限制服务器SSH访问：Raspberry Pi反向隧道密钥风险防护咨询

你可以通过服务器端对SSH密钥的功能限制、用户权限隔离两层方案解决问题，同时保留反向隧道免密建立的能力：

方案1：强制密钥仅可用于建立反向隧道（优先级最高） #

这是最核心的防护手段，即使私钥泄露，攻击者也无法获取服务器shell、读写文件或建立其他隧道：

1. 登录你的私有服务器，找到树莓派公钥对应的~/.ssh/authorized_keys文件
2. 在对应公钥的行最前方添加权限限制参数，示例如下：

command="",no-pty,no-agent-forwarding,no-X11-forwarding,permitlisten="127.0.0.1:2222" ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQxxxxxx pi@raspberry

3. 参数说明：

• command=""：强制该密钥登录时不执行任何命令，直接拒绝shell/命令执行请求
• no-pty：禁止分配虚拟终端
• no-agent-forwarding/no-X11-forwarding：禁止代理转发、图形转发
• permitlisten="127.0.0.1:2222"：仅允许该密钥建立反向隧道时绑定服务器本地的2222端口，你可以替换为你实际使用的反向隧道端口，多个端口可以用逗号分隔

配置完成后，该密钥仅能用来建立你指定的反向SSH隧道，无其他任何服务器访问权限。

方案2：配置权限隔离限制目录访问 #

如果你确实需要该密钥有文件读写能力、仅允许访问/var/www/vhost/domain.de路径，可以结合以下配置：

1. 服务器上单独创建一个专用系统用户，比如命名为pi_remote
2. 修改SSH服务配置/etc/ssh/sshd_config，添加如下规则段：

Match User pi_remote
    ChrootDirectory /var/www/vhost/domain.de
    AllowTcpForwarding yes
    PermitTunnel yes
    X11Forwarding no
    AllowAgentForwarding no
    ForceCommand internal-sftp # 如果仅需要文件传输可以保留该配置，不需要的话删除

3. 调整目录权限：确保/var/www/vhost/domain.de的所有者为root，权限不高于755，子目录根据需要给pi_remote分配读写权限
4. 把树莓派的公钥放到pi_remote用户的~/.ssh/authorized_keys中，同时加上方案1中的隧道限制参数即可

补充安全优化 #

• 树莓派启用LUKS加密存储SSH私钥的分区，SD卡被盗后无法直接读取明文私钥，无人值守场景下可配合方案1使用，避免加密分区开机需要手动输入密码的问题
• 配置fail2ban监控该专用用户的登录日志，异常IP请求直接封禁
• 定期自动轮换树莓派的SSH密钥，降低泄露后的有效使用时间

内容的提问来源于stack exchange，提问作者case joe