Flexus L首次SSH登录实践：公网IP、端口与专用密钥配置

本文记录一次 Flexus L 通用型实例的首次登录配置，重点是区分公网地址、端口放通和身份认证三个环节。环境为上海一、Debian 12、2核2G，操作日期为2026年10月21日。本文由AI辅助整理，步骤来自本次实际配置；示例地址和别名均已替换，未公开账号、真实IP、密码或私钥。

一、收到创建短信后，先检查实例概览

创建通知中可能出现“未绑定弹性公网IP”的提示。本次实际情况是，Flexus L概览已经显示公网IP和私有IP，短信中的私有IP也与实例一致。因此不能只凭一条短信判断套餐缺少公网地址。应进入对应地域的Flexus L实例概览，确认实例状态、规格、镜像、私有IP和弹性公网IP。通知与控制台状态为什么不同，本次没有后台证据，不能断定具体原因。

官方购买说明：https://support.huaweicloud.com/usermanual-flexusl/server_create_0000.html

二、有公网IP并不表示SSH已经可用

首次连接22端口出现超时，控制台远程登录指引同时提示“当前未开通TCP(22)端口”。安全组入方向规则中没有面向外部的SSH允许规则。这里要分清三个条件：网络地址存在、端口流量允许、系统服务正常监听。即使地址已经分配，后两项不满足也会连接失败。

本次在实例关联安全组中只增加TCP 22所需规则，没有一键开放全部端口。来源地址应按实际管理网络限制；如确需公网访问，应结合密钥认证与后续维护策略。超时是排查线索，不能单独证明一定是安全组问题，还需结合控制台规则和系统服务检查。

三、首次设置凭据，再配置专用密钥

新建Debian实例需要先设置登录凭据。本次通过控制台重置初始密码，并按页面提示重启使其生效。重启会中断运行中的业务，生产环境应安排维护时间。临时密码采用随机值，未写进项目目录或公开文章。

在Mac上创建该实例专用的Ed25519密钥：

ssh-keygen -t ed25519 -f ~/.ssh/huawei-flexus-ed25519 -C huawei-flexus

首次使用临时密码登录后，将公钥文件中的一整行追加到root用户的~/.ssh/authorized_keys，保留原有内容。私钥留在本机，不上传服务器。服务器端.ssh目录权限设为700，authorized_keys设为600；本机私钥权限设为600。

四、保存SSH别名并验证实际登录

在本机~/.ssh/config中增加以下配置。203.0.113.10是文档示例地址，使用时替换为自己实例概览里的公网IP。

Host huawei-flexus-example

    HostName 203.0.113.10

    User root

    Port 22

    IdentityFile ~/.ssh/huawei-flexus-ed25519

    IdentitiesOnly yes

    PreferredAuthentications publickey

    PasswordAuthentication no

    KbdInteractiveAuthentication no

    StrictHostKeyChecking yes

    ServerAliveInterval 30

    ServerAliveCountMax 3

首次连接应核对并记录服务器主机密钥；后续若出现主机密钥变化，不要直接删除记录忽略原因。以上StrictHostKeyChecking yes适用于已经完成首次主机密钥登记之后。

验证命令为：

ssh -o BatchMode=yes huawei-flexus-example 'id -un; hostname; uname -s'

本次专用密钥验证成功，远程返回root、实例主机名和Linux，说明已完成真实身份认证及命令执行，而不只是TCP端口连通。

最后保留原SSH配置备份，避免覆盖其他机器的条目。配置中的PasswordAuthentication no仅约束本机客户端，并不等于关闭了服务器端密码登录；两者不要混淆。