1. 项目概述为什么SSH配置是Ubuntu用户的必修课如果你刚接触Ubuntu或者从Windows转过来可能会觉得在终端里敲命令有点“黑魔法”的感觉。而SSHSecure Shell就是这个“黑魔法”里最基础、也最强大的传送门。它让你能安全地从一台电脑登录到另一台电脑无论是管理你的云服务器、连接家里的树莓派还是在局域网里快速传个文件都离不开它。很多人觉得配置SSH就是装个软件改个文件但真正用起来你会发现从“连不上”到“丝滑连接”中间隔着好几个需要踩的坑。这篇内容我就以一个用了十几年Linux的老鸟视角带你从零开始把Ubuntu上的SSH配置掰开揉碎了讲清楚目标是让你看完就能上手遇到问题也知道去哪儿找答案。2. SSH核心原理与组件拆解在动手之前我们得先搞明白SSH到底是个啥以及Ubuntu系统里和它相关的几个核心组件。这能帮你理解后续每一个操作背后的意图而不是机械地复制命令。2.1 SSH协议与OpenSSH实现SSH本质上是一个网络协议设计目标是在不安全的网络比如互联网上为两台计算机之间建立一个加密的通信通道。你可以把它想象成一条专用的、隔音防窃听的安全电话线。所有通过这条“电话线”传输的数据比如你的登录密码、执行的命令、传输的文件都会被加密防止被中间人偷看或篡改。在Linux世界最主流、几乎是事实标准的SSH协议实现就是OpenSSH。我们常说的“配置SSH”在Ubuntu上具体指的就是配置OpenSSH这套软件。它主要包含两个部分openssh-client (SSH客户端)这是发起连接的一方。当你在你的Ubuntu电脑上输入ssh userremote_host时就是它在背后工作。它负责初始化连接、进行身份认证、加密通信等。通常这个客户端在Ubuntu桌面版是默认安装的。openssh-server (SSH服务端)这是接受连接的一方。如果你想让别人或者你自己的其他电脑能SSH登录到这台Ubuntu机器你就需要安装并运行它。它像一个守门人监听网络上的连接请求验证来者身份并为合法的连接提供Shell访问或端口转发等服务。2.2 密钥认证 vs. 密码认证这是SSH安全体系的核心也是新手最容易困惑的地方。SSH主要支持两种登录方式密码认证和你登录网站一样输入用户名和密码。这种方式简单但安全性相对较低容易受到暴力破解攻击别人用程序不断尝试常用密码。密钥认证使用一对加密密钥——私钥和公钥。你可以把私钥理解为一把极其复杂、独一无二的物理钥匙你把它妥善保管在自己的电脑上比如~/.ssh/id_rsa。把公钥理解为这把钥匙对应的锁芯你把它安装到你想登录的远程服务器上比如添加到~/.ssh/authorized_keys文件里。登录时客户端用私钥“开锁”服务器用公钥验证。这种方式无需传输密码且几乎无法被暴力破解是生产环境和个人使用的首选。注意私钥是绝对机密绝不能泄露给任何人。公钥则可以随意分发它的作用就是“被用来验证”。理解了这些我们再来看具体的配置步骤你就会明白每一步是在做什么以及为什么要这么做。3. 服务端openssh-server安装与基础配置假设你有一台Ubuntu机器可以是虚拟机、物理机或云服务器你想让它能被SSH登录那么你需要在这台机器上安装并配置服务端。3.1 安装openssh-server首先更新软件包列表然后安装openssh-serversudo apt update sudo apt install openssh-server安装完成后SSH服务sshd通常会自动启动并设置为开机自启。你可以用以下命令确认# 检查服务状态 sudo systemctl status ssh # 如果状态不是active (running)可以手动启动 sudo systemctl start ssh # 设置开机自启 sudo systemctl enable ssh看到绿色的active (running)就说明服务已经在运行了。3.2 关键配置文件解析与安全加固SSH服务端的所有行为都由/etc/ssh/sshd_config这个文件控制。在修改任何配置之前强烈建议先备份sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup然后用你喜欢的文本编辑器如nano或vim打开进行编辑sudo nano /etc/ssh/sshd_config下面是一些关乎安全性和便利性的关键配置项我通常会进行调整修改默认端口 (Port)SSH默认监听22端口这是全世界黑客扫描器的首要目标。改为一个高位端口如2222能减少大量无意义的扫描和攻击尝试。# 找到 #Port 22去掉注释#并修改端口号 Port 2222实操心得不要使用过于常见的替代端口如2222、22222可以选一个1024到65535之间相对冷门的数字。修改后连接命令需指定端口ssh -p 2222 userhost。禁用root用户直接登录 (PermitRootLogin)允许root直接通过SSH登录是极大的安全风险。建议设置为no或prohibit-password仅允许密钥登录。PermitRootLogin prohibit-password启用公钥认证可考虑禁用密码认证 (PasswordAuthentication)在配置好密钥登录并测试无误后可以彻底关闭密码登录从根本上杜绝暴力破解。PubkeyAuthentication yes # 确认密钥登录可用后再考虑改为 no PasswordAuthentication no限制可登录的用户 (AllowUsers)如果你这台机器有多个用户但只有特定用户需要SSH权限可以明确指定。AllowUsers your_username admin_user每次修改配置文件后必须重启SSH服务使更改生效sudo systemctl restart ssh重要在远程修改这些配置尤其是端口和禁用密码时务必确保你当前已经有一个活跃的SSH会话并且新的配置如密钥已经测试成功。否则一旦重启服务后配置错误你可能会把自己关在门外最好在本地虚拟机或能物理接触的机器上先练习。4. 客户端openssh-client使用与密钥管理客户端通常已经安装。我们重点学习如何生成密钥对以及如何用它们登录。4.1 生成SSH密钥对在你的本地电脑客户端上打开终端执行ssh-keygen -t rsa -b 4096 -C your_emailexample.com-t rsa指定密钥类型为RSA。目前ed25519算法更优更快更安全可以用-t ed25519。但RSA兼容性最广。-b 4096指定密钥长度为4096位安全性更高。-C添加一个注释通常用邮箱方便标识这个密钥是谁的。命令执行后会询问你几个问题Enter file in which to save the key (/home/you/.ssh/id_rsa):直接回车使用默认路径和文件名。Enter passphrase (empty for no passphrase):强烈建议设置一个密码短语。这为你的私钥再加一把锁。即使私钥文件被盗没有密码短语也无法使用。当然如果觉得麻烦可以回车留空。再次确认密码短语。完成后会在~/.ssh/目录下生成两个文件id_rsa你的私钥。权限必须是600-rw-------系统会自动设置。id_rsa.pub你的公钥。可以发给任何人。检查权限是否正确ls -la ~/.ssh/确保私钥文件权限是-rw-------。4.2 将公钥部署到远程服务器现在需要把公钥“安装”到你想登录的那台Ubuntu服务器上。最常用的方法是使用ssh-copy-id命令它帮你自动完成这件事ssh-copy-id -p 22 your_usernameremote_server_ip如果服务器SSH端口不是22用-p指定例如-p 2222。这条命令会提示你输入一次远程服务器的用户密码。成功后你的公钥就会被自动追加到远程服务器对应用户家目录下的~/.ssh/authorized_keys文件中。你也可以手动操作复制本地公钥内容cat ~/.ssh/id_rsa.pub登录远程服务器用密码。确保~/.ssh目录存在且权限为700mkdir -p ~/.ssh chmod 700 ~/.ssh将公钥内容追加到~/.ssh/authorized_keys文件末尾并设置该文件权限为600echo “你的公钥内容” ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys4.3 使用密钥登录部署好公钥后再次尝试连接ssh -p 2222 your_usernameremote_server_ip如果设置了密钥密码短语这次会提示你输入密钥的密码短语而不是远程服务器的用户密码。输入正确后即可登录。为了免去每次输入密钥密码短语的麻烦可以使用ssh-agent# 启动ssh-agent如果尚未运行 eval $(ssh-agent -s) # 将私钥添加到agent ssh-add ~/.ssh/id_rsa输入一次密码短语后在当前终端会话期间再次使用该密钥连接就无需重复输入了。5. 高级配置与效率工具基础打通后我们可以通过一些配置让SSH用起来更顺手、更高效。5.1 配置本地SSH客户端 (~/.ssh/config)在本地~/.ssh/目录下创建或编辑一个config文件。这个文件可以让你为不同的远程主机定义别名和预设参数。例如添加以下内容Host myserver HostName 192.168.1.100 # 或域名 User your_username Port 2222 IdentityFile ~/.ssh/id_rsa # 其他参数如连接保持 ServerAliveInterval 60 ServerAliveCountMax 3保存后你就可以直接用ssh myserver来连接无需再输入用户名、IP、端口甚至自动使用指定的私钥。这对于管理多台服务器来说简直是神器。5.2 SSH的其他实用功能传输文件 (scp/sftp)# 复制本地文件到远程 scp -P 2222 local_file.txt your_usernameremote_host:/path/to/remote/ # 从远程复制文件到本地 scp -P 2222 your_usernameremote_host:/path/to/remote/file.txt ./ # 使用sftp进行交互式文件管理类似FTP sftp -P 2222 your_usernameremote_host端口转发/隧道这是SSH一个非常强大的功能。本地端口转发把远程服务器的某个端口映射到本地。# 将远程MySQL服务3306映射到本地的13306端口 ssh -L 13306:localhost:3306 -p 2222 your_usernameremote_host然后你可以在本地用mysql -h 127.0.0.1 -P 13306连接远程数据库。远程端口转发把本地服务的端口暴露给远程网络。需要服务器端配置GatewayPorts执行远程命令ssh -p 2222 your_usernameremote_host ls -la /tmp这条命令会登录服务器执行ls -la /tmp然后返回结果并退出非常适合写脚本进行批量管理。6. 常见问题排查与安全建议实录配置过程中难免会遇到问题这里记录几个最常见的“坑”和解决方法。6.1 连接失败问题速查问题现象可能原因排查命令/步骤Connection refused1. 远程SSH服务未运行。2. 防火墙阻止。3. 端口错误。1. 在服务器查sudo systemctl status ssh。2. 查防火墙sudo ufw status(如果用了UFW)。3. 确认连接命令的端口-p参数。Permission denied (publickey)1. 公钥未正确部署。2.authorized_keys文件权限不对。3. 服务器配置未启用公钥认证。1. 确认ssh-copy-id成功或手动检查~/.ssh/authorized_keys。2. 确保服务器上.ssh目录权限700authorized_keys权限600。3. 检查/etc/ssh/sshd_config中PubkeyAuthentication yes。连接超时无响应1. IP地址或主机名错误。2. 网络不通。3. 服务器防火墙完全屏蔽。1. 用ping remote_ip测试基础连通性。2. 在服务器本地ssh localhost测试服务本身。3. 检查服务器防火墙规则。提示需要密码但密钥已配置1. 私钥权限太开放不能大于600。2. 使用了错误的私钥。3.ssh-agent中缓存的密钥不对。1.chmod 600 ~/.ssh/id_rsa。2. 用ssh -i /path/to/key指定。3.ssh-add -l查看ssh-add -D清除所有重新添加。6.2 使用-v参数进行调试当问题不明时在ssh命令后添加-v详细甚至-vvv最详细参数会输出大量连接过程的调试信息这对于定位问题发生在哪个环节DNS解析、TCP连接、密钥交换、认证极其有用。ssh -vvv -p 2222 your_usernameremote_host仔细阅读输出错误信息通常就在最后几行。6.3 安全加固检查清单配置完成后建议运行一次安全检查禁用密码登录在确认密钥登录100%可用后将PasswordAuthentication设为no。使用强密码短语为你的私钥设置一个复杂且独特的密码短语。定期更新系统sudo apt update sudo apt upgrade保持openssh-server是最新版本修复已知漏洞。监控认证日志经常查看/var/log/auth.log文件关注失败的登录尝试可以发现扫描或攻击迹象。sudo grep “Failed password” /var/log/auth.log考虑使用Fail2ban这是一个工具可以自动监测日志如果某个IP在短时间内多次认证失败就临时封禁它的IP有效对抗暴力破解。SSH的配置和管理是一个由浅入深的过程。从最基本的安装连接到密钥认证提升安全再到利用客户端配置和隧道功能提升效率每一步都围绕着“安全”和“便捷”这两个核心。我个人的习惯是对于任何一台新配置的服务器第一件事就是修改SSH端口、配置密钥登录、然后禁用密码登录这几乎成了肌肉记忆。把基础打牢后续无论是用VSCode Remote SSH进行远程开发还是用Ansible进行自动化运维都会顺畅无比。 
长河君 · 2026/8/12 13:10:12 · 阅读 1.2k Ubuntu SSH配置全攻略：从原理到实战，安全连接服务器
1. 项目概述为什么SSH配置是Ubuntu用户的必修课如果你刚接触Ubuntu或者从Windows转过来可能会觉得在终端里敲命令有点“黑魔法”的感觉。而SSHSecure Shell就是这个“黑魔法”里最基础、也最强大的传送门。它让你能安全地从一台电脑登录到另一台电脑无论是管理你的云服务器、连接家里的树莓派还是在局域网里快速传个文件都离不开它。很多人觉得配置SSH就是装个软件改个文件但真正用起来你会发现从“连不上”到“丝滑连接”中间隔着好几个需要踩的坑。这篇内容我就以一个用了十几年Linux的老鸟视角带你从零开始把Ubuntu上的SSH配置掰开揉碎了讲清楚目标是让你看完就能上手遇到问题也知道去哪儿找答案。2. SSH核心原理与组件拆解在动手之前我们得先搞明白SSH到底是个啥以及Ubuntu系统里和它相关的几个核心组件。这能帮你理解后续每一个操作背后的意图而不是机械地复制命令。2.1 SSH协议与OpenSSH实现SSH本质上是一个网络协议设计目标是在不安全的网络比如互联网上为两台计算机之间建立一个加密的通信通道。你可以把它想象成一条专用的、隔音防窃听的安全电话线。所有通过这条“电话线”传输的数据比如你的登录密码、执行的命令、传输的文件都会被加密防止被中间人偷看或篡改。在Linux世界最主流、几乎是事实标准的SSH协议实现就是OpenSSH。我们常说的“配置SSH”在Ubuntu上具体指的就是配置OpenSSH这套软件。它主要包含两个部分openssh-client (SSH客户端)这是发起连接的一方。当你在你的Ubuntu电脑上输入ssh userremote_host时就是它在背后工作。它负责初始化连接、进行身份认证、加密通信等。通常这个客户端在Ubuntu桌面版是默认安装的。openssh-server (SSH服务端)这是接受连接的一方。如果你想让别人或者你自己的其他电脑能SSH登录到这台Ubuntu机器你就需要安装并运行它。它像一个守门人监听网络上的连接请求验证来者身份并为合法的连接提供Shell访问或端口转发等服务。2.2 密钥认证 vs. 密码认证这是SSH安全体系的核心也是新手最容易困惑的地方。SSH主要支持两种登录方式密码认证和你登录网站一样输入用户名和密码。这种方式简单但安全性相对较低容易受到暴力破解攻击别人用程序不断尝试常用密码。密钥认证使用一对加密密钥——私钥和公钥。你可以把私钥理解为一把极其复杂、独一无二的物理钥匙你把它妥善保管在自己的电脑上比如~/.ssh/id_rsa。把公钥理解为这把钥匙对应的锁芯你把它安装到你想登录的远程服务器上比如添加到~/.ssh/authorized_keys文件里。登录时客户端用私钥“开锁”服务器用公钥验证。这种方式无需传输密码且几乎无法被暴力破解是生产环境和个人使用的首选。注意私钥是绝对机密绝不能泄露给任何人。公钥则可以随意分发它的作用就是“被用来验证”。理解了这些我们再来看具体的配置步骤你就会明白每一步是在做什么以及为什么要这么做。3. 服务端openssh-server安装与基础配置假设你有一台Ubuntu机器可以是虚拟机、物理机或云服务器你想让它能被SSH登录那么你需要在这台机器上安装并配置服务端。3.1 安装openssh-server首先更新软件包列表然后安装openssh-serversudo apt update sudo apt install openssh-server安装完成后SSH服务sshd通常会自动启动并设置为开机自启。你可以用以下命令确认# 检查服务状态 sudo systemctl status ssh # 如果状态不是active (running)可以手动启动 sudo systemctl start ssh # 设置开机自启 sudo systemctl enable ssh看到绿色的active (running)就说明服务已经在运行了。3.2 关键配置文件解析与安全加固SSH服务端的所有行为都由/etc/ssh/sshd_config这个文件控制。在修改任何配置之前强烈建议先备份sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup然后用你喜欢的文本编辑器如nano或vim打开进行编辑sudo nano /etc/ssh/sshd_config下面是一些关乎安全性和便利性的关键配置项我通常会进行调整修改默认端口 (Port)SSH默认监听22端口这是全世界黑客扫描器的首要目标。改为一个高位端口如2222能减少大量无意义的扫描和攻击尝试。# 找到 #Port 22去掉注释#并修改端口号 Port 2222实操心得不要使用过于常见的替代端口如2222、22222可以选一个1024到65535之间相对冷门的数字。修改后连接命令需指定端口ssh -p 2222 userhost。禁用root用户直接登录 (PermitRootLogin)允许root直接通过SSH登录是极大的安全风险。建议设置为no或prohibit-password仅允许密钥登录。PermitRootLogin prohibit-password启用公钥认证可考虑禁用密码认证 (PasswordAuthentication)在配置好密钥登录并测试无误后可以彻底关闭密码登录从根本上杜绝暴力破解。PubkeyAuthentication yes # 确认密钥登录可用后再考虑改为 no PasswordAuthentication no限制可登录的用户 (AllowUsers)如果你这台机器有多个用户但只有特定用户需要SSH权限可以明确指定。AllowUsers your_username admin_user每次修改配置文件后必须重启SSH服务使更改生效sudo systemctl restart ssh重要在远程修改这些配置尤其是端口和禁用密码时务必确保你当前已经有一个活跃的SSH会话并且新的配置如密钥已经测试成功。否则一旦重启服务后配置错误你可能会把自己关在门外最好在本地虚拟机或能物理接触的机器上先练习。4. 客户端openssh-client使用与密钥管理客户端通常已经安装。我们重点学习如何生成密钥对以及如何用它们登录。4.1 生成SSH密钥对在你的本地电脑客户端上打开终端执行ssh-keygen -t rsa -b 4096 -C your_emailexample.com-t rsa指定密钥类型为RSA。目前ed25519算法更优更快更安全可以用-t ed25519。但RSA兼容性最广。-b 4096指定密钥长度为4096位安全性更高。-C添加一个注释通常用邮箱方便标识这个密钥是谁的。命令执行后会询问你几个问题Enter file in which to save the key (/home/you/.ssh/id_rsa):直接回车使用默认路径和文件名。Enter passphrase (empty for no passphrase):强烈建议设置一个密码短语。这为你的私钥再加一把锁。即使私钥文件被盗没有密码短语也无法使用。当然如果觉得麻烦可以回车留空。再次确认密码短语。完成后会在~/.ssh/目录下生成两个文件id_rsa你的私钥。权限必须是600-rw-------系统会自动设置。id_rsa.pub你的公钥。可以发给任何人。检查权限是否正确ls -la ~/.ssh/确保私钥文件权限是-rw-------。4.2 将公钥部署到远程服务器现在需要把公钥“安装”到你想登录的那台Ubuntu服务器上。最常用的方法是使用ssh-copy-id命令它帮你自动完成这件事ssh-copy-id -p 22 your_usernameremote_server_ip如果服务器SSH端口不是22用-p指定例如-p 2222。这条命令会提示你输入一次远程服务器的用户密码。成功后你的公钥就会被自动追加到远程服务器对应用户家目录下的~/.ssh/authorized_keys文件中。你也可以手动操作复制本地公钥内容cat ~/.ssh/id_rsa.pub登录远程服务器用密码。确保~/.ssh目录存在且权限为700mkdir -p ~/.ssh chmod 700 ~/.ssh将公钥内容追加到~/.ssh/authorized_keys文件末尾并设置该文件权限为600echo “你的公钥内容” ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys4.3 使用密钥登录部署好公钥后再次尝试连接ssh -p 2222 your_usernameremote_server_ip如果设置了密钥密码短语这次会提示你输入密钥的密码短语而不是远程服务器的用户密码。输入正确后即可登录。为了免去每次输入密钥密码短语的麻烦可以使用ssh-agent# 启动ssh-agent如果尚未运行 eval $(ssh-agent -s) # 将私钥添加到agent ssh-add ~/.ssh/id_rsa输入一次密码短语后在当前终端会话期间再次使用该密钥连接就无需重复输入了。5. 高级配置与效率工具基础打通后我们可以通过一些配置让SSH用起来更顺手、更高效。5.1 配置本地SSH客户端 (~/.ssh/config)在本地~/.ssh/目录下创建或编辑一个config文件。这个文件可以让你为不同的远程主机定义别名和预设参数。例如添加以下内容Host myserver HostName 192.168.1.100 # 或域名 User your_username Port 2222 IdentityFile ~/.ssh/id_rsa # 其他参数如连接保持 ServerAliveInterval 60 ServerAliveCountMax 3保存后你就可以直接用ssh myserver来连接无需再输入用户名、IP、端口甚至自动使用指定的私钥。这对于管理多台服务器来说简直是神器。5.2 SSH的其他实用功能传输文件 (scp/sftp)# 复制本地文件到远程 scp -P 2222 local_file.txt your_usernameremote_host:/path/to/remote/ # 从远程复制文件到本地 scp -P 2222 your_usernameremote_host:/path/to/remote/file.txt ./ # 使用sftp进行交互式文件管理类似FTP sftp -P 2222 your_usernameremote_host端口转发/隧道这是SSH一个非常强大的功能。本地端口转发把远程服务器的某个端口映射到本地。# 将远程MySQL服务3306映射到本地的13306端口 ssh -L 13306:localhost:3306 -p 2222 your_usernameremote_host然后你可以在本地用mysql -h 127.0.0.1 -P 13306连接远程数据库。远程端口转发把本地服务的端口暴露给远程网络。需要服务器端配置GatewayPorts执行远程命令ssh -p 2222 your_usernameremote_host ls -la /tmp这条命令会登录服务器执行ls -la /tmp然后返回结果并退出非常适合写脚本进行批量管理。6. 常见问题排查与安全建议实录配置过程中难免会遇到问题这里记录几个最常见的“坑”和解决方法。6.1 连接失败问题速查问题现象可能原因排查命令/步骤Connection refused1. 远程SSH服务未运行。2. 防火墙阻止。3. 端口错误。1. 在服务器查sudo systemctl status ssh。2. 查防火墙sudo ufw status(如果用了UFW)。3. 确认连接命令的端口-p参数。Permission denied (publickey)1. 公钥未正确部署。2.authorized_keys文件权限不对。3. 服务器配置未启用公钥认证。1. 确认ssh-copy-id成功或手动检查~/.ssh/authorized_keys。2. 确保服务器上.ssh目录权限700authorized_keys权限600。3. 检查/etc/ssh/sshd_config中PubkeyAuthentication yes。连接超时无响应1. IP地址或主机名错误。2. 网络不通。3. 服务器防火墙完全屏蔽。1. 用ping remote_ip测试基础连通性。2. 在服务器本地ssh localhost测试服务本身。3. 检查服务器防火墙规则。提示需要密码但密钥已配置1. 私钥权限太开放不能大于600。2. 使用了错误的私钥。3.ssh-agent中缓存的密钥不对。1.chmod 600 ~/.ssh/id_rsa。2. 用ssh -i /path/to/key指定。3.ssh-add -l查看ssh-add -D清除所有重新添加。6.2 使用-v参数进行调试当问题不明时在ssh命令后添加-v详细甚至-vvv最详细参数会输出大量连接过程的调试信息这对于定位问题发生在哪个环节DNS解析、TCP连接、密钥交换、认证极其有用。ssh -vvv -p 2222 your_usernameremote_host仔细阅读输出错误信息通常就在最后几行。6.3 安全加固检查清单配置完成后建议运行一次安全检查禁用密码登录在确认密钥登录100%可用后将PasswordAuthentication设为no。使用强密码短语为你的私钥设置一个复杂且独特的密码短语。定期更新系统sudo apt update sudo apt upgrade保持openssh-server是最新版本修复已知漏洞。监控认证日志经常查看/var/log/auth.log文件关注失败的登录尝试可以发现扫描或攻击迹象。sudo grep “Failed password” /var/log/auth.log考虑使用Fail2ban这是一个工具可以自动监测日志如果某个IP在短时间内多次认证失败就临时封禁它的IP有效对抗暴力破解。SSH的配置和管理是一个由浅入深的过程。从最基本的安装连接到密钥认证提升安全再到利用客户端配置和隧道功能提升效率每一步都围绕着“安全”和“便捷”这两个核心。我个人的习惯是对于任何一台新配置的服务器第一件事就是修改SSH端口、配置密钥登录、然后禁用密码登录这几乎成了肌肉记忆。把基础打牢后续无论是用VSCode Remote SSH进行远程开发还是用Ansible进行自动化运维都会顺畅无比。