AllowGroups 和 root@IP

Question

我有几台具有以下 sshd 配置的服务器。

# Authentication:
PermitRootLogin no
AllowGroups ssh
PubkeyAuthentication yes
PasswordAuthentication no

这意味着“ssh”组中的每个用户都可以登录，但只能使用 pubkey。不允许root登录。

但root一定有一个例外：我的$ip备份服务器必须以root身份登录。

我试过了：

AllowUsers root@$ip
AllowGroups ssh

但是 AllowUsers 会覆盖 AllowGroups 语句。所以只有 $ip 的 root 才能登录。

Match User root, Address $ip
    PermitRootLogin {yes|without-password}
    AllowUsers root

和

Match Address $ip
    PermitRootLogin {yes|without-password}
    AllowUsers *

两者都被完全忽略。 “ssh”组中的普通用户仍然只能登录。

这是一个简单的场景，用户登录限制为 pubkey，root 登录限制为 pubkey 和某些 ip。如何解决？

Answer 1

你还没有发布你的整个sshd_config，所以重现这种情况有点困难，但这似乎有效：

# Main config prohibits all logins
PermitRootLogin no
AllowUsers root

# Permit root logins from a specific address
Match Address 192.168.1.20
  PermitRootLogin yes

# Allow logins to anyone in "ssh" group.
Match Group ssh
  AllowUsers *

另一种解决方案是：

• 在您的sshd_config 中有以下内容：

  AllowGroups ssh
  PermitRootLogin without-password
  

• 使root 成为ssh 组的成员。

  usermod -a -G ssh root
  

• 将公钥添加到/root/.ssh/authorized_keys 源地址，像这样：

  from=192.168.1.20 ssh-rsa ...
  

这会让你得到你想要的：

• 只有ssh 组的成员才能登录。
• root只能从特定ip地址登录 authorized_keys 文件。