OpenSSH 本身不支持最大验证尝试次数限制，需借助 pam_faillock（用户级锁定）或 fail2ban（IP 级封禁）实现；前者通过 PAM 记录失败登录并临时锁定账户，后者监控日志调用防火墙封禁源 IP，二者均需正确配置参数与路径并测试验证。

OpenSSH 本身不直接提供“最大验证尝试次数”的内置限制功能，该能力需依赖系统级工具（如 fail2ban 或 denyhosts）或 PAM 模块（如 pam_faillock）来实现登录失败计数与自动封禁。单纯修改 sshd_config 只能控制连接超时、密钥认证开关等，无法拦截暴力重试。

使用 pam_faillock 限制单用户失败次数（推荐 RHEL/CentOS/Fedora）

pam_faillock 是 Linux PAM 官方模块，可对每个用户独立记录失败登录，并在达到阈值后临时锁定账户（不影响 SSH 连接，仅拒绝认证）。配置前确保已安装 libpam-pwquality 和 pam_faillock（多数发行版默认包含）：

• 编辑 /etc/pam.d/sshd，在文件开头附近添加两行（注意顺序，[default=die] 表示只要 faillock 拒绝就立即终止认证）：
  

  auth [default=die] pam_faillock.so authfail deny=3 unlock_time=600 fail_interval=900<br>
  auth [default=die] pam_faillock.so authsucc deny=3 unlock_time=600 fail_interval=900

• 再在 /etc/pam.d/system-auth（或 common-auth，取决于发行版）中添加：
  

  auth [default=bad] pam_faillock.so preauth deny=3 unlock_time=600 fail_interval=900<br>
  auth [default=bad] pam_faillock.so authfail deny=3 unlock_time=600 fail_interval=900

• 参数说明：deny=3 表示 3 次失败后锁定；unlock_time=600 锁定 10 分钟；fail_interval=900 表示只统计最近 15 分钟内的失败记录
• 查看锁定状态：运行 faillock --user username；手动解锁：faillock --user username --reset

用 fail2ban 实现 IP 级自动封禁（通用性强，支持 Debian/Ubuntu/CentOS）

fail2ban 监控 SSH 日志（如 /var/log/auth.log 或 /var/log/secure），匹配失败模式后调用防火墙命令（iptables/nftables）封禁源 IP。操作步骤如下：

• 安装：Debian/Ubuntu 执行 sudo apt install fail2ban；CentOS/RHEL 执行 sudo yum install epel-release && sudo yum install fail2ban
• 复制默认配置：sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local，编辑 jail.local
• 启用 SSH 监控，在 [sshd] 段取消注释并调整：
  

  enabled = true<br>
  maxretry = 3<br>
  bantime = 3600<br>
  findtime = 600<br>
  backend = systemd

  （若日志由 journald 管理）
• 可选：自定义封禁动作（如加入云防火墙白名单、发送邮件告警），通过 action_ 参数配置
• 重启服务：sudo systemctl restart fail2ban；查看状态：sudo fail2ban-client status sshd

辅助加固：精简 SSH 认证方式与连接行为

限制尝试次数只是防御一环，配合以下配置可显著降低攻击面：

• 禁用密码登录，强制使用密钥：PasswordAuthentication no（写入 /etc/ssh/sshd_config，执行 sudo systemctl reload sshd 生效）
• 关闭 root 远程登录：PermitRootLogin no
• 限制允许登录的用户或组：AllowUsers alice bob 或 AllowGroups sshusers
• 缩短连接超时：LoginGraceTime 30（30 秒内未完成认证即断开）
• 禁用空密码：PermitEmptyPasswords no

验证与排查要点

配置生效后务必测试，避免误锁自己：

• 新终端登录测试失败计数是否触发（如用错误密码连 3 次后检查 faillock --user $USER 或 fail2ban-client status sshd）
• 确认封禁 IP 是否出现在 iptables -L -n | grep f2b（fail2ban）或 sudo iptables -L INPUT -n 中
• 检查日志路径是否匹配：fail2ban 的 filter 默认匹配 /var/log/auth.log（Debian）或 /var/log/secure（RHEL），路径错误会导致监控失效
• PAM 方式下，若使用非标准 SSH 端口或自定义服务名，需同步修改对应 PAM 配置文件（如 /etc/pam.d/sshd）