Linux禁用rootSSH登录设置教程

本文详解了在Linux系统中安全禁用root用户SSH远程登录的核心方法——通过将`/etc/ssh/sshd_config`中的`PermitRootLogin`设为`no`并执行`systemctl reload sshd`实现SSH层的精准拦截，强调这是唯一真正有效、不可绕过的防护手段；同时深入剖析了为何单纯改密码、锁账户或删密钥均无效，并手把手指导读者务必提前配置好具备sudo权限且已启用密钥认证的普通管理员账户，避免因操作失误导致系统失联，兼具原理深度与实战可靠性。

直接禁止 root 用户通过 SSH 登录，最安全、最可靠的方式是修改 /etc/ssh/sshd_config 中的 PermitRootLogin 配置项——不是删用户、不是改密码、也不是靠防火墙拦，SSH 层面的控制才真正生效。

如何确认当前 root SSH 登录是否被允许

别猜，直接查配置：

sudo grep -i "permitrootlogin" /etc/ssh/sshd_config

可能返回类似：PermitRootLogin yes、PermitRootLogin prohibit-password 或 #PermitRootLogin yes（注释状态按默认值处理，通常是 yes）。

注意：修改后必须重载或重启 sshd 才生效，仅改配置文件不生效。

• yes：允许密码或密钥登录
• prohibit-password（推荐）：仅允许密钥登录，禁用密码登录
• no：完全禁止 root 登录（最常用、最安全）
• without-password：等同于 prohibit-password，旧版本写法，已不推荐

修改 PermitRootLogin 后必须 reload sshd

改完配置不重载，等于没改。用 systemctl 是最稳妥的方式：

sudo systemctl reload sshd

不要用 restart，它会断开所有现有 SSH 连接（包括你正在操作的那条），而 reload 是平滑重载配置，已有连接不受影响。

验证是否生效：

• 新开一个终端，尝试 ssh root@localhost，应提示 Permission denied (publickey) 或直接拒绝连接
• 检查日志：sudo journalctl -u sshd -n 20 --no-pager | grep "root"，能看到拒绝记录

为什么不能只靠改 root 密码或禁用账户

这些操作看似“让 root 登不了”，但实际绕过成本极低：

• 改密码？只要 PermitRootLogin yes，攻击者仍可用密钥登录（如果 root 的 ~/.ssh/authorized_keys 里有公钥）
• 用 usermod -L root 锁账户？SSH 不依赖系统密码校验流程，只要配置允许且密钥有效，照样进
• 删 /root/.ssh/authorized_keys？下次有人手动加回去就失效

真正起效的是 SSH 守护进程自己拒绝受理 root 的认证请求——这只能靠 PermitRootLogin no 实现。

额外提醒：确保有其他管理员账户可用

禁止 root 登录前，务必确认至少有一个普通用户具备 sudo 权限，并且该用户已配置好 SSH 密钥登录（避免密码输错被锁）：

• 添加用户：sudo adduser admin
• 加 sudo 权限：sudo usermod -aG sudo admin（Ubuntu/Debian）或 sudo usermod -aG wheel admin（RHEL/CentOS）
• 复制 SSH 公钥：sudo mkdir -p /home/admin/.ssh && sudo cp /root/.ssh/authorized_keys /home/admin/.ssh/ && sudo chown -R admin:admin /home/admin/.ssh

测试新用户能 ssh admin@host 登录并执行 sudo whoami 返回 root，再动 PermitRootLogin。

很多人卡在最后一步：改完配置、reload 成功，但自己也登不进去了——往往是因为没提前配好备用账户，或者备用账户的 ~/.ssh 权限不对（必须是 700/600，否则 SSH 拒绝读取）。

理论要掌握，实操不能落！以上关于《Linux禁用rootSSH登录设置教程》的详细介绍，大家都掌握了吧！如果想要继续提升自己的能力，那么就来关注golang学习网公众号吧！