特定のIPアドレスからのみSSHパスワード認証を許可するにはどうすればよいですか？

103

特定のサブネットからのみSSHパスワード認証を許可したい。グローバルにそれを禁止するオプションが表示されます/etc/ssh/sshd_config：

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

IPアドレスの選択範囲にこの構成を適用する方法はありますか？

— エンドリュク
ソース

回答:

156

の最後にMatchブロックを使用します/etc/ssh/sshd_config：

# Global settings
…
PasswordAuthentication no
…

# Settings that override the global settings for matching IP addresses only
Match address 192.0.2.0/24
    PasswordAuthentication yes

次に、sshdサービスに設定を再ロードするように指示します。

service ssh reload

— ジル
ソース

これを試してみました（代わりに192.168.0.0/16を使用）で、sshサービスを再起動するとロックアウトされました。SSHは接続を拒否しました。なぜこれができるのか考えていますか？

— マイケルの滝

@MichaelWaterfallわずかな情報で伝えることは不可能です。新しい構成を検証するまで、シェルを実行したままにしてください。sshサービスを再起動しても、アクティブな接続には影響しません。

— ジル

ありそうな問題は、sshd_configの途中のどこかにMatchブロックを配置することです。一致行は、次の一致行まで続くすべての行に影響するため、ファイルの最後になければなりません。

— ケンサイモン

答えの字下げにもかかわらず、sshd_configPython ではない;)

— ニックT

@frepie Matchブロックは、次のMatchディレクティブまで、またはファイルの終わりまで続きます。そのため、最後に配置する必要があります。

— ジル

あなたは付け加えられます：

AllowUsers user1@192.168.*.*, user2@192.168.*.*

これはデフォルトの動作を変更し、すべてのホストから他のすべてのユーザーを実際に拒否します。OpenSshバージョン5.1以降で使用可能な一致ブロック。

— グラウチ
ソース

私は単一のユーザーの代わりにグループを許可する呼び出し

— ラマー

@Lamar Fromからman sshd_configはAllowGroups、同じように見えますAllowUsersがAllowUsers、に優先するようAllowGroupsです。

— conradkdotcom