SSH 入门：安全登录远程服务器与密钥配置

第一次登录远程服务器，很多人只会敲一行 ssh 命令。本文从密码登录、密钥登录和服务器加固讲起。

一、SSH 是什么

SSH 全称 Secure Shell，是在不安全网络上安全登录和管理远程主机的协议。命令经加密通道传到服务器执行，结果再加密传回，账号、密码和操作内容都不会明文传输。客户端是你自己的电脑，服务端是远程主机上的 sshd 服务。

二、密码登录

最直观的登录方式是密码登录：

ssh 用户名@服务器地址

例如 ssh root@203.0.113.10，输入密码，输对就能进入远程命令行。密码是“你知道的东西”，一旦泄露、被猜中或撞库成功，别人就能直接登录。所以它只适合刚上手、服务器上还没有重要数据的阶段，还要守住底线：密码要长，含大小写字母、数字和符号；不同服务器不共用密码。

三、第一次连接：核对指纹

第一次连接新服务器，终端会提示“无法确认这台主机的真实性”，并给出指纹（fingerprint），问是否继续。指纹是服务器公钥的摘要，相当于服务器的“身份证号”，确认指纹就是确认连的是目标服务器，而非中间人冒充的机器。先通过云平台控制台或管理方拿到真实指纹，逐项比对一致再输入 yes。

四、密钥登录

比密码更推荐密钥登录：私钥留在自己电脑上，公钥放到服务器上验证身份，登录全程不传输密码。生成密钥：

ssh-keygen -t ed25519 -C "my-laptop-2026"

一路回车后在 ~/.ssh/ 下生成 id_ed25519（私钥）和 id_ed25519.pub（公钥），建议再给私钥加口令（passphrase）。再用 ssh-copy-id 把公钥传到服务器：

ssh-copy-id -i ~/.ssh/id_ed25519.pub 用户名@服务器地址

第一次仍需输入密码，成功后执行 ssh 用户名@服务器地址，直接进入命令行即生效。

五、管好 authorized_keys

决定“谁能用密钥登录”的，是 ~/.ssh/authorized_keys，每行一个被授权的公钥；加一行就多一台设备能登录，删一行对应私钥立刻失效。权限必须收紧，否则 sshd 会拒绝密钥登录：

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

日常记住：每台设备单独生成密钥，不共用私钥；设备丢失或人员离职立刻删对应公钥。

六、禁用密码登录

确认密钥登录可用后，修改服务器 /etc/ssh/sshd_config：

PubkeyAuthentication yes
PasswordAuthentication no

改完用 sudo systemctl reload sshd 重新加载。务必先确认密钥可用并另开终端验证一次，否则可能把自己锁在门外。

七、排错与习惯

密钥登录出问题先查三处：权限太开放会被拒绝，按上一节 chmod 重设；公钥没传对，核对与本地 id_ed25519.pub 是否一致；用了错误密钥，用 ssh -i ~/.ssh/id_ed25519 用户名@服务器地址 指定密钥再试，登录加 -v 看日志定位更快。

结语

SSH 入门只有三步：密码登录认识远程服务器，首次连接认真核对指纹，尽快换成密钥登录并关掉密码登录。