如何仅允许来自某些 IP 地址的 SSH 密码身份验证？

Question

我想只允许来自某个子网的 SSH 密码身份验证。我看到了全局禁止它的选项/etc/ssh/sshd_config：

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

有没有办法将此配置应用于选定的 IP 地址范围？

Answer 1

使用Match块在最后的/etc/ssh/sshd_config：

# Global settings
…
PasswordAuthentication no
…

# Settings that override the global settings for matching IP addresses only
Match address 192.0.2.0/24
    PasswordAuthentication yes

然后告诉 sshd 服务重新加载其配置：

service ssh reload

Answer 2

你可以加：

AllowUsers user1@192.168.*.*, user2@192.168.*.*

这会改变默认行为，真正拒绝来自所有主机的所有其他用户。匹配块在OpenSsh 5.1及更高版本上可用。