Sie gehen vielleicht davon aus, dass es ein implizites "Default Deny" gibt:Das gibt es nicht.
ALL EXCEPT 192.168.122.1 trifft einfach nicht auf Host 192.168.122.1 zu, daher werden nachfolgende Einträge überprüft.
Angenommen, Sie haben kein altes tcpwrappers (d. h. es unterstützt und wurde mit -DHOSTS_ACCESS erstellt ) sollten Sie wirklich nur hosts.allow verwenden :
sshd: 192.168.122.1 : DENY
sshd: ALL : ALLOW
(Beachten Sie, dass standardmäßig zulassen ist natürlich schlechte Praxis)