13.3 SSH连接配置

---

1. 为什么要学这个?

你每登录一次服务器，就要输一次复杂的密码 Xy9#kL2@mPq. 有时候输错了还得重来。 更可怕的是，如果你看一眼 /var/log/auth.log，你会发现每分钟都有来自全球各地的机器人 IP 尝试猜测你的密码。 一旦被猜中，你的服务器就成了别人的矿机。

---

2. 核心概念：SSH Key Pair

• Public Key (公钥): .pub 结尾。可以给任何人，放在服务器的 ~/.ssh/authorized_keys 列表里。
• Private Key (私钥): 自己留着，打死不给别人。

原理：

1. 服务器：我有把锁 (公钥)，谁有钥匙？
2. 你：我有 (用私钥加密一段信息发回去)。
3. 服务器：(用公钥解密成功) 确实是你，请进。

---

3. 解决方案 (HOW)

3.1 生成密钥对 (本地电脑)

# 遇到提示一路回车即可
ssh-keygen -t ed25519 -C "your_email@example.com"

这会在 ~/.ssh/ 下生成 id_ed25519 (私钥) 和 id_ed25519.pub (公钥)。

3.2 把公钥上传到服务器

方法 A：一键上传 (推荐)

# 会自动把你的公钥追加到服务器的授权列表
ssh-copy-id root@1.2.3.4

方法 B：手动复制

1. 本地：cat ~/.ssh/id_ed25519.pub 复制内容。
2. 服务器：echo "粘贴内容" >> ~/.ssh/authorized_keys。

3.3 禁用密码登录 (关键步骤)

确保你能免密登录后，编辑服务器上的 /etc/ssh/sshd_config:

PasswordAuthentication no  # 关键！关掉密码登录
PubkeyAuthentication yes

重启 SSH：service ssh restart。

3.4 SSH 握手流程图

graph TD
    Client["你的电脑"] -->|"Step 1: 发起连接 (携带公钥指纹)"| Server["SSH 服务器"]
    
    Server --"Step 2: 找到公钥, 发送随机数"--> Client
    
    Client -->|"Step 3: 用私钥加密随机数"| Server
    
    Server --"Step 4: 用公钥解密验证"--> Result{"验证成功?"}
    
    Result -- Yes --> Login["登录成功 (无需密码)"]
    Result -- No --> Reject["拒绝连接"]
    
    style Login fill:#c8e6c9,stroke:#2e7d32
    style Reject fill:#ffcdd2,stroke:#c62828

---

4. 避坑指南

❌ 不要这样做	✅ 应该这样做	为什么
使用 RSA	使用 Ed25519	RSA 算法比较老，密钥很长。Ed25519 更安全、更短、更快。
私钥裸奔	设置 Passphrase	生成 Key 时应该设置密码。这样即使你的笔记本被黑客控制了，没有密码他也无法使用私钥。
忘备份	备份 ~/.ssh	如果你重装了电脑且忘了备份私钥，又禁用了服务器密码，那你就是把自己锁在门外了。只能去云控制台重置系统。

---

5. 真实案例

---

6. 本章小结

1. 免密：不是为了偷懒，是为了安全。
2. 禁用：配置好 Key 后，必须第一时间关掉 Password Authentication。
3. 保管：私钥丢了约等于服务器丢了。