SSH 密钥登录与安全加固：让服务器告别密码登录

密码登录最大的问题，是它一直在接受全网试探：只要 22 端口暴露在公网，每天都有成千上万次爆破来敲门。再强的密码，也架不住永不停歇的尝试和一次不经意的人为泄露。改用密钥登录，思路就变了：服务器不再问“你知道什么”，而是验证“你持有什么”，私钥从不经过网络，爆破也就无从下手。

本地执行 ssh-keygen -t ed25519 生成一对密钥，公钥可以公开，私钥要像身份证一样保管，不要发到群里或代码仓库。把公钥追加到服务器 ~/.ssh/authorized_keys，目录权限设为 700、文件设为 600；权限太松时 SSH 会直接拒绝登录，这是保护机制。

确认密钥能登录后，再改 sshd_config：把 PasswordAuthentication 设为 no，关掉密码登录；把 PermitRootLogin 设为 prohibit-password，禁止 root 直接用密码登录；改完检查语法再重载 sshd。注意：先确认密钥登录成功，再关密码，否则可能把自己锁在门外。

给私钥加一层口令，电脑丢了也不至于直接失守；不同用途用不同密钥，出了问题只吊销其中一把；定期清理 authorized_keys 里的旧公钥。再配合 fail2ban 与改换默认端口即可。

密钥登录不过十分钟就能换好，换来的是服务器少了全网爆破的骚扰。