SSH 入门：第一次安全登录远程服务器

为什么要学 SSH

买了云服务器、或者要在公司的远程机器上跑程序，第一步几乎都是“登录上去”。SSH 就是干这件事的工具：它在你的电脑和远程服务器之间建一条加密通道，输入的命令、传回的结果都经过加密，别人即使截获了网络流量，也看不到账号密码和命令内容。

和直接在网页控制台里敲命令相比，SSH 更稳定、更好用：本地终端的复制粘贴、命令历史、脚本都能直接用上。学会 SSH，远程服务器才真正变成你手边的一台电脑。

第一次登录，只需要三样东西

第一次用 SSH 登录，需要向对方提供三样信息：服务器地址、用户名、密码或密钥。命令长这样：

ssh 用户名@服务器地址

第一次连接时，终端会问你是否信任这台主机的指纹，输入 yes 继续。随后输入密码，就进入了远程的命令行。指纹确认只在第一次出现，它的作用是防止你连到一台冒充的服务器：指纹变了，就要先停下来核实，而不是习惯性地按 yes。

密码能登录，就该换成密钥

密码登录虽然简单，却有两个弱点：密码可能被猜中，也可能在别处泄露后被重复利用。更安全的做法是密钥登录：一对密钥分两部分，私钥留在自己电脑上，公钥放到服务器上。登录时服务器用公钥出一道题，只有持有私钥的人能答对，整个过程不需要在网络上传密码。

生成密钥只要一条命令，一路回车接受默认设置即可，生成后把公钥追加到服务器的 authorized_keys 文件里。下一次登录就不再问密码，既安全又省事。私钥相当于身份证，绝不能发给别人、也不能传到公开的代码仓库里。

三个新手常踩的坑

第一个坑是权限太松：私钥文件的权限必须只有自己能读，否则 SSH 会直接拒绝使用它，宁可报错也不冒险。第二个坑是把密钥和密码混为一谈：密钥本身可以再设一个保护口令，电脑丢了也不至于立刻失守。第三个坑是登录后忘记自己身在何处：远程终端和本地终端长得一模一样，删文件、重启服务之前，先看一眼提示符里的主机名，确认自己在操作哪台机器。

从登录到日常使用

登录成功只是开始。真正高频的用法是组合：用 scp 传文件，用 SSH 隧道临时转发一个内网端口，或者把常用主机的地址、用户名、端口写进本地的 SSH 配置文件，以后用一个短名字就能登录，不用每次背一长串地址。

不需要一次学会全部参数。先跑通一次密码登录，再换成密钥登录，把私钥保管好、把常用主机写进配置，远程工作的大门就打开了。之后无论是部署程序、查看日志，还是在服务器上跑定时任务，都会从这条加密通道开始。