ssh-keygen -t ed25519生成现代、强度高的 ed25519 密钥，私钥留本地，公钥发服务器。
SSH 安全基础
约 1324 字大约 4 分钟
2026-05-14
SSH 是你和远程服务器之间的唯一通道，它的安全直接等于服务器的安全。这篇不讲 SSH 的全部用法（那部分见 SSH 远程登录（在新窗口打开）），只聚焦“怎么登录是安全的、哪些信号说明出了问题”。
阅读导览
SSH 安全基础
理解 SSH 登录的三个环节、密钥登录为什么比密码更安全、known_hosts 警告意味着什么、公网服务器该怎么收紧。
- 登录 = 连通 + 验主机 + 验用户
- 密钥登录优于密码登录
- known_hosts 警告不能无视
- 公网服务器要收紧暴露面
命令速查
SSH 安全相关速查
守住唯一通道ssh-copy-id user@host把本地公钥安全地追加到服务器的 authorized_keys。
ssh -v user@host打印详细握手过程，认证为什么失败一目了然。
ssh-keygen -R host服务器确实重装后，删掉 known_hosts 里过期的记录。
一次 SSH 登录的三个环节
登录失败时，先判断卡在哪一环：
- 网络连通：能不能到达服务器的 SSH 端口。卡这里通常是
Connection refused（端口没开 / 服务没起）或超时（防火墙 / 网络不通）。 - 主机身份确认：客户端核对服务器指纹，防止连到假冒的服务器。第一次连接会问你是否信任，之后存进
~/.ssh/known_hosts。 - 用户认证：证明“你是你”，用密钥或密码。
把现象对到环节，再去查对应的东西，比盲目重试有效得多。
密钥登录为什么比密码好
密码登录的弱点：密码会被暴力破解、会被偷看、公网上每天有大量机器人在撞库。密钥登录用一对非对称密钥：
- 私钥留在你本地（
~/.ssh/id_ed25519），绝不外传 - 公钥放到服务器的
~/.ssh/authorized_keys
登录时服务器用公钥出题、你的私钥作答，私钥本身从不在网络上传输。所以密钥登录既扛暴力破解，又没有“密码被偷”的风险。给私钥再设一个 passphrase，即使私钥文件泄露也多一层保护。
ssh-keygen -t ed25519 # 生成密钥对
ssh-copy-id user@host # 把公钥装到服务器known_hosts 警告：不要习惯性忽略
如果某次登录突然冒出一大段 WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!，意思是服务器的指纹和上次记录的不一样了。可能的原因：
- 服务器重装了系统 / 重新生成了主机密钥（正常）
- 你连到了一个冒充该地址的机器（中间人攻击）
不要条件反射地删掉 known_hosts 那行了事。先确认服务器确实做过重装等变更，确认无误再用 ssh-keygen -R host 清掉旧记录。这条警告存在的全部意义，就是让你停下来核实一次。
公网服务器：收紧暴露面
放在公网的服务器，SSH 端口每天都被扫描。在服务端配置（/etc/ssh/sshd_config）里至少做到：
PasswordAuthentication no——关掉密码登录，只留密钥PermitRootLogin no——不允许直接用 root 登录，登普通用户再 sudo- 用防火墙（见 防火墙基础）把 SSH 端口限制到可信 IP
私钥权限太松会被 SSH 拒绝
SSH 对密钥文件权限有强制要求：私钥(~/.ssh/id_ed25519)必须是 600,~/.ssh 目录必须是 700，否则 SSH 会直接拒绝使用它并报错。改 sshd_config 关闭密码登录前,务必先确认密钥登录已经能成功——否则改完一重启，你可能就把自己锁在门外了。稳妥做法：开一个新终端测试密钥登录通过，再断开旧连接。
常见误区
| 误区 | 更稳妥的做法 |
|---|---|
| known_hosts 报警就直接删掉那行重连 | 先核实服务器是否真的重装过，确认无误再 ssh-keygen -R |
| 公网服务器一直开着密码登录 | 配好密钥后关闭 PasswordAuthentication，只留密钥 |
| 私钥随手拷贝、权限 644 | 私钥严格 600、~/.ssh 700，且私钥不外传 |
| 关密码登录前不验证密钥能用 | 先开新终端确认密钥登录成功，再改 sshd_config |
实践清单
练习清单
- 1用 `ssh-keygen -t ed25519` 生成一对密钥，看看私钥和公钥分别长什么样。
- 2登录一台服务器失败时，用 `ssh -v` 看它卡在连通、验主机还是验用户哪一环。
- 3检查 `~/.ssh` 和私钥的权限是不是 700 / 600。
- 4看一台服务器的 `/etc/ssh/sshd_config`，确认 PasswordAuthentication 和 PermitRootLogin 的设置。
重点总结
要点回收
- SSH 登录分连通、验主机、验用户三环，失败时先定位卡在哪一环。
- 密钥登录私钥不上网，扛暴力破解也无密码泄露风险，优于密码登录。
- known_hosts 警告必须核实不能无视；公网服务器关密码登录、禁 root 直登、限制端口暴露。
版权所有
版权归属：Shuo Liu