小服务器登录安全：关掉密码登录，只留密钥这一把钥匙

上周巡检时我翻了一下自己服务器的 SSH 登录日志，吓了一跳：一周里几千次失败登录，全是陌生 IP 在拿字典爆破 root 和常见用户名。密码再复杂，面对这种不知疲倦的机器扫描也是迟早的事。这篇写我给小服务器做的登录加固：只留密钥登录、关掉密码入口、限制尝试次数，步骤不复杂，做完之后爆破日志基本清零。

先说原理。SSH 支持两种认证：密码和密钥。密码是「你知道什么」，可以被猜、被撞库、被钓鱼；密钥是「你有什么」，私钥文件不出你的电脑，公钥放在服务器上，爆破私钥在计算上不可行。所以加固的核心动作只有一个：让服务器只认密钥、不认密码，爆破者连试的机会都没有。

具体步骤分四步。第一步，在本地生成密钥对并把公钥部署到服务器，部署完先开一个新会话验证密钥能登录成功——这一步千万不能跳，没验证就关密码，等于把自己锁在门外。第二步，改 SSH 配置：关掉密码认证、禁止 root 直接用密码登录（或者干脆禁止 root 远程登录，日常用普通用户加 sudo）。第三步，重启 SSH 服务使配置生效，再开一个新终端复核：密钥能进、密码被拒，两个结果都对才算完成。第四步，把私钥在本地妥善保管，多台设备就多份公钥，别把私钥拷来拷去。

还有两个配套动作值得顺手做。一是改默认端口不是必须，但把 SSH 从 22 挪到高位端口能挡掉绝大部分无差别扫描，日志立刻清净——它不算安全措施本体，只是降噪。二是装一个自动封禁工具（比如 fail2ban），短时间多次失败的 IP 直接拉黑，给密钥之外的场景兜底。不过要注意：安全组里只放通你需要的端口和来源，仍然是最外层的那道墙，加固是纵深，不是替代。

最后提醒两个常见翻车点：一是改配置前先备份原文件，改错了还能从云厂商的控制台通道进去救；二是云服务器一定要先确认控制台的远程登录（VNC/Web 终端）可用，那是密钥和配置都出问题时最后的救命入口。

总结一下：密码登录是小服务器最暴露的攻击面，换成密钥登录，成本是十分钟配置，收益是爆破风险从「迟早」变成「基本为零」。这件事不该等吃过亏再做。