SSH怎么安装配置，SSH免密登录怎么设置？

SSH（Secure Shell）协议是Linux服务器远程管理的基石，构建安全、高效的SSH环境不仅能保障数据传输的机密性，还能有效抵御暴力破解等网络攻击。SSH安装配置的核心在于：在完成基础服务部署后，必须立即进行安全加固，重点包括禁用密码登录改用密钥认证、修改默认端口以及限制Root用户直接登录。 这一“三位一体”的安全策略能够阻断绝大多数自动化脚本攻击,确保服务器在公网环境下的万无一失。

SSH服务的基础安装与启动

在主流的Linux发行版中，OpenSSH是标准的服务端实现，对于CentOS、RedHat系列系统，通常使用yum或dnf进行包管理；而Ubuntu、Debian系列则使用apt，安装过程虽然简单，但需要注意安装后的版本检查,确保不存在已知的高危漏洞。

在终端中执行相应的安装命令后，首要任务是启动服务并设置开机自启，使用systemctl start sshd和systemctl enable sshd命令即可完成，服务默认监听22端口，允许Root用户使用密码登录，虽然这时的SSH已经可以连通，但这种“裸奔”状态在公网中极其危险,必须立即进入配置环节进行干预。

核心配置文件的深度解析

SSH服务的所有行为都由/etc/ssh/sshd_config文件控制，为了实现安全加固，我们需要对该文件中的关键参数进行精确调整。修改配置文件前，建议务必先进行备份,以防配置错误导致无法连接。

更改默认端口
黑客的扫描脚本通常首先针对22端口进行地毯式轰炸，将端口修改为一个高位端口（如22222或随机五位数），虽然不能完全防止被扫描，但可以有效规避绝大多数自动化攻击，降低系统日志的垃圾数据量，在配置文件中找到#Port 22,去掉注释并修改数值。

禁用Root用户直接登录
Root账号拥有系统的最高权限，一旦被攻破，后果是灾难性的，最佳实践是创建一个普通用户，赋予sudo权限，然后禁止Root直接通过SSH登录，修改PermitRootLogin yes为PermitRootLogin no，迫使攻击者必须先猜出普通用户名和密码，再提权,大大增加了攻击难度。

禁用密码认证
这是SSH安全加固的终极手段，密码认证在字典攻击面前显得脆弱不堪，我们将PasswordAuthentication设置为no，强制系统只能通过密钥对进行身份验证，这意味着攻击者如果没有私钥文件,即便知道用户名也无法登录。

密钥认证体系的构建与部署

在禁用密码登录之前，必须先建立好密钥认证体系，SSH密钥对由公钥和私钥组成，类似于一把锁和一把钥匙，公钥放置在服务器上,私钥保留在客户端本地。

生成密钥对
在客户端机器上使用ssh-keygen命令生成密钥，推荐使用RSA 4096位或更现代的Ed25519算法，Ed25519具有更高的安全性和更小的体积，是当前的首选方案，生成过程中可以设置 passphrase（私钥密码），为私钥再加一把锁，即使私钥文件泄露,没有密码也无法使用。

公钥上传
生成后，需要将公钥内容追加到服务器的~/.ssh/authorized_keys文件中，可以使用ssh-copy-id工具自动化完成这一过程，该工具会自动处理文件权限问题。务必注意.ssh目录和authorized_keys文件的权限必须分别为700和600,否则SSH服务会因权限过宽而拒绝读取密钥。

酷番云实战经验：云环境下的SSH安全策略

在酷番云的云服务器运维实践中，我们处理过大量因SSH配置不当导致的安全事件，结合我们的云产品特性，我们小编总结了一套独有的“零信任”SSH部署方案。

许多用户在购买云服务器后，习惯直接通过控制台提供的VNC登录Root账号进行SSH配置。酷番云建议： 在实例创建阶段，直接利用云控制台的“密钥对”功能注入SSH公钥，这样，服务器启动后，您便可以直接使用私钥通过SSH工具登录,无需进行繁琐的公钥上传操作。

经验案例：
曾有一位金融行业的客户使用酷番云的高性能计算实例，初期为了方便，保留了22端口的密码登录，结果在上线三天内，服务器CPU因被植入挖矿程序而飙升。酷番云技术团队介入后，协助客户实施了以下整改：
在安全组层面，将入站规则限制为仅允许客户办公网段的IP访问SSH端口；在服务器内部彻底关闭密码认证，并强制使用Ed25519密钥；部署了酷番云提供的“云盾”主机安全服务，实时监控登录日志，整改后，该服务器的非法登录尝试归零，系统资源完全释放至业务层面，这个案例证明，结合云厂商的安全组网络层防护与系统层的SSH配置加固，才是最有效的防御体系。

连接优化与客户端管理

除了安全性，SSH的连接稳定性也至关重要，对于长时间运行的远程操作，网络波动可能导致连接中断,进而中断正在执行的任务。

在客户端的~/.ssh/config文件中，可以配置ServerAliveInterval 60，该指令指示客户端每60秒向服务器发送一次心跳包，保持连接活跃，对于管理多台服务器的运维人员，利用SSH配置文件设置Host别名，可以极大提升工作效率,避免每次输入冗长的IP地址和用户名。

常见问题与排查

在配置过程中，最常见的问题是修改配置后导致无法登录，不要慌张重启服务，应先检查sshd -t命令的语法输出，如果已经断开连接，可以通过云服务商提供的VNC控制台登录进行回滚，SELinux或防火墙如果未放行修改后的新端口，也会导致连接被拒绝，需使用semanage或firewall-cmd进行规则更新。

相关问答

Q1：如果我不小心丢失了SSH私钥文件，还有办法登录服务器吗？
A： 如果您已经禁用了密码登录且丢失了私钥，常规的SSH登录确实无法进行，这时候必须通过云服务商提供的“VNC远程控制台”或“救援模式”进入系统，在救援模式下，您可以挂载磁盘，修改/etc/ssh/sshd_config文件，临时重新开启PasswordAuthentication yes，并重启SSH服务，即可使用密码登录，登录后,请立即重新生成密钥对并恢复安全配置。

Q2：为什么我配置了密钥认证，但系统还是提示我输入密码？
A： 这是一个典型的权限问题，SSH服务对文件权限极其敏感，请检查服务器端用户的家目录下，.ssh目录权限必须为drwx------ (700)，authorized_keys文件权限必须为-rw------- (600)，如果权限过于开放（如777），SSH服务会认为该文件不安全而拒绝使用，还需检查sshd_config中AuthorizedKeysFile的路径是否正确指向了该文件。