如何让OpenSSH 9.2服务器匹配客户端子域名而非仅IP地址

我来帮你捋清楚这个问题！首先得明确一个关键点：OpenSSH的Match Address规则不会自动对域名做DNS解析，它只会直接匹配客户端的源IP地址，这就是你直接写Match Address myclient.mydomain.net没用的原因。

下面给你两种可行的解决方案，按需选择：

方法一：用Match Exec动态验证客户端IP与域名的对应关系 #

这是最灵活的方案，适合客户端IP经常变化的场景。Match Exec允许你调用外部命令来判断是否匹配，我们可以利用这个特性来检查当前连接的客户端IP是否是目标域名解析后的IP。

在你的sshd_config里替换成以下配置：

Match Exec "/usr/bin/host myclient.mydomain.net | /usr/bin/grep -qF \"$(echo $SSH_CLIENT | /usr/bin/cut -d' ' -f1)\""
    PubkeyAuthentication yes

原理说明： #

1. $SSH_CLIENT是OpenSSH提供的环境变量，格式为客户端IP 客户端端口 服务器端口，用cut命令提取出第一个字段就是客户端的真实IP。
2. host myclient.mydomain.net会解析这个域名对应的IP地址。
3. grep -qF会对比客户端IP和域名解析出的IP，如果匹配就返回0（成功），此时Match条件满足，就会应用下面的PubkeyAuthentication yes配置。

注意事项： #

• 尽量使用命令的绝对路径（比如/usr/bin/host），避免因为环境变量问题导致命令执行失败。
• 确保sshd进程有执行这些命令的权限，一般默认没问题，但如果做了权限限制需要调整。
• 测试时可以手动在服务器上运行这个命令，把$SSH_CLIENT换成你的客户端IP，看是否返回0（匹配成功）。

方法二：定期自动更新sshd_config里的IP地址 #

如果客户端IP变化不频繁，比如每天变一次，你可以写个脚本定期解析域名更新IP，然后重载sshd配置。

示例脚本（保存为update_ssh_client_ip.sh）： #

#!/bin/bash
# 解析目标域名的IP
NEW_IP=$(/usr/bin/nslookup myclient.mydomain.net | /usr/bin/grep -oP 'Address: \K\d+\.\d+\.\d+\.\d+')
# 替换sshd_config里的Match Address行
/usr/bin/sed -i "s/Match Address .*/Match Address $NEW_IP/" /etc/ssh/sshd_config
# 重载sshd配置（不中断现有连接）
/usr/bin/systemctl reload sshd

然后给脚本加执行权限：

chmod +x update_ssh_client_ip.sh

最后用cron定期运行，比如每天凌晨3点执行：

crontab -e

添加一行：

0 3 * * * /path/to/update_ssh_client_ip.sh

顺便澄清你提到的其他Match选项： #

• Match Host：这个规则匹配的是客户端发起连接时指定的服务器主机名（比如你在客户端敲ssh server.mydomain.net，这里的server.mydomain.net就是Host匹配的对象），和客户端自己的域名完全无关，所以不符合你的需求。
• Match RDomain：这是BSD系统特有的路由域（rdomain）配置，和DNS域名没有任何关系，完全不适用你的场景。

修改完配置后，记得重新加载sshd服务生效：

systemctl reload sshd

备注：内容来源于stack exchange，提问作者DKebler