Linux运维自学坊

SSH基础用法与密钥对配置详解

SSH（Secure Shell）是Linux系统管理员最常用的远程管理工具，它提供了安全的加密通信通道。本文将详细介绍SSH的基础用法、密钥对配置以及高级安全设置，帮助您建立安全高效的远程管理环境。

什么是SSH？

SSH是一种网络协议，用于在不安全的网络中提供安全的远程登录和其他安全网络服务。它通过加密技术保护数据传输，防止窃听、连接劫持和其他攻击。

基础SSH连接

最基本的SSH连接命令格式如下：

ssh [用户名]@[服务器地址]

例如，连接到IP为192.168.1.100的服务器：

ssh root@192.168.1.100

如果需要指定端口（默认是22）：

ssh -p 2222 root@192.168.1.100

SSH密钥对配置

使用密钥对进行身份验证比密码更安全，也更方便。以下是配置SSH密钥对的完整步骤：

1. 生成密钥对

在本地计算机上生成SSH密钥对：

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

参数说明：

• -t rsa: 指定密钥类型为RSA
• -b 4096: 指定密钥长度为4096位（更安全）
• -C "comment": 添加注释，通常使用邮箱地址

执行命令后，系统会提示：

Generating public/private rsa key pair.
Enter file in which to save the key (/home/username/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:

2. 查看生成的密钥

生成的密钥文件位于~/.ssh/目录：

ls -la ~/.ssh/
id_rsa      # 私钥文件（必须保密！）
id_rsa.pub  # 公钥文件（可以公开）

3. 将公钥复制到服务器

有多种方法可以将公钥复制到服务器：

方法一：使用ssh-copy-id（推荐）

ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.100

方法二：手动复制

如果服务器上没有ssh-copy-id命令，可以手动操作：

# 1. 查看公钥内容
cat ~/.ssh/id_rsa.pub

# 2. 登录服务器
ssh root@192.168.1.100

# 3. 在服务器上创建.ssh目录（如果不存在）
mkdir -p ~/.ssh

# 4. 将公钥内容添加到authorized_keys文件
echo "公钥内容" >> ~/.ssh/authorized_keys

# 5. 设置正确的权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

4. 测试密钥登录

配置完成后，测试是否可以使用密钥登录：

ssh root@192.168.1.100

如果配置正确，系统会提示输入密钥的密码短语（如果有设置），而不是服务器密码。

SSH配置文件优化

通过配置~/.ssh/config文件，可以简化SSH连接：

# ~/.ssh/config 文件示例
Host myserver
    HostName 192.168.1.100
    User root
    Port 22
    IdentityFile ~/.ssh/id_rsa
    ServerAliveInterval 60
    ServerAliveCountMax 3

Host github.com
    User git
    IdentityFile ~/.ssh/github_rsa

配置后，可以直接使用别名连接：

ssh myserver

SSH安全最佳实践

为了增强SSH安全性，建议进行以下配置：

1. 修改SSH服务端配置

编辑/etc/ssh/sshd_config文件：

# 禁用root登录
PermitRootLogin no

# 禁用密码认证（使用密钥后）
PasswordAuthentication no

# 修改默认端口
Port 2222

# 限制登录用户
AllowUsers admin

# 限制最大尝试次数
MaxAuthTries 3

# 设置空闲超时时间
ClientAliveInterval 300
ClientAliveCountMax 2

修改配置后重启SSH服务：

systemctl restart sshd
# 或
service ssh restart

2. 使用Fail2ban防止暴力破解

安装并配置Fail2ban来监控SSH登录失败：

# 安装Fail2ban
apt-get install fail2ban  # Debian/Ubuntu
yum install fail2ban      # CentOS/RHEL

# 配置SSH保护
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
# 编辑jail.local文件，启用ssh保护

SSH高级功能

1. SSH端口转发

本地端口转发（将远程端口映射到本地）：

ssh -L 8080:localhost:80 root@192.168.1.100

远程端口转发（将本地端口映射到远程）：

ssh -R 8080:localhost:80 root@192.168.1.100

2. SSH隧道

通过SSH创建安全的SOCKS代理：

ssh -D 1080 root@192.168.1.100

3. SCP文件传输

使用SCP在本地和服务器之间传输文件：

# 上传文件到服务器
scp localfile.txt root@192.168.1.100:/path/to/destination/

# 从服务器下载文件
scp root@192.168.1.100:/path/to/file.txt ./local/

# 递归复制目录
scp -r localdir/ root@192.168.1.100:/path/to/destination/

4. SFTP文件管理

使用SFTP进行交互式文件管理：

sftp root@192.168.1.100

常见问题排查

1. 连接被拒绝

检查SSH服务是否运行：

systemctl status sshd
netstat -tlnp | grep :22

2. 权限问题

检查SSH目录和文件的权限：

# 正确的权限设置
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/id_rsa
chmod 644 ~/.ssh/id_rsa.pub

3. 调试SSH连接

使用-v参数查看详细连接信息：

ssh -v root@192.168.1.100

总结

SSH是Linux系统管理的核心工具，掌握其基础用法和密钥对配置对于运维工作至关重要。通过本文的学习，您应该能够：

1. 使用SSH进行基本的远程连接
2. 配置和使用SSH密钥对进行安全认证
3. 优化SSH配置以提高效率和安全性
4. 使用SSH的高级功能如端口转发和文件传输
5. 排查常见的SSH连接问题

安全是运维工作的生命线。始终使用密钥认证，定期更新密钥，监控登录日志，才能确保服务器的安全稳定运行。

记住，良好的SSH配置习惯不仅能提高工作效率，更是系统安全的重要保障。在实际工作中，建议结合防火墙、Fail2ban等工具，构建多层次的防御体系。