Ubuntu启用root后无法SSH登录，如何安全配置？

Question

Ubuntu默认禁用root SSH登录，即使已设置root密码并启用`sudo passwd root`，仍会因SSH服务配置限制而拒绝连接。常见原因有三：一是`/etc/ssh/sshd_config`中`PermitRootLogin`默认为`prohibit-password`或`no`；二是`PasswordAuthentication`被禁用（尤其在密钥认证模式下）；三是PAM策略或`/etc/ssh/sshd_config`中`AllowUsers`/`DenyUsers`显式排除root。直接设为`yes`虽可解燃眉之急，但严重违背最小权限与安全最佳实践。正确做法是：优先使用普通用户+密钥登录，再`sudo -i`提权；若确需root远程访问，应严格限定为`PermitRootLogin prohibit-password`（仅允许密钥登录），配合`Fail2ban`、IP白名单及非标端口，并禁用密码认证。修改后务必执行`sudo systemctl restart sshd`并验证新会话，切勿断开当前连接以防锁死。

Answer 1

```html

一、现象层：Ubuntu 默认拒绝 root SSH 登录的直观表现

执行 ssh root@192.168.1.100 时，无论是否已运行 sudo passwd root 设置密码，均返回 Permission denied (publickey) 或 Authentication failed。此非密码错误，而是 SSH 守护进程在连接建立早期即依据策略主动拒绝 root 身份认证请求。

二、配置层：三大核心限制机制解析

• PermitRootLogin：Ubuntu 22.04+ 默认值为 prohibit-password（允许密钥，禁用密码）；旧版可能为 no。该指令直接控制 root 是否可完成身份验证流程。
• PasswordAuthentication：若设为 no（常见于云镜像或安全加固模板），则即使 PermitRootLogin yes 也无效——因密码路径被全局切断。
• 访问控制白/黑名单：当 AllowUsers john alice 存在时，root 不在列表中即被静默拒绝；DenyUsers root 则显式封禁；PAM 模块如 pam_access.so 亦可通过 /etc/security/access.conf 施加更细粒度策略。

三、安全层：为何 PermitRootLogin yes 是反模式？

风险维度	技术后果	真实案例佐证
暴力破解面扩大	root 是全球唯一固定用户名，成为自动化扫描首选目标	2023年CIS Ubuntu Benchmark v2.0.1 明确将此项列为「高危配置」
审计追溯失效	所有操作归属 root，无法区分操作者与责任主体	金融行业等保2.0要求「操作可审计到具体自然人」
权限爆炸风险	SSH会话直通 root shell，无二次确认、无命令拦截点	某云厂商因误删命令导致生产集群不可用，根源为 root 直连执行

四、实践层：最小权限远程运维标准流程

1. 创建专用管理用户：sudo adduser --gecos "" opsadmin
2. 配置免密登录：sudo mkdir -p /home/opsadmin/.ssh && sudo cp ~/.ssh/authorized_keys /home/opsadmin/.ssh/ && sudo chown -R opsadmin:opsadmin /home/opsadmin/.ssh
3. 赋予有限提权能力：echo "opsadmin ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/journalctl" | sudo tee /etc/sudoers.d/opsadmin
4. 启用 root 密钥专属通道（仅限必要场景）：PermitRootLogin prohibit-password + ForceCommand /bin/bash -c 'if [ "$SSH_CONNECTION" ]; then exec /bin/bash; else exit 1; fi'

五、加固层：纵深防御体系构建

graph LR
A[SSH 连接请求] --> B{端口检查}
B -->|非标端口 2222| C[Fail2ban 规则匹配]
B -->|标准端口 22| D[立即丢弃]
C --> E{IP 是否在白名单？}
E -->|是| F[密钥认证校验]
E -->|否| G[触发 5 次失败即封禁 24h]
F --> H[成功登录 → 启动受限 shell]

六、验证层：修改后不可省略的五步闭环测试

1. 在新终端执行：ssh -p 2222 -o ConnectTimeout=5 opsadmin@localhost（验证普通用户通道）
2. 使用 root 密钥测试：ssh -i ~/.ssh/root_ed25519 -p 2222 root@localhost
3. 确认密码路径已关闭：ssh -o PubkeyAuthentication=no root@localhost 应立即失败
4. 检查服务状态：sudo systemctl status sshd | grep -E 'Active|failed'
5. 日志溯源：sudo journalctl -u sshd -n 50 --no-pager | grep -E 'Accepted|Failed|Invalid'

七、演进层：面向 DevSecOps 的自动化治理建议

将 SSH 策略纳入 IaC 流水线：使用 Ansible role geerlingguy.ssh 声明式定义 permit_root_login: prohibit_password；结合 HashiCorp Vault 动态分发 root 密钥；通过 Prometheus + Grafana 监控 sshd_failed_auth_total 指标突增；最终实现「策略即代码、访问即审计、风险即告警」的闭环。

```