每个 AD SSH 登录都以audit.log 中的失败开始

Question 1

默认情况下，如果您之前创建了密钥，OpenSSH 客户端将尝试公钥身份验证。我的猜测是，如果你这样做，ls ${HOME}/.ssh/你会看到一个密钥对 -id_rsa和id_rsa.pub。当您的客户端连接到服务器时，它会尝试使用此密钥对登录。由于id_rsa.pub不在${HOME}/.ssh/authorized_keys您的服务器上，或者该文件具有不正确的权限，sshd因此服务器会将该登录尝试正确标记为失败。请尝试以下操作：

ssh -o PubkeyAuthentication=no

设置该选项将阻止 SSH 客户端在${HOME}/.ssh/尝试向服务器进行身份验证时使用密钥。如果这不能阻止日志消息显示，请添加-vv到 ssh 客户端选项，以便我们可以准确地看到它的用途。

Answer

默认情况下，如果您之前创建了密钥，OpenSSH 客户端将尝试公钥身份验证。我的猜测是，如果你这样做，ls ${HOME}/.ssh/你会看到一个密钥对 -id_rsa和id_rsa.pub。当您的客户端连接到服务器时，它会尝试使用此密钥对登录。由于id_rsa.pub不在${HOME}/.ssh/authorized_keys您的服务器上，或者该文件具有不正确的权限，sshd因此服务器会将该登录尝试正确标记为失败。请尝试以下操作：

ssh -o PubkeyAuthentication=no

设置该选项将阻止 SSH 客户端在${HOME}/.ssh/尝试向服务器进行身份验证时使用密钥。如果这不能阻止日志消息显示，请添加-vv到 ssh 客户端选项，以便我们可以准确地看到它的用途。

Question 2

很抱歉复活旧线程，但我在搜索类似问题时发现了它。

Linux 系统上存在多个误报 SSH 错误消息的第二个潜在原因，该系统具有多个用户身份验证源（例如 LDAP 和本地用户）。默认配置通常是首先使用“pam_unix.so”模块检查本地用户。如果该用户不作为本地用户存在，则即使在其他身份验证源中对用户的检查成功，也始终会生成失败日志消息。

如果（通常是这种情况）LDAP 用户是常见情况，则可以通过首先检查 LDAP 然后尝试本地身份验证来解决 LDAP 用户的问题。例如，对于 Debian 10，我更改了以下两行/etc/pam.d/common-auth：

# here are the per-package modules (the "Primary" block)
auth    [success=2 default=ignore]  pam_unix.so nullok_secure
auth    [success=1 default=ignore]  pam_ldap.so minimum_uid=1000 use_first_pass
# here's the fallback if no module succeeds
auth    requisite           pam_deny.so

到

# here are the per-package modules (the "Primary" block)
auth    [success=2 default=ignore]  pam_ldap.so minimum_uid=1000
auth    [success=1 default=ignore]  pam_unix.so nullok_secure use_first_pass
# here's the fallback if no module succeeds
auth    requisite           pam_deny.so

=> 带有“success=”的两行被交换，数字被更改以匹配新位置（“success=”在从模块成功返回时跳过那么多行），并且“use_first_pass”标志被移动以保留它在第二行

这不是一个完整的解决方案，因为它意味着检查 LDAP 是否有本地用户（这可能并不理想）

有一个 Redhat 解决方案记录了一种不同的方法来解决 Redhat（如 Linux 发行版）的问题，我相信它没有这个缺点（pam_localuser.so 在尝试进行身份验证之前检查用户是否作为本地用户存在）：

https://access.redhat.com/solutions/881103

应该可以为类似 Debian 的系统实现相同的解决方案，但我还没有这样做。

Answer