服务器SSH设了试错限制防爆破，运维自己被锁在外面怎么解

问题

给服务器开了登录试错限制，本意是挡住网上的暴力破解，结果运维自己连着输错几次密码，账号被锁，SSH 也进不去了，服务器上的定时任务还等着跑，只能在门外干着急。锁怎么解，以后怎么设计才既防外人又不挡自己人。

原因分析

1. 锁定不认人：试错限制只数失败次数，不管来的是攻击者还是运维，触发线一到照样锁，数次数的机制没有通融。
2. 后台任务帮倒忙：监控脚本、定时任务里存着旧密码反复自动重连，运维在前面试错，后台在后面补刀，锁定来得莫名其妙。
3. 只有一条登录路：密码是仅有的一把钥匙，锁上一时半会儿没有别的门进去，只好干瞪眼。

分步解决

1. 借带外通道进去：云服务器走控制台，物理机走机房或带外管理口，进去后用系统自带的失败计数管理命令查一下锁定状态，把目标账号的计数清掉解锁，顺手看看失败的来源地址，好定位后面怎么改。
2. 清后台旧凭据：把监控、定时任务里存的旧密码全部更新，别让它们在后台反复替你触发锁定，改完观察一会儿确认计数不再莫名上涨。
3. 给管理地址开白名单：办公室和运维出口的固定地址加进放行名单，只对这些来源放宽阈值，外面来的照旧严管。
4. 换密钥登录：管理账号改用密钥认证，配好验证通过后关掉密码登录，输错密码这回事从根上消失，爆破也少了入口；私钥只在运维自己的机器上存一份，不随处拷贝。
5. 阈值调得讲理：失败次数和锁定时长按运维习惯校准，配好告警，锁定发生时先看来源再动手，别见锁就慌。

预防

• 每台服务器的管理方式登记在案，带外通道提前测通，别等锁了才发现没备用门。
• 后台凭据随密码更换同步更新，定期清点一遍。
• 管理端口只对需要的来源开放，登录失败日志每天扫一眼。
• 服务器安全策略的部署与应急处理，可以交给贵州诚鑫致达科技（贵州 企业服务器）统一维护。