1. 为什么SSH密钥登录比密码更安全每次登录云服务器都要输入密码不仅麻烦还容易被人盯上。想象一下密码就像你家门钥匙如果被偷了或者被人猜到了谁都能进你家。而SSH密钥登录相当于给门锁加了指纹识别系统——需要同时拥有你的指纹私钥和门锁的识别程序公钥才能开门。我管理过上百台服务器早期也用过密码登录直到有次发现服务器被暴力破解攻击后才彻底转向密钥登录。实测下来密钥登录有三大优势首先破解难度呈指数级上升2048位的RSA密钥相当于600位的随机密码其次完全避免中间人攻击最重要的是可以彻底关闭密码登录从根本上堵住漏洞。2. 五分钟生成你的第一对SSH密钥打开终端Windows用户可以用Git Bash我们先用最基础的RSA算法生成密钥对ssh-keygen -t rsa -b 4096 -C 你的邮箱或备注这里-t指定算法类型-b确定密钥长度。我强烈建议用4096位而不是默认的2048位现在量子计算机发展这么快密钥长点更安心。执行后会让你选择保存路径直接回车用默认的~/.ssh/id_rsa就行。接下来要设置密钥密码passphrase这是个容易踩坑的地方。很多人直接回车跳过但我建议一定要设置这样即使私钥文件泄露没有密码也白搭。就像保险箱有两道锁钥匙密码才最稳妥。生成完成后你的~/.ssh目录下会出现两个文件id_rsa这就是要绝对保密的私钥权限必须是600id_rsa.pub可以随便分发公钥内容长得像ssh-rsa AAAAB3...重要提示千万不要把私钥发给任何人我见过有开发者把私钥上传到GitHub的结果服务器被挖矿程序攻占。3. 服务器端的详细配置指南现在把公钥部署到服务器上这里有个效率技巧直接用ssh-copy-id命令一键完成ssh-copy-id -i ~/.ssh/id_rsa.pub 用户名服务器IP如果没这个命令也可以手动操作登录服务器后编辑~/.ssh/authorized_keys把本地id_rsa.pub的内容粘贴进去关键一步改权限chmod 600 ~/.ssh/authorized_keys接着修改SSH服务配置用vim打开/etc/ssh/sshd_config确保这些参数PubkeyAuthentication yes PasswordAuthentication no PermitRootLogin no ChallengeResponseAuthentication no特别注意改配置前一定要另开一个终端保持登录状态我有次手滑改错配置直接把自己锁在服务器外面最后只能去控制台重置。4. 高级安全加固方案基础配置完成后可以进一步强化安全端口隐身术修改默认22端口Port 54321配合防火墙规则iptables -A INPUT -p tcp --dport 54321 -j ACCEPTIP白名单AllowUsers 用户名你的IP AllowGroups ssh-users密钥轮换策略生成新密钥对时用-f指定新文件名新旧密钥同时在authorized_keys保留一周用ssh -i指定密钥测试无误后再删除旧密钥监控技巧# 查看失败登录尝试 grep Failed password /var/log/auth.log # 实时监控登录情况 tail -f /var/log/secure5. 各云平台的特殊设置不同云服务商有些细节差异阿里云/腾讯云创建实例时可以直接上传公钥控制台能一键绑定/解绑密钥注意部分镜像默认关闭密钥登录需要手动开启AWS EC2使用.pem格式的密钥对连接时需指定密钥路径ssh -i key.pem ec2-userip华为云支持批量绑定密钥到多台服务器提供密钥对托管服务但我还是建议自己保管私钥6. 常见故障排查手册**连不上怎么办**按这个顺序检查ssh -v查看详细报错确认网络连通性telnet 服务器IP 端口检查服务状态systemctl status sshd查看日志journalctl -u sshd -f权限问题服务器端.ssh目录权限必须是700authorized_keys权限必须是600私钥文件在本地的权限也必须是600密钥被拒绝先用密码登录检查authorized_keys内容确认公钥格式完整不能换行或空格尝试重新上传公钥7. 密钥管理的最佳实践经过多次踩坑后我总结出这些经验不同服务器用不同密钥对重要业务单独隔离使用密码管理器保管私钥密码定期轮换密钥建议每3-6个月离职员工要及时删除其公钥备份备份备份但要用加密U盘存放对于团队协作建议搭建跳板机集中管理访问权限使用HashiCorp Vault等工具做密钥分发记录详细的密钥发放/回收日志
云服务器SSH密钥登录全攻略：从生成到安全配置
发布时间：2026/7/5 12:20:59
1. 为什么SSH密钥登录比密码更安全每次登录云服务器都要输入密码不仅麻烦还容易被人盯上。想象一下密码就像你家门钥匙如果被偷了或者被人猜到了谁都能进你家。而SSH密钥登录相当于给门锁加了指纹识别系统——需要同时拥有你的指纹私钥和门锁的识别程序公钥才能开门。我管理过上百台服务器早期也用过密码登录直到有次发现服务器被暴力破解攻击后才彻底转向密钥登录。实测下来密钥登录有三大优势首先破解难度呈指数级上升2048位的RSA密钥相当于600位的随机密码其次完全避免中间人攻击最重要的是可以彻底关闭密码登录从根本上堵住漏洞。2. 五分钟生成你的第一对SSH密钥打开终端Windows用户可以用Git Bash我们先用最基础的RSA算法生成密钥对ssh-keygen -t rsa -b 4096 -C 你的邮箱或备注这里-t指定算法类型-b确定密钥长度。我强烈建议用4096位而不是默认的2048位现在量子计算机发展这么快密钥长点更安心。执行后会让你选择保存路径直接回车用默认的~/.ssh/id_rsa就行。接下来要设置密钥密码passphrase这是个容易踩坑的地方。很多人直接回车跳过但我建议一定要设置这样即使私钥文件泄露没有密码也白搭。就像保险箱有两道锁钥匙密码才最稳妥。生成完成后你的~/.ssh目录下会出现两个文件id_rsa这就是要绝对保密的私钥权限必须是600id_rsa.pub可以随便分发公钥内容长得像ssh-rsa AAAAB3...重要提示千万不要把私钥发给任何人我见过有开发者把私钥上传到GitHub的结果服务器被挖矿程序攻占。3. 服务器端的详细配置指南现在把公钥部署到服务器上这里有个效率技巧直接用ssh-copy-id命令一键完成ssh-copy-id -i ~/.ssh/id_rsa.pub 用户名服务器IP如果没这个命令也可以手动操作登录服务器后编辑~/.ssh/authorized_keys把本地id_rsa.pub的内容粘贴进去关键一步改权限chmod 600 ~/.ssh/authorized_keys接着修改SSH服务配置用vim打开/etc/ssh/sshd_config确保这些参数PubkeyAuthentication yes PasswordAuthentication no PermitRootLogin no ChallengeResponseAuthentication no特别注意改配置前一定要另开一个终端保持登录状态我有次手滑改错配置直接把自己锁在服务器外面最后只能去控制台重置。4. 高级安全加固方案基础配置完成后可以进一步强化安全端口隐身术修改默认22端口Port 54321配合防火墙规则iptables -A INPUT -p tcp --dport 54321 -j ACCEPTIP白名单AllowUsers 用户名你的IP AllowGroups ssh-users密钥轮换策略生成新密钥对时用-f指定新文件名新旧密钥同时在authorized_keys保留一周用ssh -i指定密钥测试无误后再删除旧密钥监控技巧# 查看失败登录尝试 grep Failed password /var/log/auth.log # 实时监控登录情况 tail -f /var/log/secure5. 各云平台的特殊设置不同云服务商有些细节差异阿里云/腾讯云创建实例时可以直接上传公钥控制台能一键绑定/解绑密钥注意部分镜像默认关闭密钥登录需要手动开启AWS EC2使用.pem格式的密钥对连接时需指定密钥路径ssh -i key.pem ec2-userip华为云支持批量绑定密钥到多台服务器提供密钥对托管服务但我还是建议自己保管私钥6. 常见故障排查手册**连不上怎么办**按这个顺序检查ssh -v查看详细报错确认网络连通性telnet 服务器IP 端口检查服务状态systemctl status sshd查看日志journalctl -u sshd -f权限问题服务器端.ssh目录权限必须是700authorized_keys权限必须是600私钥文件在本地的权限也必须是600密钥被拒绝先用密码登录检查authorized_keys内容确认公钥格式完整不能换行或空格尝试重新上传公钥7. 密钥管理的最佳实践经过多次踩坑后我总结出这些经验不同服务器用不同密钥对重要业务单独隔离使用密码管理器保管私钥密码定期轮换密钥建议每3-6个月离职员工要及时删除其公钥备份备份备份但要用加密U盘存放对于团队协作建议搭建跳板机集中管理访问权限使用HashiCorp Vault等工具做密钥分发记录详细的密钥发放/回收日志
