如何限制Ubuntu SSH用户

在 Ubuntu 上“限制 SSH 用户”通常包含几类需求，下面按常见场景给你一套实用做法（基于 OpenSSH）。

一、限制「哪些用户/组」可以登录 SSH

编辑 SSH 配置文件：

sudo vim /etc/ssh/sshd_config

1️⃣ 只允许指定用户

AllowUsers alice bob

⚠️ 未列出的用户将无法登录（包括 root）。

2️⃣ 只允许指定用户组

AllowGroups sshusers

然后把用户加入组：

sudo adduser alice sshusers

3️⃣ 禁止某些用户

DenyUsers testuser
DenyGroups nogroup

修改后重启 SSH：

sudo systemctl restart ssh

二、禁止 root 直接登录（强烈推荐）

PermitRootLogin no

三、限制用户只能使用密钥登录（禁用密码）

PasswordAuthentication no
PubkeyAuthentication yes

用户需提前配置：

ssh-copy-id user@server

四、限制用户「只能 SFTP，不能 SSH」（最常见）

1️⃣ 创建用户

sudo adduser sftpuser
sudo usermod -s /usr/sbin/nologin sftpuser

2️⃣ 配置 SSH

Match User sftpuser
    ChrootDirectory /home/sftpuser
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

3️⃣ 设置目录权限（非常关键）

sudo chown root:root /home/sftpuser
sudo chmod 755 /home/sftpuser
sudo mkdir /home/sftpuser/upload
sudo chown sftpuser:sftpuser /home/sftpuser/upload

五、限制用户「登录后的权限」（系统层面）

1️⃣ 使用 sudo 限制命令

sudo visudo

示例：

alice ALL=(ALL) /usr/bin/systemctl restart nginx

2️⃣ 使用受限 shell

sudo usermod -s /bin/rbash username

六、限制来源 IP（安全加固）

方法 1：SSH 配置

Match User alice
    AllowTcpForwarding no

方法 2：防火墙（推荐）

sudo ufw allow from 192.168.1.0/24 to any port 22

七、查看谁登录过 SSH

last
journalctl -u ssh

总结对照表

如果你能告诉我：

• 是服务器多人共用？
• 还是只给客户 SFTP？
• 还是禁止某些用户 SSH 但保留系统账号？

我可以给你一套精确配置示例。