SSH и локальный пароль

pam ?

Отключён.

заблокирован в sshd вход без паролей?

Вы про PermitEmptyPasswords?

Поробовал и включать и выключать данную опцию, ни какой разницы нет.

Логи или ssh -vv host че говорят на эту тему?

Запускаешь /usr/sbin/sshd -p 1022 -d и делаешь на него ssh -p 1022. в первой консоли читаешь логи, возможно, там будет ответ на твой вопрос.

/var/log/messages говорит:

sshd[4329]: User test not allowed because account is locked

ssh -vv говорит:

Enter passphrase for key '/home/keeper_b/.ssh/id_rsa_test':
debug1: read PEM private key done: type RSA
debug2: we sent a publickey packet, wait for reply
debug1: Authentications that can continue: publickey,keyboard-interactive
debug1: Trying private key: /home/keeper_b/.ssh/id_rsa
debug1: Trying private key: /home/keeper_b/.ssh/id_dsa
debug2: we did not send a packet, disable method
debug1: Next authentication method: keyboard-interactive
debug2: userauth_kbdint
debug2: we sent a keyboard-interactive packet, wait for reply
debug1: Authentications that can continue: publickey,keyboard-interactive
debug2: we did not send a packet, disable method
debug1: No more authentication methods to try.
Permission denied (publickey,keyboard-interactive).

Я так понимаю причина в этом?

User test not allowed because account is locked

input_userauth_request: invalid user test

А почему заблокировонный пользователь не может войти?

>А почему заблокировонный пользователь не может войти?

Потому что он заблокирован. Ваш К.О.

Они вроде бы ни как не связаны.

NCSA: Changes in OpenSSH since v3.8

OpenSSH now checks for locked accounts by default. On Linux systems, locked accounts are defined as those that have !! in the password field of /etc/shadow. This is the default entry for accounts created with the useradd command. Even if you are using Kerberos authentication and do not need local passwords, sshd won't let the user login with this message:

Too many authentication failures for username

In the sshd debugging info it will indicate that the account is locked:

User username not allowed because account is locked

We suggest replacing !! with * or something similar.

http://www.ncsa.illinois.edu/UserInfo/Resources/Software/ssh/openssh_3.8.html

как это не связаны?? ты что курил?

Спасибо вот это мне и было нужно!

Только тогда не понятно, как тогда тут http://m-ivanov.livejournal.com/7988.html и тут http://scie.nti.st/2007/11/14/hosting-git-repositories-the-easy-and-secure-way обошлись? Они пишут, что пользователя сделали а про пароль ни слова. :(

В последнем варианте вообще при создании пользователя говорит --disabled-password.

Все верно, там используется идентификация пользователя по открытому ключу, соотв. никакой пароль не нужен.

Так и я вроде по открытаму. :(

If there is a requirement to disable password authentication for the account while allowing still public-key, then the passwd field should be set to something other than these values (eg «NP» or «*NP*» ).

http://grid.ncsa.illinois.edu/ssh/ts_server.html#locked

То есть, вместо «user1:!:0:::::0» надо «user1:NP*:0:::::0» ?

Зависит от того, как собран openssh. По умолчанию ./configure скрипт создает файл config.h с определенной там строчной константой:

#define LOCKED_PASSWD_PREFIX "!"

Т.е. в таком случае главное чтобы первый символ не был равен '!'.