刚接触Linux的同学十有八九第一个要掌握的操作就是SSH远程登录自己的服务器。尤其是手头有了一台云主机或者家里装了Linux小主机之后从自己的电脑上稳稳地连上它敲命令、传文件、跑脚本这基本是绕不开的第一步。SSH这东西表面上就是一条命令的事ssh 用户名服务器IP但真到了实战里你会发现各种小坑——连不上、超时、密码对但登不上、密钥配了半天还是要输密码。这篇文章我会把SSH远程登录Linux服务器的完整路线拆开讲从原理到实操从密码登录到密钥免密从安全加固到故障排查跟你一起把这块硬骨头啃下来。适合纯新人也适合已经会连接但想搞清楚“为什么这样连”的朋友。1. SSH到底是什么为什么我们离不开它先说一个我自己的故事很多年前我第一次买云主机是用网站后台那个网页终端去敲命令的当时觉得还挺方便。后来发现自己笔记本上一堆脚本没法直接传到服务器上网页终端操作起来也卡文件传输得先在本地下载再从网页上传反人类到极点。直到有人跟我说“你直接用SSH连啊”我才发现Windows自带的终端里敲一行命令就能直接进服务器那一刻的体验提升真的非常明显。1.1 SSH的核心逻辑加密代替明文SSH全称是Secure Shell安全外壳协议。它解决的问题非常本质你在电脑上敲的每一个命令、输入的每一个密码如果走普通的Telnet或明文FTP在网络里都是“裸奔”的任何能抓包的人都能看到你在干什么密码也能明文看到。SSH则把整个会话过程加密从你输入的用户名密码到之后传输的文件内容全部处于加密通道内。SSH的加密体系说白了分为三块第一块是传输层加密负责建立连接的时候协商加密算法、交换密钥保证数据包在传输过程中是密文第二块是用户认证层负责验证“你就是你”——输入密码或者出示密钥文件第三块是连接层把各种通道比如命令会话、文件传输复用在同一条加密连接上省得每开一个会话都重新握手一遍。很多新手搞不懂“非对称加密”和“对称加密”在SSH里怎么配合我用生活里的例子解释一下对称加密就像你和朋友共用一把钥匙开门速度快但钥匙一旦被抄走就全完了。非对称加密是两把钥匙——公钥用来锁门私钥用来开门公钥谁都可以拿走但私钥只有你一个人有。SSH连接建立的初期用非对称加密做“钥匙交换”确认双方身份并安全地协商出一把临时的对称会话密钥之后整个会话都用这把对称密钥加密传输兼顾了安全与速度。1.2 SSH能做什么也好意思叫“远程登录”很多新手以为SSH只是拿来“登录服务器敲命令”其实它的能力远超这个范围远程命令执行ssh userhost 命令不用进交互式Shell直接在本地执行远程命令这在写自动化脚本时极有用。文件传输配套的scp与sftp命令基于SSH加密通道拷贝文件比FTP安全得多也是我不推荐大家在服务器上再装一个FTP服务的原因——SSH就能搞定。端口转发可以在一条SSH连接里把远程的某个端口映射到本地访问比如远程开发调试时访问内网接口。这个内容比较复杂这篇文章先不展开。建立隧道很多需要安全传输的场景本质都是基于SSH通道去承载其他协议。这一点知道就好日常用得最多的是前两项。所以你看SSH不是“一种远程登录工具”而是“一条加密的远程访问通道”通道上你可以跑命令、传文件、转发端口。明白了这个定位后面的内容就都好理解了。2. 连接之前先把这些准备工作做扎实我见过太多人卡在第一步命令也是照着打的但就是连不上。十次里八次是准备工作里漏了一步。连接SSH之前你需要确认四样东西IP地址、端口、登录用户名、认证方式密码或密钥。这四样齐了连接才谈得上。2.1 你的服务器IP和端口真的确认对了吗服务器IP分公网IP和内网IP。如果你人在家里服务器在云机房那必须用公网IP去连如果你和服务器在同一局域网内用内网IP比如192.168开头的地址即可。很多人在云服务器的控制台看到的是一长串公网IP但这个IP可能已经有端口映射或安全策略限制不一定直接就能连上SSH——这就是很多“连不上”问题的根源之一。默认的SSH端口是22。如果不确定服务器上SSH服务监听的端口可以在服务器本地执行ss -tlnp | grep sshd或者netstat -tlnp | grep 22看到0.0.0.0:22或:::22说明SSH服务在监听所有网卡的22端口。如果显示的是其他端口说明有人改过配置连接时就要带上-p 端口号参数。还有一个很容易忽略的地方云厂商的安全组规则。很多人本地怎么调都连不上最后发现是云控制台里的安全组没放行22端口或你自定义的SSH端口。这个检查顺序建议是先看本地网络能不能通后面会讲怎么测再看服务器防火墙状态最后看云安全组。别一上来就怀疑SSH配置大概率是网络层的问题。2.2 本地客户端其实你什么软件都不用装放在十年前Windows用户要装个独立软件才能用SSH现在完全不用了。Windows 10及以上的系统自带了OpenSSH客户端你打开终端PowerShell或CMD直接就能敲SSH命令ssh --version能输出版本号就说明客户端已经就绪。macOS和Linux更是原生自带OpenSSH终端里直接能用。至于网上常被提到的PuTTY、Termius、FinalShell这类工具是给喜欢图形界面或需要保存多台服务器连接的人准备的顺手好用但并不是必需品。我自己反而是从第三方工具回归到系统自带终端加配置文件的方式轻量、无广告、跨平台体验一致。2.3 登录用户名不是你的云账号是系统用户很多新手会把云厂商控制台的账号当成登录用户名这在SSH里是不对的。SSH登录的用户名是服务器操作系统里的用户最常见的是root超级管理员或者你购买服务器后自己创建的用户比如叫ubuntu、centos、admin之类。如果实在不确定可以先去云厂商的网页终端登进服务器执行一下whoami这个命令会告诉你当前是哪个用户。然后用这个用户名去做SSH登录基本就不会错了。3. 第一次连接手把手敲出你的第一条SSH命令当你确定好IP、端口、用户名之后第一次连接其实就一条命令的事。但这条命令敲下去之后你会遇到一个非常“吓人”的确认环节——主机指纹确认这一步劝退了不少新人其实根本没你想的那么复杂。3.1 标准连接命令与参数拆解最基本的SSH连接命令长这样ssh 用户名服务器IP例子ssh root192.168.1.100如果你的SSH端口不是默认的22需要加-p参数ssh -p 2222 root192.168.1.100如果你需要用指定私钥文件登录加-i参数ssh -i ~/.ssh/mykey root192.168.1.100第一次连接时终端会提示你确认远程主机指纹类似下面这样The authenticity of host 192.168.1.100 (192.168.1.100) cant be established. ED25519 key fingerprint is SHA256:xxxxxx... Are you sure you want to continue connecting (yes/no)?绝大多数情况下你直接输入yes回车即可意思是“我信任这台主机”。这个确认机制是为了防止你连接的其实是一台冒名顶替的服务器——有人截胡了你的请求。等你输入yes之后这条主机的指纹会被记录在本机的~/.ssh/known_hosts文件中下次再连就不会再问了。重要提醒如果你发现提示的指纹和你首次连接时记录的不一样说明服务器系统重装过或者你的连接被中间人劫持了此时不要盲目信任建议去服务器本地查看它的真实指纹再决定。3.2 密码输入时“看不到字符”这是正常现象连接建立后终端会让你输入密码。注意输入密码时终端上不会显示任何字符连星号都没有这是Linux终端的安全习惯——防止别人从你屏幕上偷看到密码长度。很多新手以为键盘坏了或者卡住了其实你只要正常输入密码输完直接回车即可。密码验证通过后你会看到类似这样的提示Welcome to Ubuntu 22.04.4 LTS ... Last login: ... roothostname:~#看到这个提示符恭喜你第一次SSH登录成功了。你现在敲的每条命令都是在远程服务器上执行的和坐在服务器前面操作没有区别。3.3 登录之后先做这几件事登进去之后建议先做几个基础检查确认环境是健康的hostname # 确认连的是不是目标机器 ip addr show # 查看本机IP确认内网/公网地址 uptime # 查看服务器运行时长与负载 df -h # 查看磁盘空间是否充足如果这几条命令的输出和你预期一致说明连接没有问题环境也正常就可以开始你的玩法了。第一次登录别再急着干别的花一分钟跑一下这几条能帮你减少后面很多“莫名其妙”的问题。4. 从密码登录到密钥免密配置与原理全解析密码登录虽简单直接但天天输密码一来麻烦二来长期使用弱密码还有安全隐患。接下来进入SSH进阶之路最关键的一步配置密钥认证也就是大家常说的“SSH免密登录”。这一步一旦配好之后登录服务器就像呼吸一样自然脚本自动化也才能跑得起来。4.1 为什么要用密钥认证而不是密码认证我先算一笔账如果服务器的SSH服务是暴露在公网上的那么全天24小时都可能有扫描工具在尝试暴力破解——试弱密码、试常见用户名。密码认证方式在理论上就是一次次的“猜测-验证”哪怕你的密码再复杂只要策略上允许重试就存在被爆破的风险。而密钥认证不同——你用的是“钥匙锁”的机制服务器上只存公钥锁头私钥钥匙牢牢掌握在你手里别人没有你的钥匙就算写一万个密码也进不来。从便利性角度讲密钥登录配置完成后每次连接不再需要输入密码对于经常管理多台服务器、写自动化部署脚本的朋友来说体验提升是质的飞跃。4.2 密钥对生成一条命令搞定在你的本地电脑上不是服务器上打开终端执行ssh-keygen -t ed25519 -C 用于服务器登录的密钥这里解释几个参数-t ed25519指定密钥类型为Ed25519这是目前安全性和性能都很好的非对称加密算法生成的密钥长度短、认证速度快。老教程里常见的rsa类型也可以用但新一代机器我更推荐直接用Ed25519。-C添加备注写什么都行方便你区分这是哪台设备使用的密钥将来密钥多了好管理。执行后系统会问你Enter file in which to save the key (/home/用户/.ssh/id_ed25519):直接回车使用默认路径即可。接着它会让你设置一个passphrase口令短语Enter passphrase (empty for no passphrase):这里可选。如果设置为空你登录时连私钥密码也不用输如果设置了则每次使用私钥时需要额外输一次口令安全性更高。对于个人电脑且机器本身已经加了锁的情况我就直接留空了如果是在共享办公电脑上使用强烈建议设置passphrase否则私钥文件一旦泄露你的服务器登入口就彻底敞开了。生成完毕在你本机的~/.ssh/目录下会出现两个文件id_ed25519私钥绝对不要泄露和id_ed25519.pub公钥可以安全地上传到服务器。4.3 把公钥部署到服务器上三种方式任选方式一使用ssh-copy-id最简单OpenSSH自带一个很好用的工具ssh-copy-id -i ~/.ssh/id_ed25519.pub 用户名服务器IP执行后它会要求输入一次服务器密码确认后就把你的公钥追加到服务器上对应用户的~/.ssh/authorized_keys文件里自动处理好目录权限。这是我最推荐的方式没有之一。方式二手动追加如果没有ssh-copy-id可用你可以先通过密码登录服务器然后把公钥内容手动追加进去mkdir -p ~/.ssh chmod 700 ~/.ssh echo 公钥内容 ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys注意权限非常重要.ssh目录必须是700authorized_keys文件必须是600权限大了SSH出于安全考虑会拒绝使用这个公钥。方式三一条命令远程追加如果你已经在服务器登录着也可以直接在服务器上执行一条命令把本地公钥内容贴进去echo ssh-ed25519 AAAA... 你的注释 ~/.ssh/authorized_keys方式二和方式三本质是一样的区别只是公钥过去的方式。4.4 验证免密登录并理解登录流程公钥部署完成后回到本地直接执行ssh 用户名服务器IP如果不再要求输入密码而是直接进入服务器说明密钥认证成功了。这个过程背后发生了什么我简单梳理一下客户端向服务器发送认证请求声明要用公钥认证。服务器检查authorized_keys里是否有对应的公钥有的话发一个“挑战”一段随机数据给客户端。客户端用私钥对该数据进行签名把签名结果发回服务器。服务器用存储的公钥验证签名验证通过认证成功。也就是说私钥永远不会在网上传输服务器验证的是“你持有对应私钥”这个事实。这就是为什么即便有人截获了公钥也做不了什么——公钥本身就是公开信息私钥才是真正的钥匙。4.5 一键登录的终极配置别名与SSH Config如果你管理多台服务器每次都要敲ssh -p 端口号 userIP确实麻烦。OpenSSH支持在~/.ssh/config文件里为不同主机定义快捷参数Host my-web HostName 123.123.123.123 User root Port 22 IdentityFile ~/.ssh/id_ed25519配置完之后你只需要敲ssh my-web就能直接登录了参数全部自动补齐。这个Host后面跟的名称可以随意起只要不跟已有命令冲突就行。如果你有多台机器继续在配置里往下追加块即可。这是我日常管理服务器使用率最高的技巧没有之一。5. 安全加固别让SSH变成服务器的“后门”SSH默认配置是“能连就行”但公网上的威胁扫描一刻不停完全不做加固就像把家门钥匙挂在锁孔上。这一节我分享几个实操常用的安全加固项都是自己反复验证过的经验。5.1 修改默认端口减少大量垃圾扫描默认22端口每分钟都会收到若干扫描尝试。改掉端口并不能彻底防住攻击者但能大幅减少99%的无差别扫描。编辑服务器SSH配置文件sudo vim /etc/ssh/sshd_config找到这一行#Port 22取消注释并改成Port 2222改完之后要重启SSH服务sudo systemctl restart sshd重启前一定要记得先检查配置是否正确sudo sshd -t这条命令如果没有任何输出说明配置语法没问题有问题会直接告诉你哪一行错了。另外修改端口后你本地的连接命令也要对应改为ssh -p 2222 userIP同时云安全组里也需要放行新端口。别问我是怎么知道要提前放行的——我经历过改完端口把自己锁在门外的惨案。注意修改sshd_config的端口之前先在云厂商控制台的安全组里把新端口放行否则systemctl restart sshd之后连接直接就断了自己都进不去只能去网页终端改回来。5.2 禁止密码登录只保留密钥认证这是SSH安全加固最有效的一步。编辑sshd_configPasswordAuthentication no PubkeyAuthentication yes保存后同样执行sudo sshd -t验证配置然后systemctl restart sshd。从此刻起所有用户都只能用密钥登录别人想通过暴力试密码进你的服务器就是痴人说梦了。这里必须强调顺序上的一个铁律先确保密钥登录已经验证成功再关密码登录。我自己有过一次深刻教训以为自己配置好密钥了但测试时用的是密码登录根本没验证结果把密码登录一关服务器直接拒绝所有连接只能爬到机房物理介入才解决。如果你是云服务器这种错误也意味着你只能通过网页终端善后非常狼狈。5.3 关于root登录与普通用户权限的取舍很多人的服务器只有root一个用户直接就用root登录。PermitRootLogin这个选项有自己的讲究。如果你个人使用且密钥认证已开启设置PermitRootLogin prohibit-password意思是禁止root通过密码登录但允许密钥登录。这比完全禁止root登录方便也比允许root密码登录安全得多。如果是团队使用更稳妥的做法是禁止root直接登录给每个成员创建普通用户需要用管理权限时再sudo。我自己的习惯是个人小服务器开prohibit-password公司团队机子上禁用root登录。5.4 额外两道保险Fail2ban与防火墙如果服务器装了防火墙比如ufw或firewalld建议只放行你的SSH端口。下面的命令以ufw为例sudo ufw allow 2222/tcp sudo ufw enable另一个非常有用的工具是Fail2ban它会监控SSH登录日志对多次验证失败的IP实施临时封禁。安装与基本配置以常见的主流发行版为例sudo apt install fail2ban sudo systemctl enable fail2ban sudo systemctl start fail2ban默认Fail2ban就会监控SSH服务如果发现某IP在短时间内多次失败登录会自动封禁它一段时间这个“短时间”和“封禁时长”都可以在配置文件里调整。有了这层保护即使SSH服务暴露在公网上攻击尝试也会被快速阻断你的服务器日志里也会干净很多。6. 连不上怎么办高频故障的排查路径“怎么都连不上”是SSH新手最崩溃的时刻但SSH的好处是它给的报错信息通常很有价值。我把自己这些年遇到的高频故障整理成了一份排查路径希望能帮你少走弯路。6.1 超时无响应问题大概率在网络层如果命令敲出去后终端一直卡在连接中最后报Connection timed out说明包根本到不了服务器。排查顺序如下ping服务器IP看看通不通。不通检查本地网络、服务器是否关机、云安全组是否放行。用telnet测试端口通不通telnet 服务器IP 22。如果端口不通本地防火墙或安全组没放行的概率大。如果ping通但telnet不通多半是防火墙拦截了端口或者SSH服务没监听在这个端口上。这个阶段我见过最多的情况就是云安全组没放行端口一放行立刻就好排查的时候优先想到它。6.2 Connection refusedSSH服务没在跑Connection refused说明你的包到达了服务器但目标机器的22端口上没有服务在监听。可能原因SSH服务没启动登录服务器的网页终端执行systemctl status sshd如果是死了就systemctl start sshd。SSH监听端口被改了查看/etc/ssh/sshd_config里的Port配置按新端口连接即可。服务器防火墙DROP了端口但返回了拒绝也有可能是防火墙规则配置问题。处理思路很直接先确保服务活着、端口对、防火墙放行三个点逐一排除。6.3 密码对但登录失败注意这几种特殊情况有人用密码登录时明明密码没错但系统就是拒绝提示Permission denied (publickey,password)。这种情况下先想想这几个可能你登录的用户名不对。比如服务器上用户叫ubuntu你用了root那密码正确也登不上。服务器的SSH配置禁止了密码登录。如果你之前已经改过配置回头又忘了那现在密码登录当然失败——用密钥登录就好。云厂商默认不开启root密码登录。部分云主机的初始配置是禁止root密码登录的需要用创建用户登录再提权。服务器上多次失败触发了Fail2ban封禁。如果前面试过太多次你的IP可能被临时封了过一段时间再试即可。6.4 公钥配好了还是要密码问题出在权限或配置免密登录配置失败是SSH最大的痛点之一报错却不明显。我踩过无数坑之后总结出三个高频原因目录或文件权限过大。.ssh目录必须是700authorized_keys文件必须是600多一个组权限都不行。可以登录服务器执行修正chmod 700 ~/.ssh chmod 600 ~/.ssh/authorized_keysauthorized_keys内容格式不对。注意公钥必须是一整行不能有换行或手动折行。最好用ssh-copy-id去追加而不是手贱自己编辑。sshd_config里打开了对应的认证开关。确认PubkeyAuthentication yes没有被注释掉。还有一种比较隐蔽的情况本机使用了非默认路径的私钥但你连接时没指定。如果私钥文件不在~/.ssh/id_ed25519或者~/.ssh/id_rsa这些默认查找路径里必须用-i参数指定或者在~/.ssh/config里配好IdentityFile。7. 进阶日常用SSH组合拳提升效率会连接、会配密钥SSH的使用已经超过大多数人了。但如果你想进一步把日常运维效率提上去下面这几个技巧值得掌握。7.1 一条命令远程执行脚本不需要登录进去再敲直接ssh my-web uptime df -h连引号里的命令会在服务器上执行并把结果输出到本地。批量查看多台服务器时我经常写一个简单的循环for h in my-web my-api my-db; do echo $h ; ssh $h uptime; done配合前面提到的~/.ssh/config别名管理几十台机器也就是一个for循环的事。7.2 用SCP和SFTP传文件传文件基于SSH通道不需要另开FTP端口。拷贝单个文件scp ./local.tar.gz my-web:/tmp/从服务器下载文件scp my-web:/tmp/remote.tar.gz ./传整个目录加-r参数。如果你想用类似资源管理器的交互方式操作远端文件执行sftp my-web进入SFTP交互模式里面支持ls、cd、put、get等常用命令比SCP更适合命令行不熟的人。7.3 保持长连接与断线重连默认SSH连接如果空闲一段时间可能断掉。这通常不是网断了而是中间设备比如公司网关把空闲连接掐掉了。解决办法是在~/.ssh/config里给对应主机加上保活参数Host my-web HostName 123.123.123.123 User root ServerAliveInterval 30 ServerAliveCountMax 3ServerAliveInterval 30的意思是每30秒让客户端主动发一个心跳包告诉服务端“我还活着”这样理论上连接就不会在空闲时被切断了。7.4 复用一条连接避免反复握手SSH连接建立时的密钥交换与握手有一定开销频繁登录会让你明显感到慢。可以在~/.ssh/config里开启连接复用ControlMaster auto ControlPath ~/.ssh/controlmasters/%r%h:%p ControlPersist 10m这样第一条连接建立后后续的SSH、SCP命令会复用同一条物理连接登录速度飞快跑批量脚本时体验尤为明显。需要在本地先创建目录mkdir -p ~/.ssh/controlmasters。7.5 管理私钥的Passphrase与ssh-agent如果你给私钥设置了密码短语每次登录都要求输入一遍是不是很烦可以使用ssh-agent帮你暂时“记住”解密后的私钥ssh-add ~/.ssh/id_ed25519输入一次passphrase之后在这个会话期间登录所有配置了对应公钥的服务器都不需要再输私钥口令非常顺滑。macOS上还能用钥匙串集成重启后依然自动加载。8. 断连后的反思与我的几点真心建议SSH远程登录Linux服务器这件事说简单是真简单——一条命令的事说复杂也真复杂——加密原理、认证机制、安全策略、故障排查每一块展开都能写一本书。但对普通使用者来说最重要的是先跑通最基础的那条链路然后再慢慢去理解原理、加固安全、优化效率。回顾我自己这些年的实际运维经历几个建议想单独提出来第一私钥文件是你的命根子别用云盘随便同步。私钥泄露意味着所有配了对应用公钥的服务器都可能被入侵。存放私有秘钥时不要放在网盘或公开代码仓库建议使用本机加密磁盘或专门的密码管理工具。第二不要一上手就追求花哨的安全配置。先确认密码能登录、密钥能免密再考虑改端口、关密码认证。每一步改动都确认好了再走下一步尤其是在你无法物理接触到服务器的情况下一个错误配置可能导致能力清零。第三定期检查你的authorized_keys。时间久了你可能会忘记哪些公钥在服务器上。周期性检查并清理不再使用的密钥也有助于防止已离职同事的私钥被当作后门利用。一条命令就能查看cat ~/.ssh/authorized_keys看到不认识的公钥就要警惕了确认输出每一把公钥的归属是必要的。SSH这套体系从诞生至今已经运行了几十年稳定、开放、生态完善。把这篇文章里的内容吃透你会发现你不仅“会连接”了而且对Linux服务器运维的核心链路有了真正的理解。接下来不管是部署环境、开放服务还是做自动化你都能在SSH这条可靠的基础上盖上高楼了。 
长河君 · 2026/10/21 19:50:30 · 阅读 1.2k SSH远程登录Linux服务器：从密码到密钥免密与安全加固全攻略
刚接触Linux的同学十有八九第一个要掌握的操作就是SSH远程登录自己的服务器。尤其是手头有了一台云主机或者家里装了Linux小主机之后从自己的电脑上稳稳地连上它敲命令、传文件、跑脚本这基本是绕不开的第一步。SSH这东西表面上就是一条命令的事ssh 用户名服务器IP但真到了实战里你会发现各种小坑——连不上、超时、密码对但登不上、密钥配了半天还是要输密码。这篇文章我会把SSH远程登录Linux服务器的完整路线拆开讲从原理到实操从密码登录到密钥免密从安全加固到故障排查跟你一起把这块硬骨头啃下来。适合纯新人也适合已经会连接但想搞清楚“为什么这样连”的朋友。1. SSH到底是什么为什么我们离不开它先说一个我自己的故事很多年前我第一次买云主机是用网站后台那个网页终端去敲命令的当时觉得还挺方便。后来发现自己笔记本上一堆脚本没法直接传到服务器上网页终端操作起来也卡文件传输得先在本地下载再从网页上传反人类到极点。直到有人跟我说“你直接用SSH连啊”我才发现Windows自带的终端里敲一行命令就能直接进服务器那一刻的体验提升真的非常明显。1.1 SSH的核心逻辑加密代替明文SSH全称是Secure Shell安全外壳协议。它解决的问题非常本质你在电脑上敲的每一个命令、输入的每一个密码如果走普通的Telnet或明文FTP在网络里都是“裸奔”的任何能抓包的人都能看到你在干什么密码也能明文看到。SSH则把整个会话过程加密从你输入的用户名密码到之后传输的文件内容全部处于加密通道内。SSH的加密体系说白了分为三块第一块是传输层加密负责建立连接的时候协商加密算法、交换密钥保证数据包在传输过程中是密文第二块是用户认证层负责验证“你就是你”——输入密码或者出示密钥文件第三块是连接层把各种通道比如命令会话、文件传输复用在同一条加密连接上省得每开一个会话都重新握手一遍。很多新手搞不懂“非对称加密”和“对称加密”在SSH里怎么配合我用生活里的例子解释一下对称加密就像你和朋友共用一把钥匙开门速度快但钥匙一旦被抄走就全完了。非对称加密是两把钥匙——公钥用来锁门私钥用来开门公钥谁都可以拿走但私钥只有你一个人有。SSH连接建立的初期用非对称加密做“钥匙交换”确认双方身份并安全地协商出一把临时的对称会话密钥之后整个会话都用这把对称密钥加密传输兼顾了安全与速度。1.2 SSH能做什么也好意思叫“远程登录”很多新手以为SSH只是拿来“登录服务器敲命令”其实它的能力远超这个范围远程命令执行ssh userhost 命令不用进交互式Shell直接在本地执行远程命令这在写自动化脚本时极有用。文件传输配套的scp与sftp命令基于SSH加密通道拷贝文件比FTP安全得多也是我不推荐大家在服务器上再装一个FTP服务的原因——SSH就能搞定。端口转发可以在一条SSH连接里把远程的某个端口映射到本地访问比如远程开发调试时访问内网接口。这个内容比较复杂这篇文章先不展开。建立隧道很多需要安全传输的场景本质都是基于SSH通道去承载其他协议。这一点知道就好日常用得最多的是前两项。所以你看SSH不是“一种远程登录工具”而是“一条加密的远程访问通道”通道上你可以跑命令、传文件、转发端口。明白了这个定位后面的内容就都好理解了。2. 连接之前先把这些准备工作做扎实我见过太多人卡在第一步命令也是照着打的但就是连不上。十次里八次是准备工作里漏了一步。连接SSH之前你需要确认四样东西IP地址、端口、登录用户名、认证方式密码或密钥。这四样齐了连接才谈得上。2.1 你的服务器IP和端口真的确认对了吗服务器IP分公网IP和内网IP。如果你人在家里服务器在云机房那必须用公网IP去连如果你和服务器在同一局域网内用内网IP比如192.168开头的地址即可。很多人在云服务器的控制台看到的是一长串公网IP但这个IP可能已经有端口映射或安全策略限制不一定直接就能连上SSH——这就是很多“连不上”问题的根源之一。默认的SSH端口是22。如果不确定服务器上SSH服务监听的端口可以在服务器本地执行ss -tlnp | grep sshd或者netstat -tlnp | grep 22看到0.0.0.0:22或:::22说明SSH服务在监听所有网卡的22端口。如果显示的是其他端口说明有人改过配置连接时就要带上-p 端口号参数。还有一个很容易忽略的地方云厂商的安全组规则。很多人本地怎么调都连不上最后发现是云控制台里的安全组没放行22端口或你自定义的SSH端口。这个检查顺序建议是先看本地网络能不能通后面会讲怎么测再看服务器防火墙状态最后看云安全组。别一上来就怀疑SSH配置大概率是网络层的问题。2.2 本地客户端其实你什么软件都不用装放在十年前Windows用户要装个独立软件才能用SSH现在完全不用了。Windows 10及以上的系统自带了OpenSSH客户端你打开终端PowerShell或CMD直接就能敲SSH命令ssh --version能输出版本号就说明客户端已经就绪。macOS和Linux更是原生自带OpenSSH终端里直接能用。至于网上常被提到的PuTTY、Termius、FinalShell这类工具是给喜欢图形界面或需要保存多台服务器连接的人准备的顺手好用但并不是必需品。我自己反而是从第三方工具回归到系统自带终端加配置文件的方式轻量、无广告、跨平台体验一致。2.3 登录用户名不是你的云账号是系统用户很多新手会把云厂商控制台的账号当成登录用户名这在SSH里是不对的。SSH登录的用户名是服务器操作系统里的用户最常见的是root超级管理员或者你购买服务器后自己创建的用户比如叫ubuntu、centos、admin之类。如果实在不确定可以先去云厂商的网页终端登进服务器执行一下whoami这个命令会告诉你当前是哪个用户。然后用这个用户名去做SSH登录基本就不会错了。3. 第一次连接手把手敲出你的第一条SSH命令当你确定好IP、端口、用户名之后第一次连接其实就一条命令的事。但这条命令敲下去之后你会遇到一个非常“吓人”的确认环节——主机指纹确认这一步劝退了不少新人其实根本没你想的那么复杂。3.1 标准连接命令与参数拆解最基本的SSH连接命令长这样ssh 用户名服务器IP例子ssh root192.168.1.100如果你的SSH端口不是默认的22需要加-p参数ssh -p 2222 root192.168.1.100如果你需要用指定私钥文件登录加-i参数ssh -i ~/.ssh/mykey root192.168.1.100第一次连接时终端会提示你确认远程主机指纹类似下面这样The authenticity of host 192.168.1.100 (192.168.1.100) cant be established. ED25519 key fingerprint is SHA256:xxxxxx... Are you sure you want to continue connecting (yes/no)?绝大多数情况下你直接输入yes回车即可意思是“我信任这台主机”。这个确认机制是为了防止你连接的其实是一台冒名顶替的服务器——有人截胡了你的请求。等你输入yes之后这条主机的指纹会被记录在本机的~/.ssh/known_hosts文件中下次再连就不会再问了。重要提醒如果你发现提示的指纹和你首次连接时记录的不一样说明服务器系统重装过或者你的连接被中间人劫持了此时不要盲目信任建议去服务器本地查看它的真实指纹再决定。3.2 密码输入时“看不到字符”这是正常现象连接建立后终端会让你输入密码。注意输入密码时终端上不会显示任何字符连星号都没有这是Linux终端的安全习惯——防止别人从你屏幕上偷看到密码长度。很多新手以为键盘坏了或者卡住了其实你只要正常输入密码输完直接回车即可。密码验证通过后你会看到类似这样的提示Welcome to Ubuntu 22.04.4 LTS ... Last login: ... roothostname:~#看到这个提示符恭喜你第一次SSH登录成功了。你现在敲的每条命令都是在远程服务器上执行的和坐在服务器前面操作没有区别。3.3 登录之后先做这几件事登进去之后建议先做几个基础检查确认环境是健康的hostname # 确认连的是不是目标机器 ip addr show # 查看本机IP确认内网/公网地址 uptime # 查看服务器运行时长与负载 df -h # 查看磁盘空间是否充足如果这几条命令的输出和你预期一致说明连接没有问题环境也正常就可以开始你的玩法了。第一次登录别再急着干别的花一分钟跑一下这几条能帮你减少后面很多“莫名其妙”的问题。4. 从密码登录到密钥免密配置与原理全解析密码登录虽简单直接但天天输密码一来麻烦二来长期使用弱密码还有安全隐患。接下来进入SSH进阶之路最关键的一步配置密钥认证也就是大家常说的“SSH免密登录”。这一步一旦配好之后登录服务器就像呼吸一样自然脚本自动化也才能跑得起来。4.1 为什么要用密钥认证而不是密码认证我先算一笔账如果服务器的SSH服务是暴露在公网上的那么全天24小时都可能有扫描工具在尝试暴力破解——试弱密码、试常见用户名。密码认证方式在理论上就是一次次的“猜测-验证”哪怕你的密码再复杂只要策略上允许重试就存在被爆破的风险。而密钥认证不同——你用的是“钥匙锁”的机制服务器上只存公钥锁头私钥钥匙牢牢掌握在你手里别人没有你的钥匙就算写一万个密码也进不来。从便利性角度讲密钥登录配置完成后每次连接不再需要输入密码对于经常管理多台服务器、写自动化部署脚本的朋友来说体验提升是质的飞跃。4.2 密钥对生成一条命令搞定在你的本地电脑上不是服务器上打开终端执行ssh-keygen -t ed25519 -C 用于服务器登录的密钥这里解释几个参数-t ed25519指定密钥类型为Ed25519这是目前安全性和性能都很好的非对称加密算法生成的密钥长度短、认证速度快。老教程里常见的rsa类型也可以用但新一代机器我更推荐直接用Ed25519。-C添加备注写什么都行方便你区分这是哪台设备使用的密钥将来密钥多了好管理。执行后系统会问你Enter file in which to save the key (/home/用户/.ssh/id_ed25519):直接回车使用默认路径即可。接着它会让你设置一个passphrase口令短语Enter passphrase (empty for no passphrase):这里可选。如果设置为空你登录时连私钥密码也不用输如果设置了则每次使用私钥时需要额外输一次口令安全性更高。对于个人电脑且机器本身已经加了锁的情况我就直接留空了如果是在共享办公电脑上使用强烈建议设置passphrase否则私钥文件一旦泄露你的服务器登入口就彻底敞开了。生成完毕在你本机的~/.ssh/目录下会出现两个文件id_ed25519私钥绝对不要泄露和id_ed25519.pub公钥可以安全地上传到服务器。4.3 把公钥部署到服务器上三种方式任选方式一使用ssh-copy-id最简单OpenSSH自带一个很好用的工具ssh-copy-id -i ~/.ssh/id_ed25519.pub 用户名服务器IP执行后它会要求输入一次服务器密码确认后就把你的公钥追加到服务器上对应用户的~/.ssh/authorized_keys文件里自动处理好目录权限。这是我最推荐的方式没有之一。方式二手动追加如果没有ssh-copy-id可用你可以先通过密码登录服务器然后把公钥内容手动追加进去mkdir -p ~/.ssh chmod 700 ~/.ssh echo 公钥内容 ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys注意权限非常重要.ssh目录必须是700authorized_keys文件必须是600权限大了SSH出于安全考虑会拒绝使用这个公钥。方式三一条命令远程追加如果你已经在服务器登录着也可以直接在服务器上执行一条命令把本地公钥内容贴进去echo ssh-ed25519 AAAA... 你的注释 ~/.ssh/authorized_keys方式二和方式三本质是一样的区别只是公钥过去的方式。4.4 验证免密登录并理解登录流程公钥部署完成后回到本地直接执行ssh 用户名服务器IP如果不再要求输入密码而是直接进入服务器说明密钥认证成功了。这个过程背后发生了什么我简单梳理一下客户端向服务器发送认证请求声明要用公钥认证。服务器检查authorized_keys里是否有对应的公钥有的话发一个“挑战”一段随机数据给客户端。客户端用私钥对该数据进行签名把签名结果发回服务器。服务器用存储的公钥验证签名验证通过认证成功。也就是说私钥永远不会在网上传输服务器验证的是“你持有对应私钥”这个事实。这就是为什么即便有人截获了公钥也做不了什么——公钥本身就是公开信息私钥才是真正的钥匙。4.5 一键登录的终极配置别名与SSH Config如果你管理多台服务器每次都要敲ssh -p 端口号 userIP确实麻烦。OpenSSH支持在~/.ssh/config文件里为不同主机定义快捷参数Host my-web HostName 123.123.123.123 User root Port 22 IdentityFile ~/.ssh/id_ed25519配置完之后你只需要敲ssh my-web就能直接登录了参数全部自动补齐。这个Host后面跟的名称可以随意起只要不跟已有命令冲突就行。如果你有多台机器继续在配置里往下追加块即可。这是我日常管理服务器使用率最高的技巧没有之一。5. 安全加固别让SSH变成服务器的“后门”SSH默认配置是“能连就行”但公网上的威胁扫描一刻不停完全不做加固就像把家门钥匙挂在锁孔上。这一节我分享几个实操常用的安全加固项都是自己反复验证过的经验。5.1 修改默认端口减少大量垃圾扫描默认22端口每分钟都会收到若干扫描尝试。改掉端口并不能彻底防住攻击者但能大幅减少99%的无差别扫描。编辑服务器SSH配置文件sudo vim /etc/ssh/sshd_config找到这一行#Port 22取消注释并改成Port 2222改完之后要重启SSH服务sudo systemctl restart sshd重启前一定要记得先检查配置是否正确sudo sshd -t这条命令如果没有任何输出说明配置语法没问题有问题会直接告诉你哪一行错了。另外修改端口后你本地的连接命令也要对应改为ssh -p 2222 userIP同时云安全组里也需要放行新端口。别问我是怎么知道要提前放行的——我经历过改完端口把自己锁在门外的惨案。注意修改sshd_config的端口之前先在云厂商控制台的安全组里把新端口放行否则systemctl restart sshd之后连接直接就断了自己都进不去只能去网页终端改回来。5.2 禁止密码登录只保留密钥认证这是SSH安全加固最有效的一步。编辑sshd_configPasswordAuthentication no PubkeyAuthentication yes保存后同样执行sudo sshd -t验证配置然后systemctl restart sshd。从此刻起所有用户都只能用密钥登录别人想通过暴力试密码进你的服务器就是痴人说梦了。这里必须强调顺序上的一个铁律先确保密钥登录已经验证成功再关密码登录。我自己有过一次深刻教训以为自己配置好密钥了但测试时用的是密码登录根本没验证结果把密码登录一关服务器直接拒绝所有连接只能爬到机房物理介入才解决。如果你是云服务器这种错误也意味着你只能通过网页终端善后非常狼狈。5.3 关于root登录与普通用户权限的取舍很多人的服务器只有root一个用户直接就用root登录。PermitRootLogin这个选项有自己的讲究。如果你个人使用且密钥认证已开启设置PermitRootLogin prohibit-password意思是禁止root通过密码登录但允许密钥登录。这比完全禁止root登录方便也比允许root密码登录安全得多。如果是团队使用更稳妥的做法是禁止root直接登录给每个成员创建普通用户需要用管理权限时再sudo。我自己的习惯是个人小服务器开prohibit-password公司团队机子上禁用root登录。5.4 额外两道保险Fail2ban与防火墙如果服务器装了防火墙比如ufw或firewalld建议只放行你的SSH端口。下面的命令以ufw为例sudo ufw allow 2222/tcp sudo ufw enable另一个非常有用的工具是Fail2ban它会监控SSH登录日志对多次验证失败的IP实施临时封禁。安装与基本配置以常见的主流发行版为例sudo apt install fail2ban sudo systemctl enable fail2ban sudo systemctl start fail2ban默认Fail2ban就会监控SSH服务如果发现某IP在短时间内多次失败登录会自动封禁它一段时间这个“短时间”和“封禁时长”都可以在配置文件里调整。有了这层保护即使SSH服务暴露在公网上攻击尝试也会被快速阻断你的服务器日志里也会干净很多。6. 连不上怎么办高频故障的排查路径“怎么都连不上”是SSH新手最崩溃的时刻但SSH的好处是它给的报错信息通常很有价值。我把自己这些年遇到的高频故障整理成了一份排查路径希望能帮你少走弯路。6.1 超时无响应问题大概率在网络层如果命令敲出去后终端一直卡在连接中最后报Connection timed out说明包根本到不了服务器。排查顺序如下ping服务器IP看看通不通。不通检查本地网络、服务器是否关机、云安全组是否放行。用telnet测试端口通不通telnet 服务器IP 22。如果端口不通本地防火墙或安全组没放行的概率大。如果ping通但telnet不通多半是防火墙拦截了端口或者SSH服务没监听在这个端口上。这个阶段我见过最多的情况就是云安全组没放行端口一放行立刻就好排查的时候优先想到它。6.2 Connection refusedSSH服务没在跑Connection refused说明你的包到达了服务器但目标机器的22端口上没有服务在监听。可能原因SSH服务没启动登录服务器的网页终端执行systemctl status sshd如果是死了就systemctl start sshd。SSH监听端口被改了查看/etc/ssh/sshd_config里的Port配置按新端口连接即可。服务器防火墙DROP了端口但返回了拒绝也有可能是防火墙规则配置问题。处理思路很直接先确保服务活着、端口对、防火墙放行三个点逐一排除。6.3 密码对但登录失败注意这几种特殊情况有人用密码登录时明明密码没错但系统就是拒绝提示Permission denied (publickey,password)。这种情况下先想想这几个可能你登录的用户名不对。比如服务器上用户叫ubuntu你用了root那密码正确也登不上。服务器的SSH配置禁止了密码登录。如果你之前已经改过配置回头又忘了那现在密码登录当然失败——用密钥登录就好。云厂商默认不开启root密码登录。部分云主机的初始配置是禁止root密码登录的需要用创建用户登录再提权。服务器上多次失败触发了Fail2ban封禁。如果前面试过太多次你的IP可能被临时封了过一段时间再试即可。6.4 公钥配好了还是要密码问题出在权限或配置免密登录配置失败是SSH最大的痛点之一报错却不明显。我踩过无数坑之后总结出三个高频原因目录或文件权限过大。.ssh目录必须是700authorized_keys文件必须是600多一个组权限都不行。可以登录服务器执行修正chmod 700 ~/.ssh chmod 600 ~/.ssh/authorized_keysauthorized_keys内容格式不对。注意公钥必须是一整行不能有换行或手动折行。最好用ssh-copy-id去追加而不是手贱自己编辑。sshd_config里打开了对应的认证开关。确认PubkeyAuthentication yes没有被注释掉。还有一种比较隐蔽的情况本机使用了非默认路径的私钥但你连接时没指定。如果私钥文件不在~/.ssh/id_ed25519或者~/.ssh/id_rsa这些默认查找路径里必须用-i参数指定或者在~/.ssh/config里配好IdentityFile。7. 进阶日常用SSH组合拳提升效率会连接、会配密钥SSH的使用已经超过大多数人了。但如果你想进一步把日常运维效率提上去下面这几个技巧值得掌握。7.1 一条命令远程执行脚本不需要登录进去再敲直接ssh my-web uptime df -h连引号里的命令会在服务器上执行并把结果输出到本地。批量查看多台服务器时我经常写一个简单的循环for h in my-web my-api my-db; do echo $h ; ssh $h uptime; done配合前面提到的~/.ssh/config别名管理几十台机器也就是一个for循环的事。7.2 用SCP和SFTP传文件传文件基于SSH通道不需要另开FTP端口。拷贝单个文件scp ./local.tar.gz my-web:/tmp/从服务器下载文件scp my-web:/tmp/remote.tar.gz ./传整个目录加-r参数。如果你想用类似资源管理器的交互方式操作远端文件执行sftp my-web进入SFTP交互模式里面支持ls、cd、put、get等常用命令比SCP更适合命令行不熟的人。7.3 保持长连接与断线重连默认SSH连接如果空闲一段时间可能断掉。这通常不是网断了而是中间设备比如公司网关把空闲连接掐掉了。解决办法是在~/.ssh/config里给对应主机加上保活参数Host my-web HostName 123.123.123.123 User root ServerAliveInterval 30 ServerAliveCountMax 3ServerAliveInterval 30的意思是每30秒让客户端主动发一个心跳包告诉服务端“我还活着”这样理论上连接就不会在空闲时被切断了。7.4 复用一条连接避免反复握手SSH连接建立时的密钥交换与握手有一定开销频繁登录会让你明显感到慢。可以在~/.ssh/config里开启连接复用ControlMaster auto ControlPath ~/.ssh/controlmasters/%r%h:%p ControlPersist 10m这样第一条连接建立后后续的SSH、SCP命令会复用同一条物理连接登录速度飞快跑批量脚本时体验尤为明显。需要在本地先创建目录mkdir -p ~/.ssh/controlmasters。7.5 管理私钥的Passphrase与ssh-agent如果你给私钥设置了密码短语每次登录都要求输入一遍是不是很烦可以使用ssh-agent帮你暂时“记住”解密后的私钥ssh-add ~/.ssh/id_ed25519输入一次passphrase之后在这个会话期间登录所有配置了对应公钥的服务器都不需要再输私钥口令非常顺滑。macOS上还能用钥匙串集成重启后依然自动加载。8. 断连后的反思与我的几点真心建议SSH远程登录Linux服务器这件事说简单是真简单——一条命令的事说复杂也真复杂——加密原理、认证机制、安全策略、故障排查每一块展开都能写一本书。但对普通使用者来说最重要的是先跑通最基础的那条链路然后再慢慢去理解原理、加固安全、优化效率。回顾我自己这些年的实际运维经历几个建议想单独提出来第一私钥文件是你的命根子别用云盘随便同步。私钥泄露意味着所有配了对应用公钥的服务器都可能被入侵。存放私有秘钥时不要放在网盘或公开代码仓库建议使用本机加密磁盘或专门的密码管理工具。第二不要一上手就追求花哨的安全配置。先确认密码能登录、密钥能免密再考虑改端口、关密码认证。每一步改动都确认好了再走下一步尤其是在你无法物理接触到服务器的情况下一个错误配置可能导致能力清零。第三定期检查你的authorized_keys。时间久了你可能会忘记哪些公钥在服务器上。周期性检查并清理不再使用的密钥也有助于防止已离职同事的私钥被当作后门利用。一条命令就能查看cat ~/.ssh/authorized_keys看到不认识的公钥就要警惕了确认输出每一把公钥的归属是必要的。SSH这套体系从诞生至今已经运行了几十年稳定、开放、生态完善。把这篇文章里的内容吃透你会发现你不仅“会连接”了而且对Linux服务器运维的核心链路有了真正的理解。接下来不管是部署环境、开放服务还是做自动化你都能在SSH这条可靠的基础上盖上高楼了。