SSH - запретить конфиги в ~/.ssh

Права поставь чтоб ничего не могло читать и писать, что не должно.

Глобально, AFAIK никак. Разве что chattr +i, но это тоже грязно и мерзко.

ничто не помешает пользователю дать свои настройки через опцию -о

ограничения должны быть на сервере, «урезать» клиента – бред

Что ты хочешь этим добиться? На всякий случай сообщаю, что даже если ты каким-то образом запретишь ~/.ssh, никакой безопасности это само по себе не добавит. И даже запрет -o (про который выше пишут) тоже не добавит безопасности.

chattr +i тоже в целом не поможет.

Бессмысленно, если пользователь имеет доступ к оболочке, и сам выполняет команды. Для ssh наивысший приоритет имеют аргументы командной строки, а уже затем конфиги. Так, даже если запретить изменение конфигов, пользователь при запуске может задать любые аргументы непосредственно, или создав и указав новый конфиг.

Ты не о том думаешь. Совершенно не важно, может или не может пользователь задавать какие-либо конфиги, действие автора в любом случае выглядит бессмысленным.

Можно ли глобально запретить домашнюю директорию (для клиента)? Чтобы все конфиги определялись через /etc/ssh/ssh_config и пользователь не мог сам ничего добавлять.

Где предполагается запрещать? На каждом клиенте отдельно? На сервере запретить это невозможно потому что на уровне протокола SSH нет никаких директорий .ssh и пользователь гипотетически может использовать любой кастомный клиент, читающий конфиги откуда угодно в каком угодно формате.

ну может ты уже пояснишь? А то уже третьим постом умнячка давишь и тайну нагоняешь

Да вроде понятно всё. Если юзеру запретить запись в ~/.ssh, он передаст нужные опции через -o, если запретить -o — пересоберёт клиент с нужными ему опциями по умолчанию, или другим расположением конфига. И так как снежный ком получается, что придётся юзера прям совсем в песочницу загонять, а это сложно, часто ненужно или вредно, и очень легко что-то упустить. Единственным правильным решением будет на стороне сервера делать ограничения.

Что поясню? Пусть автор поясняет зачем ему конфиг клиента выключать.

Разве что chattr +i, но это тоже грязно и мерзко.

«грязно и мерзко» это отдельно монтировать эту директорию, а chattr эт нормально.