是，通过Match Address可按内网网段（如10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）分发差异化认证策略，需明确规则顺序、避免冲突，并置于sshd_config末尾，经sshd -t验证及日志确认后生效。
直接用 Match Address 就能按内网网段分发差异化认证策略，关键是把不同网段的规则写清楚、放对位置、避免冲突。
先理清内网常见网段范围
标准私有地址段有三类，实际部署中常按用途划分：
- 10.0.0.0/8：大型企业内网，常用于核心业务区、数据库集群
- 172.16.0.0/12（即 172.16.0.0–172.31.255.255）：中型网络，多用于办公终端、开发测试环境
- 192.168.0.0/16：小型局域网或边缘设备接入段，如运维跳板机、IoT管理网关
为不同网段配置差异化的认证方式
比如让办公区（172.16.0.0/12）保留密码+密钥双选，而核心业务区（10.0.0.0/8）强制密钥+双因子，边缘段（192.168.0.0/16）只允许指定密钥算法：
-
核心网段（高安全要求）：
Match Address 10.0.0.0/8
AuthenticationMethods publickey,keyboard-interactive:pam
PubkeyAcceptedAlgorithms ssh-ed25519,ecdsa-sha2-nistp384
PasswordAuthentication no -
办公网段（兼顾可用性）：
Match Address 172.16.0.0/12
PasswordAuthentication yes
PubkeyAuthentication yes
MaxAuthTries 6
LoginGraceTime 120 -
边缘网段（算法收敛）：
Match Address 192.168.0.0/16
PubkeyAcceptedAlgorithms +ssh-ed25519-cert-v01@openssh.com
PermitRootLogin no
AllowTcpForwarding no
注意顺序与兜底逻辑
Match 块从上到下匹配，第一个满足条件的即生效，后续不再检查。所以建议：
- 把最具体的网段（如 10.0.0.0/24）放在前面，更宽泛的（如 10.0.0.0/8）靠后
- 所有内网规则写完后，加一个公网兜底块：
Match Address 0.0.0.0/0,::/0
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
LoginGraceTime 90 - 确保所有 Match 块都放在 sshd_config 文件末尾，且不能包含 Port、ListenAddress 等全局参数
验证与上线前必须做的两件事
改完配置别急着重启，先做两步确认：
- 运行 sudo sshd -t 检查语法是否正确，避免配置错误导致 SSH 服务无法启动
- 用 ssh -F /dev/null -o "UserKnownHostsFile=/dev/null" -o "StrictHostKeyChecking=no" user@target" 模拟连接，观察日志 /var/log/auth.log 中是否命中预期的 Match 规则
