一、技术背景与适用场景

在Linux系统运维中，SSH（Secure Shell）是远程管理服务器的核心协议。默认情况下，多数Linux发行版出于安全考虑会限制root用户直接通过SSH登录，仅允许普通用户登录后通过su或sudo提权。但在以下场景中，可能需要临时或永久开启root远程登录：

自动化运维脚本需要直接以root身份执行
紧急故障处理时跳过普通用户切换环节
特定容器环境或开发测试环境简化操作流程

需特别强调：生产环境建议遵循最小权限原则，仅在充分评估安全风险后开启此功能，并配合防火墙规则、双因素认证等加固措施。

二、配置实施步骤

2.1 修改SSH服务配置

SSH服务的主配置文件位于/etc/ssh/sshd_config，需使用具有root权限的文本编辑器进行修改：

[root@localhost ~]# vim /etc/ssh/sshd_config

在文件中定位到以下参数（通常位于文件中部）：

#PermitRootLogin prohibit-password

将其修改为：

PermitRootLogin yes

关键说明：

prohibit-password表示仅允许密钥认证，禁止密码登录
yes表示允许密码和密钥两种认证方式
修改前建议先备份配置文件：cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

2.2 配置文件语法验证

修改完成后，使用以下命令检查配置文件语法：

[root@localhost ~]# sshd -t

若输出为空则表示语法正确，若有错误提示需根据提示修正配置。

2.3 重启SSH服务

不同Linux发行版的服务管理命令略有差异：

# Systemd系统（CentOS 7+/Ubuntu 16.04+）
[root@localhost ~]# systemctl restart sshd
# SysVinit系统（旧版CentOS）
[root@localhost ~]# service sshd restart

最佳实践：

重启前建议先执行systemctl status sshd确认服务状态
在生产环境建议使用systemctl reload sshd实现平滑重启

三、安全验证与测试

3.1 本地验证配置生效

使用以下命令检查服务监听状态：

[root@localhost ~]# netstat -tulnp | grep sshd

正常应显示：

tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1234/sshd

3.2 远程登录测试

从另一台主机使用SSH客户端测试登录：

$ ssh root@服务器IP地址

成功登录后应显示root用户的命令行提示符。若使用密钥认证，需确保~/.ssh/authorized_keys文件已配置正确权限：

[root@localhost ~]# chmod 700 ~/.ssh
[root@localhost ~]# chmod 600 ~/.ssh/authorized_keys

四、安全加固建议

4.1 限制登录来源IP

在防火墙层面限制仅允许特定IP访问SSH端口（以firewalld为例）：

[root@localhost ~]# firewall-cmd --permanent --add-rich-rule='
rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'
[root@localhost ~]# firewall-cmd --reload

4.2 修改默认SSH端口

编辑/etc/ssh/sshd_config修改端口号：

Port 2222

修改后需同步更新防火墙规则和安全组配置。

4.3 启用双因素认证

建议部署Google Authenticator或Duo Security等方案，配置步骤如下：

安装PAM模块：yum install google-authenticator
运行配置工具：google-authenticator
修改SSH配置：在/etc/pam.d/sshd末尾添加：
```
auth required pam_google_authenticator.so
```
在/etc/ssh/sshd_config中启用：
```
ChallengeResponseAuthentication yes
```

五、常见问题处理

5.1 修改后无法连接

可能原因及解决方案：

配置文件语法错误：执行sshd -t检查并修正
服务未重启：确认执行了正确的服务重启命令
SELinux限制：临时设置为宽松模式测试：setenforce 0
防火墙拦截：检查iptables/firewalld规则

5.2 密码认证失败

确认root用户密码正确：passwd root重置密码
检查PAM配置：authconfig --test | grep password
查看认证日志：tail -f /var/log/secure

5.3 连接超时

检查网络连通性：ping 服务器IP
确认SSH端口开放：telnet 服务器IP 22
检查云服务商安全组规则（如适用）

六、配置回滚方案

如需恢复默认设置，执行以下步骤：

恢复配置文件备份：

[root@localhost ~]# cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config

重启SSH服务：

[root@localhost ~]# systemctl restart sshd

验证普通用户登录功能正常

七、总结与建议

开启root远程登录虽能简化管理操作，但显著增加系统安全风险。建议：

仅在测试环境或必要场景下使用
配合Fail2Ban等工具防范暴力破解
定期审计SSH登录日志
考虑使用Ansible等自动化工具替代直接登录

对于企业级环境，建议通过跳板机（Bastion Host）方案实现安全管控，所有远程操作均通过跳板机中转并记录完整审计日志。

Linux系统开启root用户SSH远程登录全流程解析