如何配置免密登录？，免密登录配置详细步骤是什么

配置免密登录是提升服务器管理与自动化运维效率的关键基础操作,通过SSH密钥认证替代传统密码认证，不仅能彻底规避密码暴力破解风险，还能为脚本化、自动化操作铺平道路。只要掌握密钥生成、公钥分发、权限修正、服务端配置这四个核心步骤，即可在几分钟内完成安全可靠的免密登录配置。

为什么必须配置免密登录

传统密码登录存在三个难以解决的痛点：

• 安全风险高：密码容易被暴力破解或钓鱼窃取，尤其当服务器暴露在公网时，攻击者每秒都在尝试弱口令。
• 管理效率低：频繁更换密码、记忆多套密码、密码输入繁琐，严重拖累运维效率。
• 无法自动化：脚本和CI/CD工具无法在交互式密码输入场景下稳定运行，阻碍自动化流程落地。

SSH密钥认证基于非对称加密,私钥本地保存、公钥部署到服务器。攻击者即使截获公钥，也无法逆推出私钥，安全等级远高于密码，密钥登录后即可执行免密操作，天然适合自动化场景。

免密登录配置四步法

以下操作在Linux/macOS客户端与Linux服务器之间通用，Windows可使用PowerShell或WSL执行。

第一步：生成密钥对

在客户端执行：

ssh-keygen -t ed25519 -C "your_email@example.com"

• -t ed25519 指定算法，Ed25519比RSA更安全且性能更优
• -C 添加注释，便于识别密钥来源
• 连续回车可默认保存至~/.ssh/id_ed25519，并设置空口令（如需更高安全可设置passphrase）

生成后会在~/.ssh目录下产生id_ed25519（私钥）和id_ed25519.pub（公钥）。私钥绝不外传，公钥可自由分发。

第二步：拷贝公钥到服务器

三种方式任选其一：

• 使用ssh-copy-id（推荐）

ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server_ip

• 手动追加（无ssh-copy-id时）

cat ~/.ssh/id_ed25519.pub | ssh user@server_ip "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

• 使用scp传输后追加

scp ~/.ssh/id_ed25519.pub user@server_ip:/tmp/
ssh user@server_ip "cat /tmp/id_ed25519.pub >> ~/.ssh/authorized_keys && rm /tmp/id_ed25519.pub"

第三步：修正服务器端权限

权限错误是免密登录失败的最常见原因,SSH为保证安全，对目录和文件权限有严格要求：

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chown -R $(whoami):$(whoami) ~/.ssh

• ~/.ssh目录必须是700
• authorized_keys文件必须是600
• 如果目录或文件属主不是当前用户，即使权限正确也会被拒绝

第四步：修改SSH服务端配置

编辑/etc/ssh/sshd_config，确认以下配置：

PubkeyAuthentication yes
PasswordAuthentication no
ChallengeResponseAuthentication no
PermitRootLogin prohibit-password

• 建议先保留密码登录,等密钥验证通过后再关闭
• 修改后重启服务：systemctl restart sshd（CentOS）或systemctl restart ssh（Ubuntu）
• 关闭密码登录前务必先测试密钥登录是否成功，否则可能把自己锁在门外

进阶配置与常见问题排查

多服务器批量分发密钥

手动一台台配置效率太低,可借助Ansible等工具批量分发公钥，以下是一个Ansible Playbook片段：

- hosts: all
  tasks:
    - name: 创建.ssh目录
      file:
        path: ~/.ssh
        state: directory
        mode: '0700'
    - name: 写入公钥
      authorized_key:
        user: "{{ ansible_user }}"
        key: "{{ lookup('file', '/home/local/.ssh/id_ed25519.pub') }}"

SSH代理与密钥链

若私钥设置了passphrase,每次连接都要输入密码，可启用ssh-agent：

eval "$(ssh-agent -s)"
ssh-add ~/.ssh/id_ed25519

之后在当前会话中即可免密登录,macOS用户还可通过ssh-add --apple-use-keychain将密钥存入系统钥匙串，实现永久免密。

连接卡顿或超时

如果连接后长时间无响应或直接超时,通常由DNS反向解析导致，在服务器sshd_config中设置：

UseDNS no
GSSAPIAuthentication no

重启SSH服务即可解决。

经验案例：酷番云服务器免密配置实践

在酷番云云服务器部署时,我们曾为一个管理12台节点的集群配置免密登录，按照标准流程，先在一台管理机生成密钥对，然后使用ssh-copy-id逐台拷贝。但发现其中两台节点始终认证失败，排查后定位为~/.ssh目录属主为root，导致普通用户无法读取，执行命令修正：

chown -R deploy:deploy ~/.ssh
chmod -R go-w ~/.ssh

问题立即解决,此后我们建议所有用户在初始化云服务器后第一件事就是配置免密登录，并关闭密码认证，这样即使服务器被扫描，攻击者也无法通过口令爆破进入系统。强烈建议将私钥放入硬件安全密钥（如YubiKey）或使用带密码短语的私钥，避免私钥泄露后被直接滥用。

与云产品结合的深度建议

在酷番云控制台中,用户可以使用一键初始化脚本，在服务器首次开机时自动完成密钥注入，这样不需要手动拷贝公钥，只需在创建实例时上传公钥即可，具体操作：控制台选择“密钥对”创建，绑定后实例创建即具备免密能力。这一方式彻底避免了密码泄露的可能，且新实例无需人工干预，适合批量创建场景。

若你使用的是无密钥对机制的云产品,也可以在“用户数据”（User Data）中注入初始化脚本，实现同样的效果。核心思路是把公钥配置过程自动化，减少人为错误。

相关问答

问：免密登录后，是否意味着所有能访问我本地私钥的人都能直接登录服务器？

答：是的，而且不要让私钥裸奔。 只要私钥文件被他人获取，他就能登录对应账号，因此务必做到：私钥文件权限设为600；为私钥设置强密码短语；使用SSH代理避免反复输入；若私钥泄露，需立即从服务器删除对应公钥并重新生成密钥对。另建议开启SSH二次认证（U2F/TOTP），即使私钥泄露也无法登录。

问：如果忘记服务器密码，但之前配置过免密登录，还能恢复密码吗？

答：能，优先使用密钥登录后重置密码。 若密钥登录可用，直接登录后执行passwd即可修改密码，若密钥也失效，就需要通过云服务商的“VNC控制台”或“重置密码”功能，进入单用户模式修改。建议在配置免密后，将密码重置为一个高强度随机密码并妥善保存，作为最后一道应急门。

互动

你在配置免密登录时遇到过哪些奇怪问题？或者有更好用的批量管理技巧？欢迎在评论区留言分享，我们一起探讨，如果你觉得本文对你有帮助，请点赞转发，让更多运维同仁少踩坑。