SSH PAM认证失败常见原因有哪些？

Question

SSH PAM认证失败的常见技术问题之一是PAM配置文件错误。例如，`/etc/pam.d/sshd` 文件中误配或缺失关键模块（如 `pam_unix.so` 或 `pam_sss.so`），会导致用户无法通过密码认证。常见表现为日志中出现“pam_authenticate: Authentication failure”，但系统账户本身无问题。此外，SELinux策略限制、服务模块顺序不当或第三方PAM模块（如用于双因素认证）异常，也可能中断认证流程。排查时需结合 `auth.log` 或 `secure` 日志分析PAM模块执行路径，确保配置语法正确且模块按预期加载。

Answer 1

1. SSH PAM认证失败的常见表现与初步判断

在Linux系统中，SSH登录依赖于PAM（Pluggable Authentication Modules）框架进行身份验证。当用户尝试通过SSH使用密码登录时，若出现“Permission denied, please try again.”但账户本身无误，且/etc/passwd和/etc/shadow配置正确，则应怀疑PAM层面的问题。

典型日志信息出现在/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL/CentOS）中，例如：

sshd[1234]: pam_authenticate: Authentication failure
sshd[1234]: Failed password for user from 192.168.1.100 port 54321 ssh2

此类错误表明PAM模块未能成功完成认证流程，而问题往往不在于用户凭据本身，而是PAM配置逻辑或模块加载异常所致。

2. 核心PAM配置文件结构解析

PAM的SSH服务配置主要由/etc/pam.d/sshd控制。该文件定义了四个管理组：auth、account、session、password，每一行代表一个模块调用。

类型	作用	常见模块示例
auth	验证用户身份（如密码校验）	pam_unix.so, pam_sss.so, pam_google_authenticator.so
account	检查账户状态（是否过期、锁定等）	pam_access.so, pam_time.so
session	会话初始化（环境变量设置、日志记录）	pam_limits.so, pam_mkhomedir.so
password	密码修改策略	pam_pwquality.so

3. 常见PAM配置错误类型分析

• 缺失关键模块：例如忘记包含auth required pam_unix.so，导致本地用户无法使用/etc/shadow进行密码比对。
• 模块顺序不当：若将双因素认证模块置于pam_deny.so之后，即使配置正确也无法执行。
• 拼写或路径错误：如误写为pam_unnix.so，系统无法加载模块，静默跳过或返回失败。
• 控制标志误用：required、sufficient、requisite语义不同，错误使用会导致短路或延迟失败。

以下是一个典型的错误配置片段：

# 错误示例：缺少 auth 阶段核心模块
account    required     pam_nologin.so
account    include      password-auth
session    required     pam_selinux.so close
session    required     pam_loginuid.so

4. 第三方模块与安全策略干扰

现代环境中常集成第三方PAM模块增强安全性，如：

• pam_sss.so：用于LDAP/Active Directory认证
• pam_google_authenticator.so：实现TOTP双因素认证
• pam_tally2.so：账户失败次数锁定机制

这些模块若配置不当或依赖服务未运行（如SSSD宕机），将直接中断认证链。此外，SELinux可能阻止PAM模块访问敏感资源，需通过ausearch -m avc -ts recent排查拒绝事件。

5. 排查流程与诊断工具链

1. 查看SSH认证日志：tail -f /var/log/secure | grep sshd
2. 启用PAM调试模式：在/etc/pam.d/sshd中添加debug参数，如auth required pam_unix.so debug
3. 使用pam_tool测试模块可用性（部分发行版支持）
4. 检查SELinux状态：getenforce 和 sealert -a /var/log/audit/audit.log
5. 模拟用户认证路径：利用libpam-test工具集进行非侵入式验证

6. 正确配置示例与恢复方案

标准RHEL系系统的/etc/pam.d/sshd应包含如下核心内容：

auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
session    required     pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_keyinit.so force
session    include      password-auth
session    required     pam_selinux.so open env_params

对于基于Debian的系统，推荐使用common-*文件继承机制，确保一致性。

7. 可视化认证流程：Mermaid 流程图

graph TD
    A[SSH连接请求] --> B{PAM auth阶段}
    B --> C[调用 pam_unix.so 或 pam_sss.so]
    C --> D{认证成功?}
    D -- 是 --> E[PAM account检查]
    D -- 否 --> F[记录失败并返回]
    E --> G{账户有效?}
    G -- 是 --> H[PAM session初始化]
    G -- 否 --> F
    H --> I[SSH会话建立]
    I --> J[用户登录成功]