail2ban 防暴力试探（即使已禁密码）：
  它能识别异常连接模式（如高频密钥失败），自动封禁 IP，补上认证链最后一道动态响应。

四、从运维可观测性落地：日志+审计+轮换闭环

真正的“严格链路”，必须可追溯、可复盘、可持续：

• 确保 /etc/ssh/sshd_config 启用详细日志：
  LogLevel VERBOSE（记录密钥指纹、协商算法、登录终端等）
• 将 SSH 日志接入集中审计系统（如 rsyslog + ELK 或 Loki），设置告警规则：
  如“同一密钥 5 分钟内 3 次失败”“非工作网段首次成功登录”
• 建立密钥生命周期管理 SOP：
  所有部署密钥标注用途与过期时间；每 90 天轮换一次；离职人员密钥立即从所有 authorized_keys 中清除。