Linux OpenSSH 必会：ssh 密钥免密登录 + sshd 加固四招 + 认证失败排查-北京尧图网络

服务器都开着 22 端口为什么不怕密码被暴力破解因为 SSH 全程加密。这篇把 OpenSSH 一次讲透连接建立的五个阶段、公钥私钥怎么互换、ssh 命令的三种用法、密钥免密登录附ssh-copy-id到底做了什么、sshd 加固四招最后用一个「配好密钥却还要输密码」的真实故障收尾。全程两台机器演练客户端zhb-m110.1.8.10、服务端zhb-s110.1.8.100。一、环境准备两台机器主机名解析角色主机名IP 地址客户端发起连接的机器zhb-m110.1.8.10/24服务端跑 sshd 的机器zhb-s110.1.8.100/24IP 地址在图形界面配好下面是主机名和名称解析# 设置主机名两台机器分别设成 zhb-m1、zhb-s1[rootlocalhost ~]# hostnamectl set-hostname zhb-m1# 验证[rootlocalhost ~]# hostnamezhb-m1# 两台机器都写名称解析之后可以直接用名字互连[rootzhb-m1 ~]# echo 10.1.8.100 zhb-s110.1.8.10 zhb-m1/etc/hosts下文示例中[zhbzhb-m1 ~]$是客户端[rootzhb-s1 ~]#是服务端。二、SSH 是什么一次连接要谈几件事SSH 全称Secure Shell是基于应用层的协议为远程登录和其他网络服务提供安全性。它的前身们都不安全telnet终端仿真协议、rcp、ftp、rlogin、rsh 全部明文传输密码。OpenSSH 提供了服务端后台程序sshd和客户端工具ssh加密远程控制和文件传输中的数据用来替代这些老服务。建立连接的五个阶段留意顺序算法协商排在身份认证之前—— 双方还没验明身份就已经约定好用什么算法加密了这是 SSH 敢在公网上传输的底气。提醒SSH 有大版本 SSH1 和 SSH2SSH1 因设计缺陷早已废弃现在只用SSH2。加-v能看到版本号SSH-2.0-OpenSSH_x.y。三、加密方式对称、非对称与双向加解密对称加密与非对称加密对比项对称加密非对称加密钥匙数量一把加解密同一把一对公钥私钥公钥的用途没有这个概念加密数据可以公开私钥的用途没有这个概念解密数据绝不外传速度快慢密钥长、运算重主要保证数据完整性数据安全性、身份验证短板密钥分发困难泄露就全完效率低、密钥长度大费存储SSH 怎么把两套加密串起来SSH 协议基于非对称加密服务器和客户端各自生成一对密钥公钥互相交换。服务器创建密钥对。/etc/ssh/下按算法类型生成多对密钥例如 ecdsa 的ssh_host_ecdsa_key.pub公钥与ssh_host_ecdsa_key私钥每次启动sshd都会到这里找公钥。客户端发起连接后服务器先把公钥发过去。客户端记录公钥并生成自己的密钥对。服务器公钥被记进~/.ssh/known_hosts若已经记录过就比对一致才继续然后算出客户端自己的公私钥。客户端用服务器公钥加密自己的公钥发回。至此服务器手里有「客户端公钥自己的私钥」客户端手里有「服务器公钥自己的私钥」一套非对称加密体系成型。双向加解密。服务器发数据用客户端公钥加密客户端用自己的私钥解客户端发数据用服务器公钥加密服务器用自己的私钥解。辟谣别以为 SSH 全程都用非对称加密。公钥私钥只用来「安全地谈出一把对称会话密钥」真正加密业务数据的还是对称算法快非对称负责的是密钥交换与身份认证。四、ssh 命令实战三种用法客户端配置用法速查表写法作用ssh 10.1.8.100只给 IP用本机同名用户登录ssh zhb-s1用/etc/hosts解析出的主机名登录ssh rootzhb-s1指定登录用户与-l root等价ssh -l root -p 1022 zhb-s1-l指定用户-p指定服务端端口默认 22ssh zhbzhb-s1 hostname登录后只跑一条命令跑完就退不进交互 shellssh rootzhb-s1 hostname;id一次跑多条命令用引号括起来ssh -i /tmp/id_rsa rootzhb-s1-i指定私钥文件用法一只指定 IP 或主机名# 通过 IP 地址登录[zhbzhb-m1 ~]$ssh10.1.8.100 The authenticity ofhost10.1.8.100 (10.1.8.100)cant be established. ECDSA key fingerprint is SHA256:pplZ4EZPQ8M/f7qvKaAffxbfvKYJg9HCojrmqctkck. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes Warning: Permanently added 10.1.8.100 (ECDSA) to the list of known hosts. zhb10.1.8.100s password: Last login: Wed Jul2419:25:342024from10.1.8.1[zhbzhb-s1 ~]$# 通过主机名登录前提是 /etc/hosts 写好了[zhbzhb-m1 ~]$sshzhb-s1......[zhbzhb-s1 ~]$第一次连接为什么要敲 yesSSH 无法自动确认这台服务器的公钥可信只能让你人工确认。确认后公钥写进~/.ssh/known_hosts下次自动比对服务器重装导致指纹变化时会直接报Host key verification failed拒绝连接。用法二与用法三指定用户、指定命令# 指定 root 用户登录两种写法等价[zhbzhb-m1 ~]$sshrootzhb-s1[zhbzhb-m1 ~]$ssh-lroot zhb-s1# 同时指定用户和命令命令跑完就退回本机提示符[zhbzhb-m1 ~]$sshzhbzhb-s1hostnamezhbzhb-s1s password: zhb-s1 [zhbzhb-m1 ~]$ # 一条连接里跑多条命令 [zhbzhb-m1 ~]$ ssh rootzhb-s1 hostname;id rootzhb-s1s password: zhb-s1uid0(root)gid0(root)组0(root)环境unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023客户端配置文件~/.ssh/config文件作用范围优先级~/.ssh/config当前用户自己的设置高/etc/ssh/ssh_config全局应用于所有用户低帮助文档是SSH_CONFIG(5)即man ssh_config。别混了ssh_config是客户端配置带d的sshd_config是 **daemon服务端**配置跑在服务器上。把「不校验主机 key 默认用 root」固化下来之后一条ssh zhb-s1就能走# 目录不存在先建权限必须是 700[zhbzhb-m1 ~]$mkdir-m700.ssh[zhbzhb-m1 ~]$vim~/.ssh/config Host * StrictHostKeyChecking no User root[zhbzhb-m1 ~]$chmod600.ssh/config# 清空其他主机密钥[zhbzhb-m1 ~]$.ssh/known_hosts# 再登录不再问主机 key 是否校验用户也默认成了 root[zhbzhb-m1 ~]$sshzhb-s1 Warning: Permanently addedzhb-s1,10.1.8.100(ECDSA)to the list of known hosts. rootzhb-s1s password:三个参数的含义Host *匹配所有目标服务器只想对某台生效就写Host zhb-s1。StrictHostKeyChecking no连接目标服务器不校验主机 key直接接受并写入 known_hosts。User root连接任意目标服务器时默认用 root 账户登录。配置文件权限建议只让自己读写权限不对会被直接拒绝[zhbzhb-m1 ~]$sshzhb-s1 Bad owner or permissions on /home/zhb/.ssh/config[zhbzhb-m1 ~]$chmod600.ssh/config[zhbzhb-m1 ~]$sshzhb-s1 rootzhb-s1s password:五、SSH 都有哪些文件客户端 / 服务端分别列表记忆钥匙带d的是服务端sshddaemon不带d的是客户端ssh。两边都有自己的/etc/ssh/目录文件名和作用完全不同别搞混。客户端一侧跑ssh/ssh-keygen/ssh-copy-id的机器文件 / 目录作用~/.ssh/当前用户的 SSH 目录权限必须700~/.ssh/id_rsa、id_rsa.pub本用户生成的私钥与公钥默认 rsa也可生成id_ecdsa、id_ed25519私钥权限600~/.ssh/known_hosts记录连过的服务器公钥下次连接自动比对防中间人~/.ssh/config用户级客户端配置只对本人生效优先级高/etc/ssh/ssh_config全局客户端配置对所有用户生效优先级低/etc/ssh/ssh_config.d/*.conf全局客户端配置的补充片段新版发行版用Include引入/etc/ssh/ssh_known_hosts全局已知主机公钥库可选少用服务端一侧跑sshd的机器文件 / 目录作用/etc/ssh/sshd_config服务端主配置后面「加固四招」改的就是它/etc/ssh/sshd_config.d/*.conf主配置的补充片段新版发行版RHEL 9、Ubuntu 22.04 等用Include引入/etc/ssh/ssh_host_{rsa,ecdsa,ed25519}_key及.pub服务器自己的主机密钥对按算法各一对客户端首次连接看到的指纹就是它/home/用户名/.ssh/authorized_keys被登录用户家目录下存放允许免密登录的公钥免密的关键就在这/etc/pam.d/sshdSSH 的 PAM 认证配置调整认证方式会用到/etc/nologin该文件存在时除 root 外所有用户禁止登录/etc/hosts.allow、/etc/hosts.denyTCP Wrappers 按来源 IP 放行 / 拒绝见姊妹篇/var/log/secure服务端登录与拒绝日志Debian / Ubuntu 为/var/log/auth.log一句话分清四个容易混的文件ssh_config管「我怎么连别人」sshd_config管「别人怎么连我」id_*是证明「我是我」的私钥authorized_keys是允许「谁能进来」的公钥名单。六、配置密钥认证彻底告别输密码配置过程# 1. 客户端生成密钥对[zhbzhb-m1 ~]$ ssh-keygen Generating public/private rsa key pair.# 私钥保存位置回车用默认Enterfileinwhichto save the key(/home/zhb/.ssh/id_rsa):# 私钥加密口令两次回车表示不加密Enter passphrase(emptyforno passphrase): Enter same passphrase again: Your identification has been savedin/home/zhb/.ssh/id_rsa. Your public key has been savedin/home/zhb/.ssh/id_rsa.pub. The key fingerprint is: SHA256:OAfLyL6KIXr44DV7vhpystqqXwsbFl2tGP6HZP4GLR4 zhbzhb-m1 The keys randomart image is: ---[RSA2048]----|.o.|| *||.* O.S||*B.o.|----[SHA256]-----# 2. 看一眼生成了什么[zhbzhb-m1 ~]$ls.ssh/ config id_rsa id_rsa.pub known_hosts# 3. 把公钥推动给目标服务器上的目标用户[zhbzhb-m1 ~]$ ssh-copy-id zhbzhb-s1# 4. 验证直接进去不再问密码[zhbzhb-m1 ~]$sshzhbzhb-s1hostnamezhb-s1推公钥这件事等价于把公钥内容追加到目标用户家目录的.ssh/authorized_keys里# 客户端上的公钥[zhbzhb-m1 ~]$cat.ssh/id_rsa.pub ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDtFoo/sDpB1uBw9XMuXLcO//RgghgHeYjdibXMCtw5UUf/H5lYcP4ZjCbQTdmH7n0ZkxYriIUQ6atY0Jel3sWzCD3K9DSU8g5Ux2wjCrVhFJGTtsMXeIXqQW0MqY2Gn9KtC098JKlzikUzSbDe61vyqCYHVeBNmWtTtZORhywHlN4HxLIGOlGvnPrXI8uhdgBqV6Sxo0XkpOvB2y0Kjxb0SQUCYpdkT/cJqUz2Bm/diPEDmHPvlVn3/chD7UvtwQhGCFEPGBawQIsb7sT73UpIQ20vaxjs8okQ1XZNzHW1KnLBhYskrtWU7HIHHTWObpw5mwoXj64wcPX zhbzhb-m1# 服务端看到的 authorized_keys内容与上面完全一致[zhbzhb-s1 ~]$cat.ssh/authorized_keys ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDtFoo/sDpB1uBw9XMuXLcO//RgghgHe...同上# 想让 root 也能免密登录把这份文件拷到 root 家目录[rootzhb-s1 ~]# mkdir -m 700 .ssh[rootzhb-s1 ~]# cp ~zhb/.ssh/authorized_keys .ssh# 客户端验证 root 免密[zhbzhb-m1 ~]$sshrootzhb-s1hostnamezhb-s1非交互场景脚本与批量操作# 一条命令生成密钥对-t 算法、-N 空口令、-f 输出文件[zhbzhb-m1 ~]$ ssh-keygen-trsa-N-fid_rsa_new[zhbzhb-m1 ~]$ls*new* id_rsa_new id_rsa_new.pub# sshpass 带密码执行脚本里应急用明文密码有泄露风险[zhbzhb-m1 ~]$password123[zhbzhb-m1 ~]$ sshpass-p$passwordsshrootzhb-s1hostnamezhb-s1# -i 指定私钥位置找不到私钥时会退回密码登录[zhbzhb-m1 ~]$mv.ssh/id_rsa /tmp[zhbzhb-m1 ~]$ssh-i/tmp/id_rsa rootzhb-s1hostnamezhb-s1# -p 指定目标服务器 sshd 服务端口号默认 22[zhbzhb-m1 ~]$ssh-lroot-p1022zhb-s1hostnamerootzhb-s1s password: zhb-s1排故配了密钥登录却还要密码现象配好密钥登录后远程登录仍然要求输入密码。模拟把目标用户的家目录权限改成 777。[rootzhb-s1 ~]# chmod 777 /root处理过程分两步# 1. 客户端登录的同时在服务端盯日志[rootzhb-s1 ~]# tail -f /var/log/secure......Jul3116:13:41 zhb-s1 sshd[3693]: Authentication refused: bad ownership or modesfordirectory /root......# 2. 日志已经点明是权限问题查一下[rootzhb-s1 ~]# ls -ld /rootdrwxrwxrwx.3root root4096Jul3116:09 /root# 改回 700 即可[rootzhb-s1 ~]# chmod 700 /root避坑家目录、.ssh目录、authorized_keys三处任何一处对「组 / 其他人」可写sshd 都会直接拒绝密钥认证报bad ownership or modes。RHEL / CentOS 上还要留意 SELinux 上下文密钥文件若是 root 手动cp进去的可能不是ssh_home_t用restorecon -Rv ~/.ssh修复。七、加固 sshd 服务四招服务端配置文件是/etc/ssh/sshd_config帮助文档sshd_config(5)。常用配置速查表配置项作用记忆点PermitRootLogin prohibit-password禁止 root 用密码登录密钥仍可用prohibit只禁「密码」这一种方式PermitRootLogin no彻底禁止 root 远程登录密码、密钥都不行PasswordAuthentication no全体用户禁用密码登录只认密钥一次性封掉整条密码通道AllowUsers zhb只允许名单内的用户登录白名单其他人一律拒UseDNS no服务器不做客户端 IP 反向解析少一次 DNS 查询连接更快Port 1022改默认端口只减少扫描噪音算不上安全措施为什么不能放 root 直接登录三条理由root 权限不受限制每台 Linux 都有 root攻击者只需猜密码从审计角度看不出「是哪个管理员用 root 改了什么」而普通用户登录后再su -会留下日志事件可追责。第 1 招禁止 root 用密码登录前提是已经配好 root 的密钥登录否则改完自己都进不去。[rootzhb-s1 ~]# vim /etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin prohibit-password# 重启重载服务[rootzhb-s1 ~]# systemctl reload sshd# 连接测试密码正确也进不来[zhbzhb-m1 ~]$sshrootzhb-s1 rootzhb-s1s password: Permission denied, please try again.......Permission denied(publickey,gssapi-keyex,gssapi-with-mic,password).# 配了密钥登录时想强制走密码认证要加选项结果同样被拒[zhbzhb-m1 ~]$ssh-oPreferredAuthenticationspassword rootzhb-s1第 2 招彻底禁止 root 登录[rootzhb-s1 ~]# vim /etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin no[rootzhb-s1 ~]# systemctl reload sshd# 连接测试密码和密钥都进不来[zhbzhb-m1 ~]$sshrootzhb-s1 rootzhb-s1s password: Permission denied, please try again. Permission denied(publickey,gssapi-keyex,gssapi-with-mic,password).# 正确姿势普通用户登录再提权[zhbzhb-m1 ~]$sshzhbzhb-s1[zhbzhb-s1 ~]$su-[rootzhb-s1 ~]#第 3 招禁止密码登录全员只认密钥[rootzhb-s1 ~]# vim /etc/ssh/sshd_config# 注释原有行#PasswordAuthentication yes# 添加新行PasswordAuthentication no[rootzhb-s1 ~]# systemctl reload sshd# 连接测试没配密钥的账户密码通道被直接拒绝[zhbzhb-m1 ~]$ssh-oPreferredAuthenticationspassword zhbzhb-s1 Permission denied(publickey,gssapi-keyex,gssapi-with-mic).# 密钥登录仍然支持[zhbzhb-m1 ~]$sshzhbzhb-s1 Last login: Thu May1410:35:052026from10.1.8.10第 4 招只允许特定用户登录先建一个laowang用户并让它也能密钥登录[rootzhb-s1 ~]# useradd laowang[rootzhb-s1 ~]# echo 123 | passwd --stdin laowang[rootzhb-s1 ~]# mkdir -m 700 /home/laowang/.ssh/[rootzhb-s1 ~]# cp .ssh/authorized_keys /home/laowang/.ssh/[rootzhb-s1 ~]# chown -R laowang:laowang /home/laowang/.ssh/再把白名单写进配置[rootzhb-s1 ~]# vim /etc/ssh/sshd_config# 最后添加一行AllowUsers zhb[rootzhb-s1 ~]# systemctl reload sshd# 连接测试zhb 可以密钥登录[zhbzhb-m1 ~]$sshzhbzhb-s1hostnamezhb-s1# laowang 不管用什么方式认证都不行[zhbzhb-m1 ~]$sshlaowangzhb-s1hostnamePermission denied(publickey,gssapi-keyex,gssapi-with-mic).改完配置用reload而不是restartreload只让 sshd 重读配置已建立的连接和正在传输的文件不受影响restart会掐断所有在线会话。改之前先确认自己还有另一条能进服务器的路否则容易把自己关在门外。想再收紧一层、按来源 IP 放行某一台机器见姊妹篇《Linux 访问控制双剑客hosts.allow / hosts.deny 规则语法详解 TCP Wrappers 匹配流程实战》。参考资料官方文档 · 中英双语英文原版man7.orgssh 客户端命令手册ssh_config 客户端配置文件手册sshd 服务端守护进程手册sshd_config 服务端配置文件手册ssh-keygen 密钥生成手册ssh-copy-id 公钥推送手册中文版ssh 命令中文说明菜鸟教程这篇走通了「五阶段连接 → 两类加密 → 三种登录写法 → 密钥免密 → 服务端加固四招 → 权限导致的认证失败」这条链路。真正要带走的是三句话密码通道能关就关、root 登录能禁就禁、密钥能上就上。服务端的登录与拒绝记录全在/var/log/secure日志怎么读、journalctl怎么用见姊妹篇《Linux 日志管理必会rsyslog 规则配置 journalctl 排障服务起不来怎么定位》。觉得有用的话点赞收藏欢迎在评论区聊聊你被 sshd 拒之门外的经历。

Linux OpenSSH 必会：ssh 密钥免密登录 + sshd 加固四招 + 认证失败排查

相关推荐

EMC中常用专业术语解析

新用户和老用户怎么区分？统计工具里最容易算错的一组指标

Python Flask/Django开发高校选课成绩管理系统实战

更多资讯

Pentagi：红队AI代理架构与图谱驱动渗透测试方法论

电气笔记——认识元件

ISSA-SVM在DGA故障诊断中的工程化改进与实践

DeskcommCRM实践：用统一事件模型打通呼叫中心与客户管理

游戏测试中unittest框架的深度应用与优化

Pentagi：基于Docker+Neo4j的AI渗透协作框架

今日更新

基于MATLAB的CRI显色指数计算：从SPD光谱到Ra的完整流程

JSP+Servlet+MySQL博客系统源码部署与优化全攻略

蜂窝调度算法 MATLAB 实现：比例公平、轮询与最大 C/I 对比

本周精选

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？