直接コンソールから入ったり、su や telnet なら NIS 上の名前でログインできるのに、ssh だと user unknown と言われてログインできない(外からログインしようと思って気がついた)ので不思議に思っていたのだが、sshd_config をいじることで解決。
PAMAuthenticationViaKbdInt yes
とすれば OK。Vine のときはこんなことなかったのに、と思ったのだが、Debian では特権分離のためデフォルトではこれが無効になっているようだ。そもそも Vine だと OpenSSH のバージョン古かったが……
