GCP Debian 10配置无密码SSH用户连接仍提示输密码问题求助

常见踩坑点与解决方式 #

• 先校验SSH核心配置的生效逻辑，仅单独为指定用户写允许空密码的规则是不够的：
  • 必须将全局参数PermitEmptyPasswords设为yes，如果该全局参数为默认的no，即便Match块中为指定用户单独配置了空密码允许规则，也会被全局规则拦截，直接弹出密码输入提示
  • 针对专用下载用户的Match配置块必须放在sshd_config所有全局配置项的最末尾，否则配置会被后续的全局规则覆盖，完全不生效
• 检查PAM层的默认拦截规则，这是GCP公共镜像和旧服务器配置差异的核心来源：
  • 打开/etc/pam.d/sshd文件，定位到pam_unix.so对应的配置行，注释掉行内的nullok_secure参数，该参数会限制空密码仅能在服务器本地控制台登录生效，所有走网络的SSH连接都会被PAM层直接拒绝
  • 检查/etc/pam.d/common-auth文件的pam_unix.so配置行，确认没有额外配置禁止空密码的校验规则，GCP官方Debian10公共镜像默认会在该层默认拦截所有网络来源的空密码认证，和旧服务器的原生Debian配置存在差异
• 排除GCP实例层面的附加安全机制影响：
  • 如果实例开启了OS Login功能，默认会覆盖本地的sshd配置规则，强制要求密钥或密码登录，需要在实例的元数据配置中将专用下载用户加入OS Login的排除列表，让本地sshd规则对该用户生效
  • 核对chroot环境的目录权限配置：如果chroot根目录的所有者不是root、权限不符合755的安全要求，SSH服务会触发安全校验失败，直接跳过空密码认证流程，退回密码输入环节

内容的提问来源于stack exchange，提问作者Demiler