SSH 完全指南：从远程连接到安全加固 | 2026 最新实践

1
# 检查 SSH 客户端版本
2
ssh -V
3
# OpenSSH_9.8p1, OpenSSL 3.0.14 ...
4

5
# Ubuntu/Debian 安装（如未安装）
6
sudo apt update && sudo apt install openssh-client openssh-server
7

8
# CentOS/RHEL 安装
9
sudo yum install openssh-clients openssh-server
10

11
# Windows：PowerShell 安装
12
Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0
13
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

1
# 最简单的连接（默认端口 22）
2
ssh user@hostname
3

4
# 指定端口
5
ssh -p 2222 user@hostname
6

7
# 使用 IP 地址
8
ssh root@192.168.1.100
9

10
# 使用域名
11
ssh admin@server.example.com
12

13
# 首次连接会提示确认指纹
14
# The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
15
# ED25519 key fingerprint is SHA256:abc123...
16
# Are you sure you want to continue connecting (yes/no/[fingerprint])? yes

1
# 执行单个命令后自动断开
2
ssh user@host "uname -a"
3

4
# 执行多条命令
5
ssh user@host "uptime; free -h; df -h"
6

7
# 执行带管道的命令
8
ssh user@host "ps aux | grep nginx | head -5"
9

10
# 执行本地脚本（通过 stdin 传递）
11
ssh user@host "bash -s" < /local/script.sh
12

13
# 使用 sudo 执行（需要 -t 分配伪终端）
14
ssh -t user@host "sudo systemctl restart nginx"

1
# 推荐：生成 Ed25519 密钥（最安全、最短、最快）
2
ssh-keygen -t ed25519 -C "your-email@example.com"
3
# Generating public/private ed25519 key pair.
4
# Enter file in which to save the key (~/.ssh/id_ed25519): [直接回车使用默认]
5
# Enter passphrase (empty for no passphrase): [输入密码保护私钥，推荐！]
6
# Enter same passphrase again:
7

8
# 生成 RSA 密钥（兼容性更好，老服务器可能不支持 Ed25519）
9
ssh-keygen -t rsa -b 4096 -C "your-email@example.com"
10

11
# 查看生成的密钥
12
ls ~/.ssh/
13
# id_ed25519      ← 私钥（绝不能泄露！）
14
# id_ed25519.pub  ← 公钥（可以放到任何服务器）

1
# 方法一：ssh-copy-id（推荐，最简单）
2
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@hostname
3
# /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "~/.ssh/id_ed25519.pub"
4
# Number of key(s) added: 1
5
# Now try logging into the machine, with:   "ssh 'user@hostname'"
6
# and check to make sure that only the key(s) you wanted were added.
7

8
# 方法二：手动上传（ssh-copy-id 不可用时）
9
cat ~/.ssh/id_ed25519.pub | ssh user@host "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"
10

11
# 方法三：在服务器上手动添加
12
# 登录服务器后：
13
echo "ssh-ed25519 AAAAC3Nza... your-email@example.com" >> ~/.ssh/authorized_keys
14
chmod 600 ~/.ssh/authorized_keys
15
chmod 700 ~/.ssh

1
# 尝试密钥登录（添加 -v 查看详细过程）
2
ssh -v user@hostname
3

4
# 成功时会看到：
5
# debug1: Offering public key: ~/.ssh/id_ed25519 ED25519 SHA256:...
6
# debug1: Server accepts key: pkalg ed25519
7
# debug1: Authentication succeeded (publickey).
8

9
# 如果仍然要求密码，检查：
10
# 1. 服务器 ~/.ssh/authorized_keys 权限是否正确（600）
11
# 2. 服务器 ~/.ssh/ 目录权限是否正确（700）
12
# 3. 服务器 sshd_config 是否允许 PubkeyAuthentication

1
# 在服务器上编辑 sshd_config
2
sudo vim /etc/ssh/sshd_config
3

4
# 修改以下配置：
5
PubkeyAuthentication yes          # 启用密钥认证
6
PasswordAuthentication no         # 禁用密码认证
7
ChallengeResponseAuthentication no # 禁用挑战响应
8
UsePAM no                         # 禁用 PAM 密码认证
9

10
# 重启 SSH 服务
11
sudo systemctl restart sshd
12

13
# ⚠️ 确保密钥登录成功后再禁用密码，否则将无法登录！

1
# 创建或编辑配置文件
2
mkdir -p ~/.ssh && chmod 700 ~/.ssh
3
touch ~/.ssh/config && chmod 600 ~/.ssh/config

1
# 以前：
2
ssh -p 2222 developer@192.168.1.100 -i ~/.ssh/id_ed25519_work
3

4
# 现在只需：
5
ssh dev
6

7
# 同理：
8
ssh prod        # → admin@prod.example.com:22
9
ssh home-server # → root@home.mydomain.com:2222

1
# === 基础安全配置 ===
2
Port 22                         # 修改默认端口可减少扫描攻击
3
PermitRootLogin prohibit-password  # 允许 root 但仅密钥登录
4
PubkeyAuthentication yes        # 启用密钥认证
5
PasswordAuthentication no       # 禁用密码认证
6
MaxAuthTries 3                  # 最大认证尝试次数
7
MaxSessions 5                   # 最大并发会话
8

9
# === 安全增强 ===
10
AllowUsers admin deploy         # 仅允许指定用户登录
11
AllowGroups ssh-users           # 仅允许指定组登录
12
# DenyUsers root                # 禁止指定用户（与 AllowUsers 互斥）
13

14
# === 日志与监控 ===
15
LogLevel VERBOSE                # 详细日志
16
LoginGraceTime 60               # 登录超时 60 秒
17
SyslogFacility AUTH             # 日志类别
18

19
# === 性能优化 ===
20
UseDNS no                       # 禁用 DNS 反查（加速登录）
21
TCPKeepAlive yes                # TCP 心跳保活
22
Compression no                  # 禁用压缩（现代网络不需要）
23

24
# === 现代特性（OpenSSH 8.x+）===
25
# Include /etc/ssh/sshd_config.d/*.conf  # 包含子配置

1
# 基础命令：-L [本地端口]:[目标主机]:[目标端口] [SSH服务器]
2
ssh -L 3306:localhost:3306 user@remote-server
3

4
# 访问远程服务器背后的其他主机
5
ssh -L 3306:10.0.0.50:3306 user@remote-server
6
# remote-server 可以访问 10.0.0.50，但你的电脑不能
7

8
# 多个端口转发同时开启
9
ssh -L 3306:db.internal:3306 \
10
    -L 8080:web.internal:80 \
11
    -L 6379:redis.internal:6379 \
12
    user@remote-server
13

14
# 在 config 中配置（推荐）
15
Host db-tunnel
16
    HostName remote-server
17
    User admin
18
    LocalForward 3306 db.internal:3306
19
    LocalForward 8080 web.internal:80

1
# 连接远程 MySQL，就像连接本地一样
2
mysql -h 127.0.0.1 -P 3306 -u dbuser -p
3

4
# 浏览器访问远程内部网站
5
curl http://localhost:8080

1
# 基础命令：-R [远程端口]:[目标主机]:[目标端口] [SSH服务器]
2
ssh -R 9090:localhost:8080 user@remote-server
3

4
# 远程服务器上访问 localhost:9090 即可访问你的本地服务
5
curl http://localhost:9090
6

7
# 让远程其他人也能访问（需服务器开启 GatewayPorts）
8
# 在远程服务器 sshd_config 中添加：
9
# GatewayPorts clientspecified
10
ssh -R 0.0.0.0:9090:localhost:8080 user@remote-server
11
# 现在任何人都可以通过 remote-server:9090 访问

1
# 创建 SOCKS5 代理
2
ssh -D 1080 user@remote-server
3

4
# 配置浏览器/应用使用 SOCKS5 代理
5
# 代理地址：localhost，端口：1080
6

7
# curl 使用 SOCKS 代理
8
curl --socks5 localhost:1080 http://internal-site.example.com
9

10
# 在 config 中配置
11
Host socks-proxy
12
    HostName remote-server
13
    User admin
14
    DynamicForward 1080

1
# 方法一：autossh（自动重连）
2
autossh -M 0 -o "ServerAliveInterval 60" -o "ServerAliveCountMax 3" \
3
    -N -L 3306:db.internal:3306 user@remote-server
4

5
# 方法二：SSH + f 模式（后台运行）
6
ssh -f -N -L 3306:db.internal:3306 user@remote-server
7
# -f: 后台运行
8
# -N: 不执行远程命令（仅做隧道）
9

10
# 方法三：systemd 服务（推荐生产环境）
11
sudo vim /etc/systemd/system/ssh-tunnel.service

1
# 启用服务
2
sudo systemctl enable ssh-tunnel
3
sudo systemctl start ssh-tunnel
4
sudo systemctl status ssh-tunnel

1
# 启动 ssh-agent
2
eval "$(ssh-agent -s)"
3
# Agent pid 12345
4

5
# macOS：使用 Keychain 集成（推荐）
6
# 在 ~/.ssh/config 中添加：
7
# Host *
8
#     UseKeychain yes
9
#     AddKeysToAgent yes
10

11
# Linux：在 .bashrc/.zshrc 中自动启动
12
if [ -z "$SSH_AUTH_SOCK" ]; then
13
    eval "$(ssh-agent -s)"
14
fi

1
# 添加默认密钥
2
ssh-add
3
# Enter passphrase for ~/.ssh/id_ed25519: [输入一次即可]
4
# Identity added: ~/.ssh/id_ed25519 (your-email@example.com)
5

6
# 添加指定密钥
7
ssh-add ~/.ssh/id_ed25519_work
8
ssh-add ~/.ssh/id_ed25519_github
9

10
# 查看已添加的密钥
11
ssh-add -l
12
# 256 SHA256:abc123... your-email@example.com (ED25519)
13
# 256 SHA256:xyz789... work@company.com (ED25519)
14

15
# 删除指定密钥
16
ssh-add -d ~/.ssh/id_ed25519_work
17

18
# 删除所有密钥
19
ssh-add -D
20

21
# 锁定 Agent（临时禁用所有密钥）
22
ssh-add -x
23
# Enter lock password: [设置锁定密码]
24

25
# 解锁 Agent
26
ssh-add -X
27
# Enter lock password: [输入锁定密码]

1
# macOS 自动存储 passphrase 到 Keychain
2
ssh-add --apple-use-keychain ~/.ssh/id_ed25519
3

4
# 从 Keychain 中删除
5
ssh-add --apple-delete-keychain ~/.ssh/id_ed25519
6

7
# 配置文件中启用（推荐）
8
# ~/.ssh/config:
9
Host *
10
    UseKeychain yes
11
    AddKeysToAgent yes

1
# 方法一：命令行启用
2
ssh -A user@jumphost
3
# 然后在跳板机上：
4
git pull  # 可以使用你本地的密钥！
5

6
# 方法二：配置文件启用
7
Host jumphost
8
    HostName jump.example.com
9
    ForwardAgent yes
10

11
# ⚠️ 安全风险：Agent Forwarding 让跳板机可以"借用"你的密钥
12
# 如果跳板机不可信，不要启用 ForwardAgent！
13
# 仅在你信任的跳板机上使用

1
# 单跳板机
2
ssh -J jumpuser@jumphost targetuser@targethost
3

4
# 指定端口
5
ssh -J jumpuser@jumphost:2222 targetuser@targethost:22
6

7
# 多级跳板机（链式跳转）
8
ssh -J jump1@host1,jump2@host2 targetuser@targethost
9

10
# 在 config 中配置（推荐）
11
Host target
12
    HostName target.internal.example.com
13
    User admin
14
    ProxyJump jump@jumphost.example.com
15

16
# 然后直接：
17
ssh target

1
# 传统方式
2
ssh -o ProxyCommand="ssh -W %h:%p jumpuser@jumphost" targetuser@targethost
3

4
# config 中配置
5
Host target
6
    HostName target.internal.example.com
7
    User admin
8
    ProxyCommand ssh -W %h:%p jump@jumphost.example.com

1
# 使用效果
2
ssh db-server    # → dmz → internal-jump → db-server
3
ssh web-server   # → dmz → internal-jump → web-server

1
# SCP 通过跳板机
2
scp -J jump@jumphost localfile.txt target@targethost:/remote/path/
3

4
# SCP 多级跳板
5
scp -J jump1@host1,jump2@host2 localfile.txt target@targethost:/remote/path/
6

7
# rsync 通过跳板机（使用 SSH config）
8
rsync -avz --progress localdir/ db-server:/remote/dir/
9
# rsync 会自动使用 config 中的 ProxyJump 配置

1
# 编辑 /etc/ssh/sshd_config
2
PasswordAuthentication no
3
PubkeyAuthentication yes
4
ChallengeResponseAuthentication no
5
UsePAM no                           # 禁用 PAM（否则密码认证可能仍生效）
6

7
# 重启服务
8
sudo systemctl restart sshd
9

10
# 验证密码登录已被禁用
11
ssh -o PubkeyAuthentication=no user@host
12
# 应该立即拒绝：Permission denied (publickey).

1
# sshd_config
2
Port 2222   # 或其他非标准端口
3

4
# 客户端连接需要指定端口
5
ssh -p 2222 user@host
6

7
# 或在 ~/.ssh/config 中配置
8
Host myserver
9
    HostName server.example.com
10
    Port 2222

1
# sshd_config
2
PermitRootLogin prohibit-password   # 允许 root 密钥登录，禁止密码登录
3
# 或完全禁止：
4
PermitRootLogin no                  # root 必须先普通用户登录再 su/sudo

1
# 仅允许指定用户
2
AllowUsers admin deploy@10.0.0.*    # deploy 仅允许从 10.0.0 网段登录
3

4
# 仅允许指定组
5
AllowGroups ssh-users admin-group
6

7
# 使用 Match 条件精细化控制
8
Match Address 192.168.1.*
9
    PasswordAuthentication yes      # 内网允许密码登录
10
Match Address *,!192.168.1.*
11
    PasswordAuthentication no       # 外网仅密钥登录

1
# 安装 fail2ban
2
sudo apt install fail2ban    # Ubuntu/Debian
3
sudo yum install fail2ban    # CentOS/RHEL
4

5
# 创建 SSH 专用配置
6
sudo vim /etc/fail2ban/jail.d/sshd.local

1
# 启动 fail2ban
2
sudo systemctl enable fail2ban
3
sudo systemctl start fail2ban
4

5
# 查看封禁状态
6
sudo fail2ban-client status sshd
7

8
# 手动解封
9
sudo fail2ban-client set sshd unbanip 192.168.1.50

1
# 安装 libpam-google-authenticator
2
sudo apt install libpam-google-authenticator
3

4
# 为用户生成 OTP 密钥
5
google-authenticator
6
# 会显示 QR 码，用 Authenticator App 扫码
7

8
# 配置 sshd 使用 2FA
9
sudo vim /etc/pam.d/sshd
10
# 添加：
11
# auth required pam_google_authenticator.so nullok
12

13
sudo vim /etc/ssh/sshd_config
14
# 修改：
15
# ChallengeResponseAuthentication yes
16
# AuthenticationMethods publickey,keyboard-interactive:pam
17
# （密钥 + OTP 双因素）

1
# 本地→远程
2
scp localfile.txt user@host:/remote/path/
3
scp -r localdir/ user@host:/remote/path/     # 递归复制目录
4

5
# 远程→本地
6
scp user@host:/remote/file.txt ./localpath/
7
scp -r user@host:/remote/dir/ ./localpath/
8

9
# 指定端口
10
scp -P 2222 file.txt user@host:/remote/path/   # 注意是大写 -P！
11

12
# 通过跳板机
13
scp -J jump@jumphost file.txt target@target:/path/

1
# 连接 SFTP
2
sftp user@host
3

4
# 常用命令
5
sftp> pwd                    # 查看远程当前目录
6
sftp> ls                     # 列出远程文件
7
sftp> cd /remote/path        # 切换远程目录
8
sftp> lpwd                   # 查看本地当前目录
9
sftp> lls                    # 列出本地文件
10
sftp> lcd /local/path        # 切换本地目录
11
sftp> put localfile.txt      # 上传文件
12
sftp> get remotefile.txt     # 下载文件
13
sftp> put -r localdir/       # 上传目录
14
sftp> get -r remotedir/      # 下载目录
15
sftp> mkdir newdir           # 创建远程目录
16
sftp> rm file.txt            # 删除远程文件
17
sftp> exit                   # 退出

1
# 本地→远程同步
2
rsync -avz /local/dir/ user@host:/remote/dir/
3

4
# 远程→本地同步
5
rsync -avz user@host:/remote/dir/ /local/dir/
6

7
# 参数说明：
8
# -a: archive（保留权限/时间/符号链接等，等于 -rlptgoD）
9
# -v: verbose（显示过程）
10
# -z: compress（传输时压缩）
11
# --progress: 显示进度
12
# --delete: 删除目标中源没有的文件（完全镜像）

1
# ⚠️ 源路径末尾斜杠的含义不同！
2

3
# 有斜杠：复制目录内容到目标
4
rsync -avz /source/dir/ /target/   # /target/ 包含 dir/ 的内容
5

6
# 无斜杠：复制整个目录到目标下
7
rsync -avz /source/dir /target/    # /target/dir/ 包含 dir/ 的内容

1
# 排除文件
2
rsync -avz --exclude='*.log' --exclude='node_modules' \
3
    /source/ user@host:/target/
4

5
# 排除列表文件
6
rsync -avz --exclude-from='/path/to/exclude-list.txt' /source/ user@host:/target/
7

8
# exclude-list.txt 内容：
9
# *.log
10
# node_modules/
11
# .git/
12
# __pycache__/
13
# *.pyc
14

15
# 包含优先级（先包含再排除）
16
rsync -avz --include='*.py' --exclude='*' /source/ user@host:/target/
17
# 仅同步 .py 文件

1
# 使用 --link-dest 创建硬链接备份（节省空间）
2
rsync -avz --delete --link-dest=/backup/2026-07-01/ \
3
    /source/ /backup/2026-07-02/
4

5
# 效果：
6
# - 未修改的文件 → 硬链接到昨天的备份（不占额外空间）
7
# - 已修改的文件 → 新副本
8
# - 删除的文件 → 仅在旧备份中保留
9

10
# 自动化每日备份脚本
11
#!/bin/bash
12
DATE=$(date +%Y-%m-%d)
13
YESTERDAY=$(date -d "yesterday" +%Y-%m-%d)
14
rsync -avz --delete \
15
    --link-dest=/backup/$YESTERDAY/ \
16
    /data/ /backup/$DATE/

1
# 限速传输（避免占满带宽）
2
rsync -avz --bwlimit=1000 /source/ user@host:/target/
3
# 1000 = 1000 KB/s ≈ 1 MB/s
4

5
# 部分传输续传
6
rsync -avz --partial --partial-dir=.rsync-partial /source/ user@host:/target/
7

8
# 显示详细进度
9
rsync -avz --progress --stats /source/ user@host:/target/
10

11
# 仅检查大小和修改时间（快速模式）
12
rsync -avz --size-only /source/ user@host:/target/
13
# 不校验文件内容，仅通过大小和mtime判断是否需要传输

1
# rsync 自动使用 SSH config 配置
2
# 如果你的 config 中有：
3
Host db-server
4
    HostName 10.0.2.100
5
    User admin
6
    ProxyJump dmz,internal-jump
7

8
# 直接使用：
9
rsync -avz /local/data/ db-server:/remote/data/
10
# rsync 会自动走跳板机链路

1
# 客户端配置
2
Host *
3
    ServerAliveInterval 60       # 每 60 秒发送心跳
4
    ServerAliveCountMax 3        # 3 次无响应断开（即 180 秒）
5
    TCPKeepAlive yes             # TCP 层保活
6

7
# 服务器端配置
8
ClientAliveInterval 60
9
ClientAliveCountMax 3
10

11
# 使用 mosh 替代 SSH（不稳定网络推荐）
12
# mosh 基于 UDP，自动重连，漫游切换网络
13
mosh user@host
14

15
# 安装 mosh
16
sudo apt install mosh            # Ubuntu/Debian
17
brew install mosh                # macOS
18
# 服务器也需要安装 mosh

1
# 1. 创建 CA 密钥
2
ssh-keygen -t ed25519 -f ~/.ssh/ca_key -C "SSH CA"
3

4
# 2. 签发用户证书（有效期 1 天）
5
ssh-keygen -s ~/.ssh/ca_key -I "admin-2026-07-02" \
6
    -V +1d -n admin,deploy \
7
    ~/.ssh/id_ed25519.pub
8
# 生成 ~/.ssh/id_ed25519-cert.pub
9

10
# 3. 服务器信任 CA 公钥
11
# 在每台服务器 /etc/ssh/sshd_config 中：
12
TrustedUserCAKeys /etc/ssh/ca_pub_key
13
# 将 ca_key.pub 内容写入 /etc/ssh/ca_pub_key
14

15
# 4. 客户端自动使用证书
16
# SSH 自动查找 id_ed25519-cert.pub 与 id_ed25519 配对
17
ssh admin@server  # 使用证书认证，无需部署公钥

1
# /etc/ssh/sshd_config 中的 Match 规则
2

3
# 内网允许密码，外网仅密钥
4
Match Address 192.168.0.0/16,10.0.0.0/8,172.16.0.0/12
5
    PasswordAuthentication yes
6
Match Address *,!192.168.0.0/16,!10.0.0.0/8
7
    PasswordAuthentication no
8

9
# 特定用户限制
10
Match User deploy
11
    AllowTcpForwarding no          # 禁止端口转发
12
    X11Forwarding no               # 禁止 X11 转发
13
    PermitTTY yes
14
    ForceCommand /usr/bin/rrsync /data/deploy/  # 强制命令（仅允许 rsync）
15

16
# 特定时间限制（OpenSSH 8.2+）
17
# 注意：Match 不支持时间条件，需通过 cron 调整 sshd 配置实现

1
# 在你的电脑上监听
2
nc -lvnp 4444
3

4
# 在远程服务器上反向连接（通过 SSH 隧道更安全）
5
ssh -R 2222:localhost:22 user@your-computer
6
# 然后你通过 localhost:2222 连回远程服务器

1
# 通过 Tor 连接 SSH（隐私最大化）
2
# 需要安装 tor 和 nc/torsocks
3

4
# 方法一：ProxyCommand + tor
5
ssh -o ProxyCommand="torsocks nc %h %p" user@onion-address.onion
6

7
# 方法二：SOCKS 代理
8
ssh -o ProxyCommand="nc -X 5 -x localhost:9050 %h %p" user@onion-address.onion

1
# 检查 OpenSSH 是否安装
2
Get-WindowsCapability -Online | Where-Object Name -like "OpenSSH*"
3

4
# 安装 SSH 客户端
5
Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0
6

7
# 安装 SSH 服务器
8
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
9

10
# 启动 SSH 服务器
11
Start-Service sshd
12
Set-Service -Name sshd -StartupType Automatic
13

14
# Windows SSH 配置文件位置
15
# 客户端：C:\Users\你的用户名\.ssh\config
16
# 服务器：C:\ProgramData\ssh\sshd_config

1
# 生成密钥
2
ssh-keygen -t ed25519 -C "your-email@example.com"
3
# 默认保存到 C:\Users\你的用户名\.ssh\id_ed25519
4

5
# 上传公钥到 Linux 服务器
6
type C:\Users\你的用户名\.ssh\id_ed25519.pub | ssh user@host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"
7

8
# Windows ssh-agent 服务
9
Get-Service ssh-agent | Set-Service -StartupType Automatic
10
Start-Service ssh-agent
11
ssh-add C:\Users\你的用户名\.ssh\id_ed25519

1
# 1. 检查服务器端权限
2
# authorized_keys 必须是 600
3
ls -la ~/.ssh/authorized_keys
4
# -rw------- 1 user user ...  ← 正确
5
# 如果权限不对：
6
chmod 600 ~/.ssh/authorized_keys
7
chmod 700 ~/.ssh/
8

9
# 2. 检查服务器 sshd_config
10
grep PubkeyAuthentication /etc/ssh/sshd_config
11
# PubkeyAuthentication yes  ← 必须是 yes
12

13
# 3. 检查服务器 authorized_keys 内容
14
# 公钥必须完整（一行一个密钥）
15
cat ~/.ssh/authorized_keys
16

17
# 4. 检查客户端密钥文件权限
18
ls -la ~/.ssh/id_ed25519
19
# -rw------- 1 user user ...  ← 私钥必须是 600
20
chmod 600 ~/.ssh/id_ed25519
21

22
# 5. 调试模式连接
23
ssh -vvv user@host
24
# 查看详细的认证过程，定位失败原因

1
# 1. SSH 服务是否运行
2
sudo systemctl status sshd
3
sudo systemctl start sshd
4

5
# 2. 端口是否监听
6
sudo ss -tlnp | grep :22
7
# LISTEN 0 128 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=12345))
8

9
# 3. 防火墙是否放行
10
sudo ufw status              # Ubuntu
11
sudo ufw allow 22/tcp
12

13
sudo firewall-cmd --list-all  # CentOS
14
sudo firewall-cmd --add-service=ssh --permanent
15
sudo firewall-cmd --reload
16

17
# 4. 端口是否被修改
18
grep Port /etc/ssh/sshd_config
19
# Port 2222  ← 可能不是 22

1
# 1. 网络是否可达
2
ping server.example.com
3
traceroute server.example.com
4

5
# 2. 端口是否可达
6
nc -zv server.example.com 22 -w 5
7
# Connection to server.example.com 22 port [tcp/ssh] succeeded!
8

9
# 3. DNS 解析是否正确
10
dig server.example.com
11
nslookup server.example.com
12

13
# 4. 客户端增加超时
14
ssh -o ConnectTimeout=30 user@host

1
# 服务器指纹变更（可能是重装系统、IP变更或中间人攻击）
2

3
# 1. 确认是合法变更（与管理员确认）
4
# 2. 删除旧的 known_hosts 条目
5
ssh-keygen -R server.example.com
6
# 或手动编辑 ~/.ssh/known_hosts 删除对应行
7

8
# 3. 重新连接（会提示新的指纹）
9
ssh user@server.example.com
10

11
# 首次连接自动接受新指纹（慎用）
12
ssh -o StrictHostKeyChecking=accept-new user@host
13
# accept-new: 仅对新主机自动接受，已知主机变更仍警告
14

15
# 完全跳过指纹检查（危险！仅临时调试用）
16
ssh -o StrictHostKeyChecking=no user@host

1
# 原因一：DNS 反向解析
2
# sshd 尝试反查客户端 IP 的域名，可能超时
3
# 解决：服务器 sshd_config
4
UseDNS no
5

6
# 原因二：GSSAPI 认证尝试
7
# 客户端默认尝试 GSSAPI，失败后才用密钥
8
# 解决：客户端 ~/.ssh/config
9
GSSAPIAuthentication no
10

11
# 原因三：多个密钥逐一尝试
12
# SSH 会尝试所有密钥，直到成功或全部失败
13
# 解决：指定密钥
14
IdentitiesOnly yes
15
IdentityFile ~/.ssh/id_ed25519
16

17
# 综合加速配置
18
Host *
19
    GSSAPIAuthentication no
20
    Compression no
21
    ConnectTimeout 5
22
    IdentitiesOnly yes

1
# 方法一：nohup（最简单）
2
nohup python train.py > train.log 2>&1 &
3
# SSH 断开后进程继续运行
4

5
# 方法二：tmux/screen（推荐）
6
tmux new -s work
7
python train.py
8
# Ctrl+B D 分离会话（任务继续运行）
9
# 重新连接：
10
tmux attach -t work
11

12
# 方法三：disown（临时补救）
13
python train.py &
14
disown -h %1   # 从 Shell 中脱离，SSH 断开不影响

1
# /etc/ssh/sshd_config - 生产环境安全加固版
2

3
# === 基础配置 ===
4
Port 22                          # 可改为非标准端口
5
Protocol 2                       # 仅 SSH v2（v1 已废弃）
6
AddressFamily any                 # IPv4+IPv6
7

8
# === 认证配置 ===
9
PermitRootLogin prohibit-password # root 仅密钥登录
10
PubkeyAuthentication yes          # 启用密钥认证
11
PasswordAuthentication no         # 禁用密码认证
12
ChallengeResponseAuthentication no
13
MaxAuthTries 3                   # 最多 3 次尝试
14
MaxSessions 5                    # 最多 5 个并发会话
15
LoginGraceTime 60                # 60 秒内必须完成认证
16

17
# === 用户限制 ===
18
AllowUsers admin deploy           # 仅允许指定用户
19

20
# === 安全配置 ===
21
StrictModes yes                   # 严格检查权限
22
PermitEmptyPasswords no           # 禁止空密码
23
HostbasedAuthentication no        # 禁止主机认证
24
IgnoreRhosts yes                  # 忽略 .rhosts
25
X11Forwarding no                  # 禁止 X11 转发（除非需要）
26
AllowTcpForwarding no             # 禁止端口转发（除非需要）
27
PermitTunnel no                   # 禁止隧道
28
AllowAgentForwarding no           # 禁止 Agent 转发（除非需要）
29

30
# === 日志 ===
31
LogLevel VERBOSE                  # 详细日志
32
SyslogFacility AUTH
33

34
# === 性能 ===
35
UseDNS no                         # 禁用 DNS 反查
36
TCPKeepAlive yes
37
Compression no                    # 禁用压缩
38

39
# === 现代算法（OpenSSH 9.x+）===
40
# KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha256
41
# Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
42
# MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com
43

44
# === Match 规则（条件配置）===
45
Match Address 192.168.0.0/16,10.0.0.0/8
46
    PasswordAuthentication yes    # 内网允许密码（临时维护用）
47
    AllowTcpForwarding yes        # 内网允许端口转发
48

49
Match User deploy
50
    AllowTcpForwarding yes        # deploy 用户允许端口转发
51
    ForceCommand /usr/bin/rrsync /data/deploy/  # 仅允许 rsync