问题[ssh](unix)

我对用户仍然可以通过 ssh 访问其帐户已过期的 Linux 机器（Ubuntu 18.04.6 LTS）这一事实感到有些惊讶。

我使用以下命令设置帐户到期日期chage：

sudo chage -l xxxx
Last password change                    : Oct 10, 2024
Password expires                    : never
Password inactive                   : never
Account expires                     : Nov 05, 2024
Minimum number of days between password change      : 0
Maximum number of days between password change      : 99999
Number of days of warning before password expires   : 7

该帐户于 2024-11-05 到期，但用户仍然可以通过 ssh 访问该帐户。

sshd 服务器或 PAM 中是否有任何配置来强制帐户过期？

据我所知，sshdUsePAM yes和 PAM 应该可以阻止登录，但它唯一做的就是 Your account has expired; please contact your system administrator在 ssh 横幅中打印。

如果我这样做，我会得到相同的结果sudo su xxxx，我确实得到了一个Your account has expired; please contact your system administrator，但无论如何我都会得到 shell 提示符。

目前，我的 git 存储库上有两个远程服务器，一个在我在家时指向 git，另一个在我外出时指向 git-ext。我想简化这一点。下面的 ssh 配置适用于 git 和 git-ext（请注意，match 语句已被注释掉）。如果我取消注释 match 块，据我所知，git 块的行为没有变化。当我在家时，它可以工作，当我外出时，它就不起作用了。

无论我使用 exec 还是 !exec，都没有关系。似乎没有任何变化。我不确定发生了什么，但我不得不说 exec 实际上没有运行。任何帮助都将不胜感激。

这是从 Windows WSL2、Debian 11、OpenSSH_8.4p1 运行的，虽然我也在运行 Debian 12 的 Linux 笔记本电脑上尝试过，结果相同。

host git
  hostname 192.168.1.10
  user git
  identityfile ~/.ssh/id_rsa_git

#match host git !exec "/usr/bin/ping -c1 192.168.1.1"
#  proxyjump  bastion

host example.com
  hostname example.com
  user user
  identityfile ~/.ssh/id_rsa_cloud

host bastion
  hostname 192.168.1.5
  user jump
  identityfile ~/.ssh/id_rsa_bastion
  proxyjump  example.com

host git-ext
  hostname 192.168.1.10
  user git
  identityfile ~/.ssh/id_rsa_git
  proxyjump  bastion

我的nitramfs环境中有一个正在运行的dropbear-initramfs服务器，但我无法让它显示横幅。以下内容工作正常：/etc/dropbear/initramfs/dropbear.conf

...
DROPBEAR_OPTIONS="-I 60 -p 22 -j -k -s -c cryptroot-unlock"
...

但是，指定 banner-file 会导致 dropbear 无法启动，即使/etc/banner&/etc/dropbear/initramfs/banner文件存在且已填充（我甚至尝试打开+x位）

...
DROPBEAR_OPTIONS="-I 60 -p 22 -j -k -s -b /etc/banner -c cryptroot-unlock"
...

使用 更新 initramfsupdate-initramfs -u并检查lsinitramfs /initrd.img | grep banner显示没有横幅文件。重新启动导致 dropbear 无法启动，端口保持关闭状态。我已经验证了这一单一更改是导致 dropbear 无法启动的原因。

我正在运行带有dropbear-initramfs/stable 的Debian 12 ，现在版本是 2022.83-1+deb12u2 。在我之前的 Arch 安装中，只需将其包含在DROPBEAR_OPTIONS中就足以用横幅文件填充 initrd。我是否遗漏了什么？-b /etc/banner

我最近一直在尝试 Hashicorp Vault，发现它非常有用。

我正在尝试设置签名的 ssh 证书以登录到我的远程主机/服务器，按照本指南操作：

https://developer.hashicorp.com/vault/docs/secrets/ssh/signed-ssh-certificates

我将 Vault 的公共 .pem 文件发送到我想要登录的目标主机，并使用 TrustedUserCAKeys /etc/ssh/trusted-user-ca-keys.pem 在 /etc/ssh/sshd_config 中指向它

我在客户端上生成了一对公私钥。我按照该指南在我的 Vault 服务器上获取了由 Vault 签名的公钥，并将其发送回客户端。

我能够使用密码或私钥 ssh 顺利进入目标主机。我无法使用签名的公钥进行 ssh，也无法强制它仅使用该方法。

以下是我尝试添加到主机（Debian）/etc/ssh/sshd_config 设置文件的命令：usePAM no PasswordAuthentication no ChallengeResponseAuthentication no PubKeyAuthentication no

这是我正在使用的 ssh 命令：ssh -v -o “IdentityOnly yes” -o CertificationFile=“/path/to/signedcert.pub” -i “/path/to/privatekey” user@IP

-v 输出表明它尝试了各种选项，但最终签名的证书不起作用，它又回到了密码验证（这对我来说也不清楚，因为我认为 sshd_config 中的命令足以禁用它……）。我在目标主机上进行这些更改时运行了 sudo systemctl restart sshd。

任何建议或意见都将不胜感激，因为我感觉很困惑，但可能忽略了一些显而易见的东西……

感谢您的帮助！

我想通过 ssh 发送一些环境变量。我修改了服务器上的 sshd_config，在 /etc/ssh/sshd_config.d 中添加了一个文件，其中包含：

# NB This DOES NOT conflict with PermitUserEnvironment=No
AcceptEnv NOTIF* LANG LC_*

并重新启动 sshd。运行ssh -o SendEnv=NOTIF* localhost printenv变量未在远程端设置。

/etc/ssh/sshd_config 中已有一个包含 的条目AcceptEnv LANG LC_*。注释掉 + 重新启动对行为没有影响。

$ export NOTIFY_WHAT="SERVICE"
$ export NOTIFY_SHORTDATETIME="CRIT"
$ export NOTIFY_HOSTNAME="web.example.com"
$ export NOTIFY_HOSTOUTPUT="host is up"
$ export NOTIFY_HOSTSTATE="OK"
$ export NOTIFY_NOTIFICATIONTYPE="PROBLEM"
$ export NOTIFY_SERVICEDESC="cmk-test"
$ export NOTIFY_SERVICEOUTPUT="oh no its broken!"
$ export NOTIFY_SERVICESTATE="CRIT"

$ ssh -o SendEnv=NOTIF* localhost printenv
SHELL=/bin/bash
LANGUAGE=en_US.UTF-8
SSH_AUTH_SOCK=/tmp/ssh-XXXXIxNz4o/agent.8579
PWD=/home/symcbean
LOGNAME=symcbean
MOTD_SHOWN=pam
HOME=/home/symcbean
LANG=C.UTF-8
SSH_CONNECTION=127.0.0.1 35340 127.0.0.1 22
USER=symcbean
SHLVL=0
SSH_CLIENT=127.0.0.1 35340 22
LC_ALL=C
PATH=/usr/local/bin:/usr/bin:/bin:/usr/games
_=/usr/bin/printenv

因此它不起作用，但奇怪的是，发送了一个修改后的 LANG：

$ export LANG=en_GB.UTF-8
$ ssh -o SendEnv=NOTIF* localhost printenv
SHELL=/bin/bash
LANGUAGE=en_US.UTF-8
SSH_AUTH_SOCK=/tmp/ssh-XXXXIxNz4o/agent.8579
PWD=/home/symcbean
LOGNAME=symcbean
MOTD_SHOWN=pam
HOME=/home/symcbean
LANG=en_GB.UTF-8
SSH_CONNECTION=127.0.0.1 35340 127.0.0.1 22
USER=symcbean
SHLVL=0
SSH_CLIENT=127.0.0.1 35340 22
LC_ALL=C
PATH=/usr/local/bin:/usr/bin:/bin:/usr/games
_=/usr/bin/printenv

（虽然我使用本地主机连接，但客户端和服务器在单独的 WSL 容器上运行。客户端是 1:8.9p1-3ubuntu0.7，服务器是 openssh-server 1:9.2p1-2+deb12u3）。

为了不引起歧义：

$ ssh -o SendEnv=NOTIF* localhost 'find /etc/ssh -type f -exec grep -H AcceptEnv {} \;'
grep: /etc/ssh/ssh_host_ed25519_key: Permission denied
grep: /etc/ssh/ssh_host_rsa_key: Permission denied
grep: /etc/ssh/ssh_host_ecdsa_key: Permission denied
/et`c/ssh/sshd_config.d/allowcheckmk:AcceptEnv NOTIF* LANG LC_*
/etc/ssh/sshd_config:# AcceptEnv LANG LC_*

更新 我-vv可以看到客户端似乎正在发送数据 - 它没有被接受/在远程端被丢弃......

debug1: Sending environment.
debug1: channel 2: setting env NOTIFY_SERVICESTATE = "CRIT"
debug2: channel 2: request env confirm 0
debug1: channel 2: setting env NOTIFY_HOSTSTATE = "OK"
debug2: channel 2: request env confirm 0
debug1: channel 2: setting env NOTIFY_WHAT = "SERVICE"
debug2: channel 2: request env confirm 0
...

如何使用 DSM 7.2 重新启动 Synology NAS 上的 SSH 守护程序/服务？

我已经尝试了太多命令而无法记住它们，例如：

# synoservicectl --restart sshd

但都不起作用。有人能告诉我在最新版本的 DSM (7.2) 上使用什么命令吗？

谢谢。

我正在尝试使用包含“/”的用户名 ssh 到 Linux 机器。例如：tes/t

但是在 ssh 期间，“/”后面的字符会被截断，并且用户被视为“tes”。由于该用户无效，因此 ssh 无法与该用户进行连接。

甚至机器中的审计日志也将用户显示为“tes”。

注意：我已将用户配置为具有有效权限的“tes/t”，数据库中也可以看到相同的内容。我使用的是 ubuntu22.04

知道这些会话在哪里找到截断版本吗？

sh 日志：sshd[310956]: info 来自 10.120.64.33 端口 56498 ssh2 的 tes 密码失败

audit.log：15：09：17.305Z [tes]：Login_Denied--显然_via = 远程 ip = 10.120.64.33 auth = PAM In

我想执行这个命令

ssh -R 2200:localhost:80 user@"myddns.net"

每次启动我的 fedora 系统时（请注意，该命令本身在 shell 中运行）。

我想使用 systemd 而不是 crond。

我创建了文件 /etc/systemd/user/myssh.service：

[Unit]
Description=Ssh remote for myssh
Wants=network-online.target
After=network-online.target

[Service]
Type=simple
#User=
#Group=
ExecStart=/usr/bin/ssh -R 2200:localhost:80 user@"myddns.net"
Restart=on-failure
StandardOutput=file:%h/log_file

[Install]
WantedBy=default.target

我启用并启动了它，但是命令不起作用：

systemctl --user enable myssh.service
systemctl --user start myssh.service

这里有一些日志：

➜  ~ journalctl --user -u myssh     
août 28 12:33:06 lausanne systemd[1419]: Started myssh.service - ssh remote for Lausanne.

可能是因为 ssh -R 是一个交互式命令，不适合 systemd（或 crond）。还能用这种方式完成吗？

例如：https://www.freebsd.org/security/advisories/FreeBSD-SA-24:08.openssh.asc

问题：如何从纯 TXT 文件创建 openssh.asc 文件？如何验证？每行是否总是需要最多 78 个字符？

我有一台装有 Gentoo 的 Raspberry Pi，我用它来播放音频。我的想法是通过 ssh 登录，然后从命令行播放音频。但是当我在没有先进行物理登录的情况下通过 ssh 进入它并使用声卡时，alsamixer我得到：

ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/confmisc.c:855:(parse_card) cannot find card '0'
ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/conf.c:5204:(_snd_config_evaluate) function snd_func_card_inum returned error: File or directory not found
ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/confmisc.c:422:(snd_func_concat) error evaluating strings
ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/conf.c:5204:(_snd_config_evaluate) function snd_func_concat returned error: File or directory not found
ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/confmisc.c:1342:(snd_func_refer) error evaluating name
ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/conf.c:5204:(_snd_config_evaluate) function snd_func_refer returned error: File or directory not found
ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/conf.c:5727:(snd_config_expand) Evaluate error: File or directory not foundccc
ALSA lib /var/tmp/portage/media-libs/alsa-lib-1.2.11/work/alsa-lib-1.2.11/src/control/control.c:1570:(snd_ctl_open_noupdate) Invalid CTL default
Error when opening mixer: File or directory not found

更一般地说，我现在无法播放音频。如果我先以物理方式登录并调用alsamixer，然后alsamixer通过 ssh 使用，那么它就可以正常工作，我也可以播放音频。所以我想我可以通过物理登录来激活声卡，而不能通过 ssh 来使用它，而且一旦激活，我也可以通过 ssh 使用它。我怎样才能在不进行物理登录的情况下激活我的声卡？

编辑：看来 ssh 没有为我的会话分配席位。