GSSAPIStrictAcceptorCheck 是 OpenSSH 服务端控制 GSSAPI 认证时是否严格校验客户端票据对应主机 FQDN 的选项，默认 yes；启用后要求 Kerberos 票据必须匹配本机完整域名的 host/ 服务主体，否则拒绝认证，依赖准确的 hostname -f、DNS 解析和 keytab 配置。

GSSAPIStrictAcceptorCheck 是 OpenSSH 服务端（sshd）中用于强化 GSSAPI 认证环节主机身份校验的关键选项。它控制客户端是否必须针对当前主机名（FQDN）所对应的 Kerberos 主机服务（如 host/hostname.example.com@REALM）完成认证，从而防止因密钥泛用或域名解析异常导致的误认风险。

---

? 作用原理：为什么需要开启严格检查

当 GSSAPIStrictAcceptorCheck yes 时：

• SSH 服务端会验证客户端提供的 GSSAPI 凭据（如 Kerberos TGT 或服务票据）是否明确指向本机的完整限定域名（FQDN） 对应的 host/ 服务主体；
• 若客户端票据是为 host/server1@REALM 签发，但当前 SSH 服务运行在 server2.example.com 上，且未配置 server2 的对应密钥，则认证失败；
• 这能有效阻断“一台密钥被多台机器共用”或“DNS 指向错误但 Kerberos 仍放行”的越权访问场景。

⚠️ 注意：该机制依赖准确的 FQDN 解析和正确的 /etc/krb5.keytab 中 host 服务密钥绑定。若主机无 DNS 反向解析、/etc/hosts 配置不一致，或 keytab 缺失对应条目，开启后会导致合法用户无法登录。

---

? 配置步骤（服务端生效）

1. 编辑 SSH 服务端主配置文件

   sudo vim /etc/ssh/sshd_config

2. 确保以下两行存在且启用（取消注释并设为 yes）：

   GSSAPIAuthentication yes
   GSSAPIStrictAcceptorCheck yes

3. 验证主机 FQDN 是否正确
   运行：

   hostname -f

   输出应为可被 Kerberos 域解析的全限定名（如 web01.internal.company.com），且与 keytab 中 host/ 主体一致：

   sudo klist -k /etc/krb5.keytab | grep "host/"

4. 重启 SSH 服务使配置生效

   sudo systemctl restart sshd

---

✅ 推荐配套加固项

• 禁用 DNS 反查（避免因 DNS 故障连带影响 GSSAPI）
  在 sshd_config 中添加：

  UseDNS no

• 限制 GSSAPI 密钥交换算法（防降级）
  显式指定强算法（OpenSSH 8.7+）：

  GSSAPIKexAlgorithms gss-gex-sha256-,gss-group16-sha512-

• 日志级别调高便于排错
  临时设为 LogLevel VERBOSE，观察 /var/log/secure 中类似：

  debug1: GSSAPI acceptor check failed for 'host/badname@REALM': No credentials cache found

---

❌ 常见误配与后果

• GSSAPIStrictAcceptorCheck yes 但 hostname -f 返回 localhost 或不可解析名 → 所有 GSSAPI 登录失败
• /etc/krb5.keytab 中只有 host/shortname@REALM，而 hostname -f 返回 fqdn → 票据不匹配，拒绝认证
• 同一 keytab 被复制到多台主机且未更新主体名 → 严格模式下仅首台可用，其余均失效

如需兼容多主机共享密钥的运维场景，应保持 no，但须配合网络隔离、防火墙策略及定期密钥轮换弥补风险。

---

配置本身不复杂，但依赖 Kerberos 基础设施的准确性。开启前务必确认 FQDN、DNS、keytab 三者一致。