SSH 安全配置与无密码登录详解

Stay Passion

于 2025-05-21 08:30:00 发布

阅读量1k

点赞数 27

分类专栏： Linux 文章标签： ssh 安全运维 linux 服务器

本文链接：https://blog.csdn.net/weixin_45277068/article/details/148087515

版权

Linux 专栏收录该内容

37 篇文章

订阅专栏

前言

在 Linux 系统中，SSH（Secure Shell）是远程登录和远程命令执行的标准工具。它通过加密通信确保数据安全，几乎是系统管理员和开发者日常运维中不可或缺的工具。然而，默认的 SSH 配置并不总是最安全的，合理配置 SSH 服务和实现无密码登录不仅能提升使用效率，也能增强系统安全性。

本文将详细介绍 SSH 的基本原理、服务配置、安全加固、密钥登录实现方式及常见实战技巧，帮助读者构建一个既便捷又安全的远程访问体系。

一、SSH 基础概念与工作原理

1.1 什么是 SSH？

SSH 是一种加密的网络协议，用于在不安全的网络中进行安全的数据通信、远程命令执行和文件传输。

1.2 SSH 工作机制

客户端发起连接请求；
服务端返回公钥，客户端验证主机身份；
客户端发送用户名和认证方式（密码或公钥）；
双方协商加密方式，建立加密隧道；
开始安全通信。

1.3 SSH 常用命令

# 登录远程主机
ssh user@remote_host

# 指定端口
ssh -p 2222 user@remote_host

# 执行远程命令
ssh user@remote_host 'ls -l /var/log'

# 文件传输
scp file.txt user@remote:/path/
rsync -avz local/ user@remote:/path/

二、SSH 服务配置详解

2.1 配置文件路径

主配置文件位于 /etc/ssh/sshd_config，客户端配置通常为 ~/.ssh/config。

2.2 常用配置项解析

Port 22                     # 设置 SSH 服务监听端口
PermitRootLogin no          # 禁止 root 用户直接登录
PasswordAuthentication no   # 禁用密码登录，仅使用密钥
PubkeyAuthentication yes    # 启用公钥认证
AllowUsers user1 user2      # 限制可登录用户
PermitEmptyPasswords no     # 禁止空密码登录
MaxAuthTries 3              # 限制最大认证尝试次数
LogLevel INFO               # 日志记录级别

修改完配置后需重启 SSH 服务：

systemctl restart sshd

2.3 修改默认端口

建议将默认的 22 端口改为非标准端口以减少扫描风险。

Port 2222

防火墙配置：

firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload

三、SSH 密钥认证与无密码登录

3.1 公钥与私钥机制

SSH 密钥对由公钥与私钥组成，常见算法包括 RSA、ECDSA、Ed25519。

私钥（保存在本地）
公钥（保存在远程主机 ~/.ssh/authorized_keys）

3.2 生成密钥对

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

默认生成文件：

私钥：~/.ssh/id_rsa
公钥：~/.ssh/id_rsa.pub

3.3 部署公钥到远程主机

ssh-copy-id user@remote_host

或者手动追加公钥内容至远程主机：

cat ~/.ssh/id_rsa.pub | ssh user@remote_host 'mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys'

3.4 设置权限

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

3.5 测试无密码登录

ssh user@remote_host

如成功登录而未提示输入密码，则配置成功。

四、安全加固建议

4.1 禁用 root 用户远程登录

PermitRootLogin no

4.2 限制用户访问

AllowUsers user1 user2

4.3 使用 Fail2Ban 阻止暴力破解

# 安装
sudo apt install fail2ban

# 启动服务
systemctl enable --now fail2ban

配置规则 /etc/fail2ban/jail.local：

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5

4.4 使用防火墙限制访问 IP

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'
firewall-cmd --reload

4.5 使用端口敲门（Port Knocking）

通过预定义端口序列触发防火墙放行 SSH 服务端口，提高隐藏性（可借助 knockd 工具实现）。

五、扩展实践应用

5.1 多主机自动登录配置（~/.ssh/config）

Host web
  HostName 192.168.1.10
  User deploy
  IdentityFile ~/.ssh/id_rsa

Host db
  HostName 192.168.1.11
  User root
  Port 2222

使用：

ssh web
ssh db

5.2 使用代理转发（SSH Agent Forwarding）

ssh -A user@jump_server

允许在跳板机上继续无密码访问目标机器。

5.3 配置 SSH 连接保活

避免长时间无操作导致连接断开：

# 客户端 ~/.ssh/config
ServerAliveInterval 60
ServerAliveCountMax 3

六、故障排查技巧

6.1 使用 -v 参数调试

ssh -v user@remote_host

多加几级 -vvv 可查看更多信息。

6.2 查看服务端日志

journalctl -u sshd
cat /var/log/auth.log

6.3 公钥未生效常见问题

权限不正确（.ssh 目录需 700，authorized_keys 文件需 600）
服务端未启用 PubkeyAuthentication
公钥格式或路径错误

七、总结

SSH 是构建远程管理环境的基础设施之一。通过禁用密码登录、限制登录用户、配置防火墙、启用 Fail2Ban 等手段，可大幅提高系统的安全性。借助 SSH 密钥认证，不仅可以提升登录效率，还能实现自动化运维和脚本化部署。

无论是在企业环境还是个人服务器中，SSH 的配置都不应被忽视。希望通过本文的详细讲解，能够帮助你更好地掌控 SSH 服务配置、密钥管理及安全防护策略，为系统的安全与高效运行提供有力保障。