SSH 密钥登录与端口转发：让远程管理更安全、更顺手

密码登录最大的问题不是记不住，而是可以被反复试错。只要服务器暴露在公网，暴力破解就不会停。改用密钥登录后，凭证从一段可猜的字符，变成只有你手里才有的私钥，攻击者即使知道用户名，也很难凭空拼出一把能开门的钥匙。

生成密钥并不复杂。本地执行 ssh-keygen，一路回车就能得到一对密钥。公钥放进服务器的 ~/.ssh/authorized_keys，私钥留在本地并设好权限。确认能用密钥登录后，再关掉密码登录，只留密钥入口，才算真正收紧了大门。

密钥也要讲保管。不要把私钥发到群里、放进代码仓库，也不要在多台公用电脑间拷贝同一份私钥。给不同用途准备不同的密钥，设备更换就吊销旧公钥，这样即使某台电脑丢了，影响也能控制在最小范围。

端口转发是 SSH 的另一项实用能力。本地转发可以把远端内网服务映射到本机端口，在本地打开一个端口，就能访问只监听内网的管理页面，而不必把它直接暴露到公网。远程转发则反过来，让远端服务器访问你本地的服务，临时联调时很方便。

用转发时要记得两条边界。只转发确实需要的端口，用完及时断开，不要长期留一个无人看管的通道。转发也不等于授权，内网服务本身的账号密码和访问控制仍然要保留，不能因为走了加密隧道就放宽校验。

把这两件事做成习惯，远程管理会顺手很多：登录不用反复输密码，临时访问内网服务也不必到处开端口。安全往往不是多了一道复杂手续，而是把正确做法固定下来。