必须用SSH Banner实现法律声明前置触达，因其在TCP连接建立后、身份验证开始前强制展示，满足等保2.0三级、ISO 27001等合规要求；/etc/motd或/issue仅在认证后或本地显示，不满足审计刚性条件。
新手配置 Linux Banner 欢迎语，核心不是“怎么写一句话”，而是确保它在合规审查中被认定为“已明确告知用户”——这要求内容必须在用户输入账号前强制展示、不可跳过、权限正确、路径可信。直接改 /etc/motd 或 /etc/issue 通常不满足等保、GDPR 或金融行业审计要求，因为它们出现在认证后或仅限本地终端。
必须用 SSH Banner 实现法律声明前置触达
合规性审查（如等保2.0第三级、ISO 27001 登录控制条款）明确要求“用户在身份验证开始前即知悉系统使用规则”。只有 Banner 满足这一刚性条件：它在 TCP 连接建立后、任何认证交互（用户名/密码/密钥）之前发送，所有连接者（包括扫描器、未授权尝试者）都会收到。
- 编辑
/etc/ssh/sshd_config，取消注释并设置：Banner /etc/ssh/banner - 创建该文件：
sudo tee /etc/ssh/banner <<'EOF'<br>==================================================<br>WARNING: Unauthorized access to this system is strictly prohibited.<br>All activities are logged and subject to audit.<br>By connecting, you consent to monitoring.<br>==================================================<br>EOF
- 严格设置权限：
sudo chown root:root /etc/ssh/banner && sudo chmod 644 /etc/ssh/banner - 重载服务生效：
sudo systemctl reload sshd（避免断连）
避免常见导致 Banner 静默失效的错误
很多新手配置后看不到提示，并非语法错误，而是 SSH 守护进程主动跳过加载——它不会报错，只会沉默忽略。
- 文件不能是符号链接（如指向
/var/tmp/banner），必须是真实文件且位于/etc/或/usr/等系统可信路径 - 权限不能高于
644（例如640或600会被拒绝读取） - 文件编码必须为 UTF-8 无 BOM，行尾用 LF（Unix 换行），不能含
\r\n（Windows 换行） - 确认没和其他 banner 类型冲突：如果
/etc/issue.net存在但 Banner 配置有误，sshd 不会 fallback 显示 issue.net
配合 motd 做登录后补充说明（非替代 Banner）
法律声明主干必须放在 Banner 中；/etc/motd 或 /etc/update-motd.d/ 可用于登录成功后展示辅助信息（如磁盘空间、上次登录时间），但不能承担“前置告知”责任。
- Debian/Ubuntu 系统：把补充声明放入
/etc/update-motd.d/99-legal，并设为可执行：sudo chmod +x /etc/update-motd.d/99-legal - RHEL/CentOS 8+：默认不启用 update-motd，可直接写入
/etc/motd，但需确认PrintMotd yes在sshd_config中启用 - 所有 motd 类文件权限均为
644，禁止 ANSI 转义序列（如颜色代码），否则审计工具可能标记为“非标准输出”
验证是否真正生效
不要只在本机 ssh localhost 测试——某些客户端（如 OpenSSH 9.0+ 默认）会抑制远程消息。用另一台机器执行：
-
ssh -o LogLevel=DEBUG3 user@your-server-ip exit 2>/dev/null | grep -i banner
应看到类似debug3: Sending banner... - 用手机 Termius 或 Windows PuTTY 连接，观察是否在输入用户名前就弹出警告文字
- 用 nmap 扫描 Banner：
nmap -sV --script ssh-banner your-server-ip，可直连获取原始 banner 内容（模拟未认证者视角）
