Linux SSH密钥登录设置完整指南：从密钥生成到服务器配置的逐步教程-猿码集

本文聚焦于 Linux SSH密钥登录设置完整指南：从密钥生成到服务器配置的逐步教程的详细步骤，帮助运维与开发人员在远程管理时实现更高的安全性与自动化水平。

1. 生成 SSH 密钥对

1.1 选择密钥类型与长度

推荐首选 ed25519，因为它在现代 Linux 客户端上具备更高的安全性与速度，同时密钥长度更合理，默认更易于管理。

如果需要兼容性到极端旧的服务器，可以考虑 RSA 4096，但会带来性能与管理上的代价，且将来逐步被淘汰的风险更高。

Linux SSH密钥登录设置完整指南：从密钥生成到服务器配置的逐步教程

1.2 生成密钥对的实际步骤

执行生成命令时，指定密钥类型、文件名、注释以及可选的口令短语，以便后续的识别与安全性控制。

ssh-keygen -t ed25519 -a 100 -f ~/.ssh/id_ed25519 -C "user@example.com" -N "你的强口令"

生成完成后，确保本地私钥文件权限为 600，公钥权限为 644，并将私钥保存在本地受保护的目录中。

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_ed25519
chmod 644 ~/.ssh/id_ed25519.pub

2. 将公钥复制到服务器

2.1 使用 ssh-copy-id 将公钥拷贝到远端

使用 ssh-copy-id 能自动将公钥添加到服务器的 authorized_keys，并确保目录权限正确。

ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

若成功，远端的 ~/.ssh/authorized_keys 将包含你的公钥，随后就可以基于密钥进行认证。

2.2 手动将公钥添加到服务器

如无法使用 ssh-copy-id，可以通过手工方式将公钥追加到服务器的 ~/.ssh/authorized_keys。

cat ~/.ssh/id_ed25519.pub | ssh user@server 'mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys && chmod 700 ~/.ssh'

在服务器端，确保 ~/.ssh 的权限为 700，authorized_keys 的权限为 600，这对安全性至关重要。

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

3. 配置服务器端 SSH 守则

3.1 禁用基于口令的登录

为提升安全性，需要在服务器上启用公钥认证并禁用口令登录。编辑 /etc/ssh/sshd_config，确保以下选项生效，随后重启 SSH 服务。

PasswordAuthentication no
ChallengeResponseAuthentication no
PubkeyAuthentication yes
PermitRootLogin prohibit-password

sudo systemctl restart sshd

3.2 配置公钥认证相关选项

确保服务器端对公钥认证提供明确支持，并明确公钥文件的位置与权限要求。

PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

3.3 针对特定用户的 SSH 限制

如需对特定用户进行额外限制，可以在配置中添加匹配条件，降低风险。

# 仅允许 deploy 用户的密钥认证
Match User deployAllowUsers deploy

4. 客户端验证与调试

4.1 使用 SSH 连接测试

在客户端直接尝试连接服务器以测试密钥是否工作，必要时可开启详细日志来排查问题。

ssh -i ~/.ssh/id_ed25519 user@server -v

4.2 常见问题诊断

若连接失败，常见原因包括本地权限、服务器端权限、sshd 配置不一致、以及公钥未正确添加至 authorized_keys。优先检查本地 ~/.ssh 目录与私钥文件权限。

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_ed25519

# 服务器端
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

若出现 SSH 服务端日志问题，可以在服务器端重载 SSH 配置以应用修改，并查看运行状态，确保 sshd 正常工作。

sudo systemctl reload sshd
sudo systemctl status sshd

5. 高级话题与自动化

5.1 使用 SSH 代理和多跳跳板机

为方便多主机环境的密钥管理，可以使用 SSH Agent 来缓存私钥，减少每次连接时的输入，提升效率。

eval "$(ssh-agent -s)"
ssh-add ~/.ssh/id_ed25519

5.2 管理多台服务器的密钥

通过配置文件 ~/.ssh/config，可以为不同主机定义不同的主机名、用户名、身份文件等，简化连接。

# ~/.ssh/config
Host server1HostName server1.example.comUser youruserIdentityFile ~/.ssh/id_ed25519Host server2HostName server2.example.comUser youruserIdentityFile ~/.ssh/id_ed25519

5.3 进一步的安全性增强

为提升长期安全性，可以结合硬件安全密钥（如 U2F/WebAuthn 设备）生成 ed25519-sk 密钥对，或在双因素认证场景中使用公钥与一次性口令的组合。

# 使用带硬件密钥的密钥对（示例）
ssh-keygen -t ed25519-sk -C "user@example.com"