SSH 只允许密钥登录后还要收紧哪些服务边界

SSH 改成只允许密钥登录后，口令猜测这条路基本被切断了，但服务边界还没有自动变窄。真正需要继续收紧的是：谁能登录、从哪里登录、登录后能做什么、未认证连接能占用多少资源，以及改动后如何确认最终配置真的生效。

一、密钥登录只是认证边界

PasswordAuthentication no 只关闭密码认证。OpenSSH 还把键盘交互、公钥、主机认证等视为不同方法，所以要检查 KbdInteractiveAuthentication，不要把“没有密码提示”误当成“只剩公钥”。如果服务器只承担普通管理登录，可以把认证意图写清楚：

# 只接受公钥认证
PubkeyAuthentication yes
AuthenticationMethods publickey
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitEmptyPasswords no

AuthenticationMethods publickey 明确要求公钥方法成功；如果业务使用双因素认证，就不能照搬这一行，而应按实际方法组合配置。

二、把账号、来源和会话能力分开收紧

身份边界通常先处理 root 和账号白名单。PermitRootLogin prohibit-password 仍允许 root 使用密钥登录；确实不需要远程 root 时，应使用 PermitRootLogin no。再用 AllowGroups 或 AllowUsers 缩小可登录主体：

# 远程管理只允许专用管理组
PermitRootLogin no
AllowGroups ssh-admins

AllowUsers 还支持 USER@HOST 和 CIDR 条件，但不要把动态办公出口硬编码成一个很快失效的地址。更稳妥的做法，是在安全组、防火墙或 VPN 层只放行授权管理网段，再由 sshd 做账号白名单，两层互相补位。

公钥通过后，连接仍可能申请 TCP 转发、Unix 套接字转发、Agent 转发或 X11。对只用于登录运维的主机，可直接关闭全部转发：

# 适用于不承担跳板、代理或远程开发的普通管理主机
DisableForwarding yes
X11Forwarding no
PermitTunnel no

DisableForwarding 会覆盖其他转发选项。跳板机、远程开发、数据库隧道和某些自动化任务依赖这些能力，应该按账号写 Match User 或 Match Group，而不是全局一刀切。对旧版本 OpenSSH，可分别检查 AllowTcpForwarding、AllowStreamLocalForwarding 和 AllowAgentForwarding 是否支持并按需关闭。

三、限制认证窗口，不迷信“改端口”

改成非 22 端口可以减少日志噪声，却不会改变认证与授权边界。更直接的控制是缩短未登录连接停留时间、减少单连接尝试次数，并限制并发未认证连接：

# 示例起点，需按堡垒机、自动化和并发规模压测后调整
LoginGraceTime 30
MaxAuthTries 3
MaxStartups 10:30:60

MaxStartups 10:30:60 表示未认证连接达到 10 条后开始按概率丢弃，到 60 条时全部拒绝。它是容量保护参数，不是万能的防攻击开关；高并发运维平台应结合真实峰值调大，避免把合法批量任务一起挡住。

四、用有效配置检查代替肉眼猜测

sshd_config 支持 Include 和 Match，而且很多指令采用“先取得的值生效”。只看文件尾部很容易误判。改动后先检查语法与主机密钥，再针对具体用户、来源地址展开最终值：

# 检查配置语法和主机密钥可用性
sudo sshd -t

# 查看 admin 从指定来源连接时的最终有效配置
sudo sshd -T -C user=admin,host=client.example,addr=203.0.113.10 \
  | grep -E 'authenticationmethods|passwordauthentication|kbdinteractiveauthentication|permitrootlogin|allowtcpforwarding|allowagentforwarding'

确认 sshd -t 无输出且退出成功后，再加载服务。systemd 发行版的单元名可能是 sshd，也可能是 ssh，应先用 systemctl status 确认，再执行对应的 systemctl reload sshd 或 systemctl reload ssh。不要先关闭当前管理会话；另开第二条连接完成公钥登录、sudo 和必要自动化测试后，再退出旧会话。

五、兼容性与采用清单

• 确认至少有一个非 root 管理账号已经安装可用公钥，并检查 ~/.ssh、authorized_keys 的所有者和权限；默认开启的 StrictModes 会核对这些条件。
• 盘点跳板、SFTP、VS Code Remote、数据库隧道、Agent 转发和 CI/CD，记录哪些账号确实需要例外。
• 先做 sshd -t，再用 sshd -T -C 核对目标账号；保留旧会话，用第二连接验证。
• 同步检查云安全组、防火墙、VPN、审计日志和密钥吊销流程。密钥丢失后的撤销速度，比“永不改配置”更重要。

OpenSSH 当前手册可查阅：https://man.openbsd.org/sshd_config 与 https://man.openbsd.org/sshd。发行版可能携带不同版本或额外补丁，最终应以本机 man sshd_config 和 sshd -T 输出为准。

相关问题

只关闭 PasswordAuthentication 就够了吗？

不够。还要检查键盘交互认证、root 登录、账号白名单以及转发能力；否则只是关闭了一种认证方法。

可以直接重启 sshd 吗？

不建议把重启当成第一步。先运行 sshd -t，保留现有会话，优先加载配置并用第二条连接验证，这样出现错误时还有回滚入口。