如何通过MAC地址等方式限制Git仓库仅允许特定PC访问？

1. 替代MAC地址的SSH密钥绑定方案 #

MAC地址在公网传输中会被路由设备替换，服务器无法获取用户PC的真实MAC，所以直接用MAC限制公网访问不可行。可以给指定PC生成唯一SSH密钥对，仅将该公钥添加到Git仓库服务器的授权列表中，同时强化防护：

• 在PC上严格限制私钥权限：Linux/macOS执行chmod 600 ~/.ssh/id_rsa，Windows设置文件权限为仅当前用户可访问，禁止导出私钥。
• 给SSH私钥设置高强度密码，避免私钥被盗用后直接使用。

2. 硬件加密密钥绑定 #

使用YubiKey这类硬件加密设备存储SSH密钥，密钥不会脱离硬件，只有插入该设备的PC才能完成身份验证：

• 在Git仓库服务器添加硬件密钥生成的公钥。
• 用户必须在指定PC上插入硬件密钥才能执行Git操作，从根源上绑定特定PC与硬件的组合。

3. 动态IP+双因素认证（2FA）结合 #

配合动态域名（DDNS）解决无静态IP的问题，同时强制2FA提升安全性：

• 让用户PC配置DDNS，实时同步当前公网IP到固定域名。
• 在Git仓库服务器设置仅允许该DDNS域名对应的IP访问，同时强制开启TOTP类2FA验证。
• 即使IP变动，DDNS会自动更新，2FA则确保只有持有验证设备的用户能访问，双重限制降低风险。

4. 自定义仓库访问控制钩子 #

如果是自建Git服务器（如GitLab、Gitea），可编写pre-receive或pre-push钩子脚本，额外验证设备标识：

• 在指定PC的Git配置中设置唯一标识：git config --global user.device-id "专属设备ID"。
• 钩子脚本检查操作请求中的该标识是否匹配预设值，不匹配则拒绝操作。

重要提示：公网环境下无法通过MAC地址做访问限制，因为数据包经过路由转发后，源MAC地址会被替换为路由设备的MAC，服务器无法获取用户PC的真实MAC。

内容的提问来源于stack exchange，提问作者Shamith Wimukthi