如何设置Linux系统Banner欢迎语以符合合规性审查要求且不违规？

本文共计977个文字，预计阅读时间需要4分钟。

新手上路+Linux+Banner+欢迎语，核心不是怎么写一句话，而是确保它在合规审查中被认定为已明确告知用户——这要求内容必须在用户输入账号前强制展示、不可跳过、权限正确、路径可信。直接修改+/etc/motd+或+/etc/issue+等，通常不足够，需满足GDPR或金融行业审计要求，因为它们出现在认证后或仅限本地终端。

必须用 SSH Banner 实现法律声明前置触达

合规性审查（如等保2.0第三级、ISO 27001 登录控制条款）明确要求“用户在身份验证开始前即知悉系统使用规则”。只有 Banner 满足这一刚性条件：它在 TCP 连接建立后、任何认证交互（用户名/密码/密钥）之前发送，所有连接者（包括扫描器、未授权尝试者）都会收到。

• 编辑 /etc/ssh/sshd_config，取消注释并设置：
  Banner /etc/ssh/banner
• 创建该文件：
  

  sudo tee /etc/ssh/banner <<'EOF'<br>==================================================<br>WARNING: Unauthorized access to this system is strictly prohibited.<br>All activities are logged and subject to audit.<br>By connecting, you consent to monitoring.<br>==================================================<br>EOF

• 严格设置权限：
  sudo chown root:root /etc/ssh/banner && sudo chmod 644 /etc/ssh/banner
• 重载服务生效：
  sudo systemctl reload sshd（避免断连）

避免常见导致 Banner 静默失效的错误

很多新手配置后看不到提示，并非语法错误，而是 SSH 守护进程主动跳过加载——它不会报错，只会沉默忽略。

• 文件不能是符号链接（如指向 /var/tmp/banner），必须是真实文件且位于 /etc/ 或 /usr/ 等系统可信路径
• 权限不能高于 644（例如 640 或 600 会被拒绝读取）
• 文件编码必须为 UTF-8 无 BOM，行尾用 LF（Unix 换行），不能含 \r\n（Windows 换行）
• 确认没和其他 banner 类型冲突：如果 /etc/issue.net 存在但 Banner 配置有误，sshd 不会 fallback 显示 issue.net

配合 motd 做登录后补充说明（非替代 Banner）

法律声明主干必须放在 Banner 中；/etc/motd 或 /etc/update-motd.d/ 可用于登录成功后展示辅助信息（如磁盘空间、上次登录时间），但不能承担“前置告知”责任。

• Debian/Ubuntu 系统：把补充声明放入 /etc/update-motd.d/99-legal，并设为可执行：
  sudo chmod +x /etc/update-motd.d/99-legal
• RHEL/CentOS 8+：默认不启用 update-motd，可直接写入 /etc/motd，但需确认 PrintMotd yes 在 sshd_config 中启用
• 所有 motd 类文件权限均为 644，禁止 ANSI 转义序列（如颜色代码），否则审计工具可能标记为“非标准输出”

验证是否真正生效

不要只在本机 ssh localhost 测试——某些客户端（如 OpenSSH 9.0+ 默认）会抑制远程消息。用另一台机器执行：

• ssh -o LogLevel=DEBUG3 user@your-server-ip exit 2>/dev/null | grep -i banner
  应看到类似 debug3: Sending banner...
• 用手机 Termius 或 Windows PuTTY 连接，观察是否在输入用户名前就弹出警告文字
• 用 nmap 扫描 Banner：
  nmap -sV --script ssh-banner your-server-ip，可直连获取原始 banner 内容（模拟未认证者视角）