Linux如何配置SSH免密钥登录，解决依然需要密码的问题？

在服务器管理、自动化脚本部署以及日常开发工作中，频繁地通过SSH（Secure Shell）连接到远程Linux服务器是家常便饭，每次连接都输入密码不仅繁琐，降低了工作效率，而且在自动化场景下（如使用Ansible、Jenkins等）更是不可行的障碍，配置SSH免密登录，即基于密钥的认证方式，便成为了一项必备的核心技能，它不仅提升了便捷性，相较于传统密码认证，也提供了更强的安全保障，本文将详细介绍如何一步步配置Linux免密登录，并探讨其背后的原理与常见问题。

理解SSH免密登录的基本原理

SSH免密登录的核心技术是“非对称加密”，它使用一对密钥：公钥和私钥。

• 私钥：相当于你的个人钥匙，必须妥善保管，绝不能泄露，它通常保存在本地计算机的 ~/.ssh/ 目录下。
• 公钥：相当于一把可以公开分发的锁，你可以将公钥放置在任何你想免密登录的远程服务器上。

其认证过程如下：当你尝试通过SSH连接远程服务器时，服务器会用它保存的你的公钥加密一个随机字符串，并发送给你的本地计算机，你的本地计算机使用私钥对这个字符串进行解密，并将结果发回服务器，如果服务器验证返回的结果正确，就证明你拥有匹配的私钥，从而允许你登录，整个过程无需传输密码。

第一步：在本地客户端生成SSH密钥对

如果这是你第一次设置,需要先在本地计算机（你的工作机）上生成密钥对，打开终端，执行以下命令：

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

这条命令的含义是：

• ssh-keygen: 生成密钥的工具。
• -t rsa: 指定密钥类型为RSA，这是一种非常成熟和安全的算法。
• -b 4096: 指定密钥长度为4096位，长度越长，安全性越高。
• -C "your_email@example.com": 为密钥添加一个注释，方便识别，通常使用你的邮箱。

执行后,终端会提示你选择保存密钥的文件位置，默认是 /home/your_user/.ssh/id_rsa，直接按回车键即可，它会要求你输入一个“passphrase”（密码短语）。

是否设置密码短语？

• 设置：为你的私钥再加一层保护，即使私钥文件被盗，没有这个密码短语也无法使用，安全性最高，但在每次使用密钥时都需要输入这个短语。
• 不设置：直接按回车，这样就能实现真正的“免密”登录，但需确保私钥文件的绝对安全。

对于自动化脚本,通常不设置密码短语，对于日常手动登录，建议设置以增强安全性。

第二步：将公钥复制到远程服务器

生成密钥对后,~/.ssh/ 目录下会出现两个文件：id_rsa（私钥）和 id_rsa.pub（公钥），接下来的任务是将公钥 (id_rsa.pub) 的内容添加到远程服务器的 ~/.ssh/authorized_keys 文件中。

使用 ssh-copy-id 命令（推荐）

这是最简单、最安全的方法，它会自动处理文件权限等问题，在本地终端执行：

ssh-copy-id user@remote_host_ip

• user: 远程服务器的用户名。
• remote_host_ip: 远程服务器的IP地址或域名。

执行后,系统会提示你输入远程服务器的登录密码，验证通过后，ssh-copy-id 会自动将你的公钥追加到远程服务器的 ~/.ssh/authorized_keys 文件末尾，并设置正确的文件和目录权限。

手动复制粘贴

如果本地没有 ssh-copy-id 命令，可以手动操作。

1. 查看并复制本地公钥内容：

   cat ~/.ssh/id_rsa.pub

   复制输出的全部内容。

2. 登录到远程服务器：

   ssh user@remote_host_ip

   此时仍需输入密码。

3. 在远程服务器上操作：

   

   • 确保 .ssh 目录存在，且权限正确：

     mkdir -p ~/.ssh
     chmod 700 ~/.ssh

   • 将复制的公钥内容追加到 authorized_keys 文件中：

     echo "粘贴你复制的公钥内容" >> ~/.ssh/authorized_keys

   • 设置 authorized_keys 文件的权限：

     chmod 600 ~/.ssh/authorized_keys

权限说明：~/.ssh 目录权限必须是 700，authorized_keys 文件权限必须是 600，权限过于宽松会导致SSH安全机制拒绝使用密钥登录。

下表对比了两种方法的优劣：

第三步：测试免密登录

完成上述步骤后,断开与远程服务器的连接，然后再次尝试登录：

ssh user@remote_host_ip

如果一切顺利,你将无需输入任何密码，直接成功登录到远程服务器的Shell环境中，如果之前为密钥设置了密码短语，此时会提示你输入该短语。

相关问答FAQs

免密登录安全吗？它和传统的密码认证相比哪个更安全？
答：在正确配置的前提下，SSH免密登录（基于密钥的认证）远比传统的密码认证更安全，公钥加密算法的强度远高于人类记忆和设置的密码，有效抵御了暴力破解攻击，私钥从不离开你的本地计算机，网络上传输的只是经过公钥加密的挑战信息，避免了密码在传输过程中被窃听的风险，只要你确保私钥文件的安全（例如不泄露、设置强密码短语），这种方式的安全性是极高的。

我为我的私钥设置了密码短语，这不还是需要输入“密码”吗？它有什么用？
答：这是一个非常好的问题，这里的“密码短语”和服务器“登录密码”是两个层面的概念，登录密码是用于验证用户身份，它在网络上进行（通常是加密的）传输；而私钥的密码短语是用于保护你本地存储的私钥文件本身，它的作用是：即使攻击者通过某种手段窃取了你的私钥文件（如偷走了你的笔记本电脑），没有这个密码短语，他依然无法使用你的私钥来进行身份认证，为了兼顾安全与便利，可以使用 ssh-agent 来管理你的私钥，你只需在登录本地系统时输入一次密码短语，ssh-agent 就会在后台为你“它，在当前会话中后续的SSH连接都将自动使用密钥，无需重复输入密码短语。