应使用AllowUsers指令配置白名单，如AllowUsers alice bob，仅列出用户可登录；修改后需sudo systemctl reload sshd生效，且DenyUsers在此情况下失效。
只允许特定用户通过SSH登录
默认情况下，SSH服务允许所有本地用户登录，但生产环境必须限制。关键在于修改 /etc/ssh/sshd_config 中的 AllowUsers 或 AllowGroups 指令，而非依赖系统级账户禁用（如 usermod -s /usr/sbin/nologin），后者无法阻止密钥认证成功后的会话建立。
-
AllowUsers接受空格分隔的用户名列表，例如：AllowUsers alice bob—— 只有这两个用户能登录，无论是否密码或密钥认证 - 支持用户名@IP格式实现更细粒度控制，例如：
AllowUsers alice@192.168.1.*，但注意通配符仅支持简单模式，不支持正则 - 若同时设置了
DenyUsers，它优先级低于AllowUsers；一旦启用AllowUsers，未列出的用户将被无条件拒绝，DenyUsers实际失效 - 修改后必须运行
sudo systemctl reload sshd（或sudo service ssh reload），restart会中断现有连接，reload更安全
禁止某用户使用密码登录，仅允许密钥
这是提升安全性的常见做法，但容易误配导致用户完全无法登录。核心是针对单个用户设置 ForceCommand 或利用 Match User 块，而非全局关闭密码认证。
- 在
/etc/ssh/sshd_config末尾添加Match User alice块，然后在其下写PasswordAuthentication no - 必须确保该用户已正确部署公钥到
/home/alice/.ssh/authorized_keys，且权限为600，目录为700，否则密钥认证直接失败 -
PubkeyAuthentication yes必须在全局段启用（默认通常已是），否则Match块里的PasswordAuthentication no会让用户彻底失联 - 测试时建议保留另一个 root 或管理员会话，避免锁死；可先用
ssh -o PasswordAuthentication=no alice@host模拟验证
限制用户只能执行指定命令（如只允许rsync）
当用户只需完成单一任务（如备份推送），不应赋予交互式 shell 权限。OpenSSH 提供 ForceCommand 配合 internal-sftp 或自定义脚本实现，比用 rssh 更轻量、无需额外安装。
- 对用户
backup，在sshd_config中添加：Match User backup<br> ForceCommand rsync --server --sender .
，这样用户执行ssh backup@host会直接进入 rsync 协议，无法获得 shell - 若需支持多种命令（如 rsync + scp），可写一个 wrapper 脚本（如
/usr/local/bin/limited-shell），用case $1分发，再在ForceCommand中调用它 -
ForceCommand会绕过用户 shell（即忽略/etc/passwd中的 shell 字段），因此即使设为/bin/bash也无效；务必确认脚本本身有执行权限且路径正确 - 注意：
scp和sftp在底层都依赖 shell 启动，若禁用 shell 又未适配ForceCommand，将报错Received signal 15或Write failed: Broken pipe
为什么改完配置 SSH 还连不上？常见排查点
权限问题和日志缺失是调试最大障碍。不要只看客户端报错“Connection refused”或“Permission denied”，要查服务端真实原因。
- 运行
sudo sshd -T验证配置语法正确性，它会输出合并后的生效配置，确认AllowUsers、PasswordAuthentication等值是否符合预期 - 查看实时日志：
sudo journalctl -u ssh -f（systemd）或sudo tail -f /var/log/auth.log（syslog），登录失败时通常明确写出被拒绝原因（如 “user alice not allowed” 或 “no authentication methods enabled”） - SELinux 启用时，
~/.ssh/authorized_keys的上下文可能被重置，执行restorecon -Rv ~/.ssh修复 - 用户主目录或
.ssh目录权限过宽（如 group/o 可写）会导致 OpenSSH 拒绝读取密钥，错误日志中会出现 “Authentication refused: bad ownership or modes”
Match 块的生效顺序和 ForceCommand 对协议兼容性的影响——它们不像普通参数那样“设置即生效”，而是依赖上下文匹配与子进程接管，稍有偏差就静默失败。动手前，先用 sshd -T 和日志交叉验证，比反复试错快得多。 
