OpenWrt新增账号后无法SSH登录？

Question

在OpenWrt系统中，新增用户后无法通过SSH登录是一个常见问题。通常原因是新用户未正确配置家目录或shell权限。OpenWrt默认使用`/etc/passwd`管理用户，若添加用户时未指定有效的shell（如`/bin/sh`）或家目录不存在，SSH服务会拒绝登录。此外，`dropbear`（OpenWrt默认SSH服务）可能因PAM配置或用户权限限制阻止非root用户登录。需检查`/etc/config/dropbear`中是否启用允许普通用户登录，并确保新用户已加入适当组（如users），且密码已通过`passwd`命令设置。忽略任一环节均可能导致登录失败。

Answer 1

OpenWrt新增用户无法SSH登录：从机制到实战的深度解析

1. 问题背景与常见现象

在嵌入式Linux系统如OpenWrt中，管理员常需创建非root用户以实现权限分离和安全加固。然而，新添加的用户在尝试通过SSH登录时往往遭遇连接被拒绝或立即断开的情况。典型错误日志包括：

Permission denied, please try again.
Connection closed by remote host

这类问题并非网络层故障，而是系统级配置疏漏所致。根本原因通常集中在用户环境初始化不完整、服务端策略限制以及权限模型缺失三个方面。

2. 核心机制分析：OpenWrt用户管理与SSH服务模型

OpenWrt采用轻量级设计，默认不启用完整的PAM（Pluggable Authentication Modules）体系，用户认证依赖于传统的/etc/passwd和/etc/shadow文件。其SSH服务由dropbear提供，相较于OpenSSH更节省资源，但功能受限。

关键配置路径如下：

• /etc/passwd —— 存储用户基本信息
• /etc/shadow —— 加密存储密码哈希
• /etc/group —— 用户组定义
• /etc/config/dropbear —— Dropbear服务配置

3. 常见故障点排查清单

检查项	可能问题	验证命令
家目录存在性	未创建 /home/username	ls -ld /home/username
Shell有效性	shell字段为空或设为 /bin/false	grep username /etc/passwd
Password设置	未使用passwd设置密码	passwd username
Dropbear配置	未启用PasswordAuth或GatewayPorts	cat /etc/config/dropbear
用户所属组	未加入users或其他有效组	groups username

4. 解决方案分步实施

1. 使用adduser username交互式创建用户（推荐），自动处理家目录与shell配置
2. 若手动添加，确保/etc/passwd条目格式正确，例如：
   testuser:x:1001:1001::/home/testuser:/bin/sh
3. 创建并设置家目录权限：

   mkdir -p /home/testuser
   cp /etc/skel/* /home/testuser/ -a
   chown -R testuser:testuser /home/testuser

4. 设置密码：passwd testuser
5. 确认/etc/config/dropbear包含以下配置：

   config dropbear
       option PasswordAuth 'on'
       option RootPasswordAuth 'on'
       option Port '22'

6. 重启SSH服务：/etc/init.d/dropbear restart

5. 高级调试手段与日志分析

当基础步骤无效时，应启用Dropbear调试模式：

/usr/sbin/dropbear -F -E -v

观察输出中的关键信息：

• User 'xxx' has invalid shell → Shell不可执行
• No home directory for user → 家目录缺失
• Password auth failed → 密码错误或shadow未更新

6. 可视化流程图：SSH登录失败诊断路径

graph TD
            A[用户SSH登录] --> B{Dropbear是否允许密码认证?}
            B -- 否 --> C[修改/etc/config/dropbear]
            B -- 是 --> D{用户存在于/etc/passwd?}
            D -- 否 --> E[使用adduser/addgroup创建]
            D -- 是 --> F{Shell字段有效? (/bin/sh)}
            F -- 否 --> G[修改passwd中shell路径]
            F -- 是 --> H{家目录是否存在?}
            H -- 否 --> I[创建并赋权/home/username]
            H -- 是 --> J{密码已设置?}
            J -- 否 --> K[运行passwd username]
            J -- 是 --> L[登录成功]

7. 安全建议与最佳实践

尽管目标是实现登录功能，但仍需兼顾安全性：

• 避免为普通用户分配/bin/ash以外的shell，防止引入复杂依赖
• 定期审计/etc/passwd中shell字段合法性
• 考虑结合uhttpd实现Web终端替代方案
• 对于远程访问场景，建议配合fail2ban-like脚本进行暴力破解防护
• 生产环境中禁用root直接SSH登录，通过sudo提升权限