SSH 密钥登录实战：告别弱密码，给服务器登录加把锁

密码登录最大的问题不是密码本身，而是它可以被反复猜测。弱口令迟早会被撞开，密钥登录把“知道密码”换成“持有私钥”，没有私钥就进不来，这才是登录加固的第一步。

生成密钥很简单，在本地执行 ssh-keygen -t ed25519，一路回车即可得到一对密钥：私钥 id_ed25519 自己保管、绝不外传；公钥 id_ed25519.pub 追加到服务器 ~/.ssh/authorized_keys。随后把该文件权限设为 600，.ssh 目录设为 700，权限太宽松时 SSH 会直接拒绝密钥登录。

确认密钥能登录后，就可以关掉密码登录。编辑 /etc/ssh/sshd_config，把 PasswordAuthentication 设为 no，PermitRootLogin 设为 prohibit-password，改完执行 systemctl reload sshd 生效。操作前务必先开一个已登录的终端做备用，避免把自己锁在门外。

还可以再加两道防线：改掉默认 22 端口；安装 fail2ban，自动封禁多次失败的 IP。端口和封禁只是“减少噪音”，真正的安全底线仍然是密钥本身。

最后提醒：私钥不要上传到代码仓库或群聊；定期检查 authorized_keys 里是否多了陌生的 key；换电脑时删除旧公钥。密钥登录做一次、管好私钥，服务器登录就踏实多了。