GSSAPIStrictAcceptorCheck yes 是 OpenSSH 8.7+ 引入的安全配置，要求 GSSAPI 认证时服务端严格校验票据中的服务主体名与本机 FQDN 完全匹配，防止 MITM 和票据伪造攻击，启用需满足 Kerberos 正确配置、hostname -f 返回规范域名等前提。
GSSAPIStrictAcceptorCheck yes 是 OpenSSH 8.7+ 版本引入的一项安全增强配置，用于在启用 GSSAPI（如 Kerberos）认证时，强制要求服务端（acceptor）严格校验客户端提供的票据（ticket）所声明的服务主体名（service principal）是否与当前 SSH 服务实际监听的主机名/域名完全匹配。它不是默认开启的，但开启后可显著缓解中间人（MITM）或票据伪造类攻击。
以下是关键说明和实操要点：
GSSAPIStrictAcceptorCheck 的作用
- 当设为yes 时，sshd 在收到客户端 GSSAPI 认证票据后，会比对票据中嵌入的 host/hostname@REALM（例如 host/server01.example.com@EXAMPLE.COM）与本机实际解析出的 **FQDN（全限定域名）** 是否一致；
- 若不一致（比如客户端用 host/server01@EXAMPLE.COM 或 host/192.168.1.10@EXAMPLE.COM），认证直接拒绝；
- 防止攻击者通过构造非标准主体名的票据绕过主机身份绑定，提升 Kerberos 环境下服务端可信度。
启用前提条件
/etc/krb5.conf、keytab 文件（如 /etc/krb5.keytab）、且 host/$(hostname -f)@REALM 主体已导入；
- GSSAPIAuthentication yes 和 GSSAPICleanupCredentials yes 已启用；
- 主机必须能通过 hostname -f 返回规范 FQDN（不能是 localhost 或 IP）。
配置步骤
- 编辑/etc/ssh/sshd_config：
GSSAPIAuthentication yes GSSAPICleanupCredentials yes GSSAPIStrictAcceptorCheck yes- 确保无拼写错误（注意大小写，是
GSSAPIStrictAcceptorCheck，不是 GSSAPIStrict... 或 Acceptor 拼错）；
- 重启服务：systemctl restart sshd；
- 验证是否生效：sshd -T | grep gssapi 应输出 gssapistrictacceptorcheck yes。
常见问题与建议
- 若启用后 Kerberos 登录失败，先检查hostname -f 输出是否与 keytab 中主体名完全一致（含大小写、域后缀）；
- 不要将 ListenAddress 设为 0.0.0.0 同时又依赖单个 FQDN —— 多网卡或多域名场景下，建议配合 UsePrivilegedPort no 和明确的 HostKey 策略；
- 日志中若出现 gssapi_accept_sec_context: Invalid name provided 或 principal name mismatch，即表明校验触发，需修正客户端票据请求逻辑或服务端主机名配置；
- 生产环境建议搭配 PubkeyAuthentication yes 作为备用认证方式，避免 GSSAPI 单点故障。
该选项本身不改变 Kerberos 流程，而是加了一道“主体名白名单”校验，属于轻量但关键的信任锚点强化措施。
