仅允许从一个 IP 地址进行 root 登录

Question

我有centos5。

有什么方法可以让我只使用特定 IP 地址的 root 用户登录我的 vps 服务器。

我已经读到我可以使用私钥登录到 sshd。但问题是我所有的网站都使用 SFTP，我不希望非 IT 用户使用密钥登录 SFTP。

或者有什么方法可以让只有root才能使用密钥登录shell，但其他人可以使用普通密码

Answer 1

现在更好的方法是使用 Match 关键字：

Match Host myworkstation
        PermitRootLogin yes

或者

Match Address 192.168.1.100
        PermitRootLogin yes

这样，您可以将 PermitRootLogin 设置为“no”，但您仍然可以从工作站以 root 身份登录。

例如，这也可以用于允许 root 在两台主机之间 rsync 数据。

Answer 2

通常最好先以非特权用户身份登录，然后使用“su -”或“sudo”获得 root 权限，但是...

您始终可以将 IP 限制放在 ~root/.ssh/authorized_keys 中的密钥上：

from="192.168.1.100" ssh-rsa AAAAh9uif...auwehuf== yourkey@yourhost.com

这将允许 ssh 仅从 192.168.1.100 使用 yourkey@yourhost.com 密钥。

Answer 3

首先，为什么要阻止用户使用密钥身份验证？这对我来说毫无意义。

其次，不允许 root 通过 ssh 登录。只是不要这样做——没有充分的理由需要这样做。它违背了现有的所有最佳实践，并且有充分的理由。如果您需要授予读/写某些文件的权限，您应该能够通过标准 Linux 文件系统权限来执行此操作。如果您需要更细粒度的访问控制，请查看 Linux ACL 系统。