SSH 入门：密钥登录、端口转发与安全加固一次讲清

远程管理云服务器时，SSH 几乎是绕不开的工具。它用加密通道代替明文传输，让你在自己的电脑上安全地操作远端机器。本文从最基础的登录讲起，逐步讲到密钥登录、端口转发和常见的安全加固做法，适合刚接触服务器的新手。

一、SSH 是什么

SSH 的全称是 Secure Shell，默认走 22 端口。一次典型的登录命令是这样的：

ssh username@服务器IP

第一次连接时，客户端会提示确认服务器的指纹，确认后输入密码即可登录。指纹是服务器身份的一种标识，如果某台服务器的指纹突然变了，要先核实原因再继续，不要习惯性地直接确认。

二、为什么推荐密钥登录

密码登录有两个现实问题：一是弱密码容易被暴力猜解，二是每次登录都要输密码，自动化脚本也不方便。密钥登录用一对非对称密钥代替密码：私钥留在自己的电脑上，公钥放到服务器上。登录时双方做一次密码学验证，私钥本身不会传到服务器。

生成密钥对的命令如下：

ssh-keygen -t ed25519 -C "你的邮箱"

一路回车会使用默认路径和空口令。追求更安全的做法是给私钥设置一个口令，登录时再由 ssh-agent 缓存，兼顾安全与便利。生成后把公钥传到服务器：

ssh-copy-id username@服务器IP

这条命令会把公钥追加到服务器上对应用户的 authorized_keys 文件中。此后登录一般不再需要输入密码，改由密钥完成验证。

三、密钥登录后要注意的细节

第一，私钥文件权限要收紧，通常应为仅自己可读写，权限过宽时 SSH 客户端会直接拒绝使用该私钥。第二，私钥不要通过聊天工具、邮件附件或公开仓库传播，换电脑时重新生成一对密钥比复制旧私钥更稳妥。第三，服务器上的 authorized_keys 里只保留仍在用的公钥，离职、换设备后及时清理不再使用的条目。

四、端口转发：把远端服务安全地带到本地

有些服务只监听在服务器本机，比如数据库的管理后台或内部面板，直接对外暴露端口并不安全。SSH 的本地端口转发可以解决这个问题：

ssh -L 8080:localhost:8080 username@服务器IP

这条命令把本地 8080 端口的访问转发到服务器本机的 8080 端口，之后在本地浏览器打开 localhost:8080，就能通过加密通道访问远端服务，而服务本身并没有对外开放。需要注意的是，转发只是换了一条访问路径，并没有改变服务自身的鉴权要求，弱口令的管理后台依然不安全。

反向转发则是相反的方向，把本地服务暴露给远端机器，常用于临时调试，用完应当及时断开，不要长期挂着。

五、常见安全加固做法

第一，确认密钥登录可用后，可以考虑关闭密码登录，降低暴力破解的成功面。改配置前务必先开一个新终端验证密钥登录确实可用，避免把自己锁在门外。第二，修改默认的 22 端口并不能代替鉴权，只能减少扫描噪音，不要把它当作主要防线。第三，结合云厂商的安全组，只放行自己常用 IP 的 SSH 访问，限制来源本身就是一层有效防护。第四，定期查看登录日志，发现陌生 IP 的成功登录要立即处理：改密钥、清公钥、排查异常进程。第五，重要服务器开启双因素或跳板机，把单点凭证被盗的风险再降一层。

六、新手常见问题

刚开始用 SSH，最常见的问题有三类。一是权限问题：私钥权限过宽、authorized_keys 属主不对都会导致密钥登录失败，按报错提示逐项核对即可。二是网络问题：连接超时先检查安全组是否放行、服务器是否在运行、本地网络是否限制出站端口，不要一上来就改配置。三是配置改错被锁在门外：改 sshd 配置前先备份原文件，改完用新终端验证，保留旧会话不要急着关闭，验证通过后再退出。

结语

SSH 的学习路径其实很清晰：先会密码登录，再换成密钥登录，然后学会用端口转发安全地访问内部服务，最后按需做加固。把密钥管好、把来源收紧、改配置前先留后路，这三条习惯比记住多少参数都重要。