SSH密钥登录与服务器加固

一、为什么要弃用密码登录

SSH 是登录云服务器最常用的入口，也是被攻击最多的环节。弱口令、密码复用，加上扫描器的爆破，让密码登录长期处于风险中。SSH 密钥对基于非对称加密：私钥只保存在本地，服务器仅存放公钥，即使通信被截获，攻击者也无法反推出私钥。从密码切换为密钥登录，是投入最小、收益最高的加固手段。

二、生成与部署密钥对

1. 生成密钥对

在本地执行 ssh-keygen -t ed25519，按提示设置密钥口令，给私钥再加一把锁。得到 ~/.ssh/id_ed25519（私钥，绝不外传）和 ~/.ssh/id_ed25519.pub（公钥，可以公开）。

2. 部署公钥到服务器

ssh-copy-id 可自动把公钥追加到服务器 ~/.ssh/authorized_keys。手动部署注意权限：~/.ssh 目录 700、authorized_keys 文件 600，权限不对会导致密钥登录被静默拒绝。

3. 验证密钥登录

新开终端用密钥方式登录一次，确认无需密码即可进入。

三、关闭密码登录，加固 sshd

确认密钥登录可用后，编辑 /etc/ssh/sshd_config，重点调整以下几项：

• PasswordAuthentication no：关闭密码认证；
• PermitRootLogin no：禁止 root 直接登录，改用普通用户 + sudo；
• Port 2222：修改默认端口以避开扫描，记得在安全组放行新端口；
• MaxAuthTries 3：限制单次连接最大尝试次数；
• AllowUsers 运维账号：白名单限定登录用户。

修改后用 sshd -t 检查语法，systemctl reload sshd 重载服务。注意保留一个已登录会话，防止把自己锁在门外。

四、纵深防御：不止 SSH 本身

服务器加固是一个体系，SSH 只是入口：防火墙与安全组最小化放行，SSH 端口只对可信来源开放；用 fail2ban 封禁爆破来源；及时更新系统与 OpenSSH；私钥设口令并用 ssh-agent 管理。

五、常见问题排查

密钥登录失败时按此顺序排查：确认客户端私钥文件正确；检查服务器端 ~/.ssh 目录 700 与 authorized_keys 文件 600 的权限；确认 sshd_config 中 PubkeyAuthentication 为 yes；用 ssh -v 查看握手过程。若不慎被锁，可通过云平台带外控制台登录修复。

结语

从密码登录切换到密钥登录，配合 sshd 加固与网络层最小开放，安全水位会有质的提升。建议保存本文清单，新开服务器时照着走一遍。