SSH 密钥管理完全指南：安全连接的最佳实践

SSH 是开发者每天都要用的工具，但很多人对密钥管理一知半解。今天系统梳理一下 SSH 密钥的安全实践。

为什么不用密码登录？

密码登录有三大风险：

• 容易被暴力破解
• 可能在传输中被截获
• 难以实现自动化

密钥登录更安全、更高效，是生产环境的标配。

生成安全密钥

# 使用 Ed25519 算法（推荐）
ssh-keygen -t ed25519 -C "your_email@example.com"

# 或者 RSA 4096 位（兼容性好）
ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

关键点：

• 一定要设置 passphrase（密码短语）
• 不要用默认文件名，按用途区分
• Ed25519 比 RSA 更安全且更快

密钥文件权限

SSH 对权限非常敏感：

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_ed25519
chmod 644 ~/.ssh/id_ed25519.pub
chmod 600 ~/.ssh/authorized_keys

权限不对会导致"Permission denied"错误。

配置 SSH Config

用配置文件管理多个服务器：

# ~/.ssh/config
Host production
    HostName 192.168.1.100
    User deploy
    IdentityFile ~/.ssh/keys/production_key
    IdentitiesOnly yes

Host github
    HostName github.com
    User git
    IdentityFile ~/.ssh/keys/github_key

之后只需 ssh production 即可连接。

部署公钥到服务器

# 自动部署（推荐）
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@hostname

# 或手动追加
cat ~/.ssh/id_ed25519.pub | ssh user@hostname "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

禁用密码登录

部署完密钥后，在服务器上修改 /etc/ssh/sshd_config：

PasswordAuthentication no
PubkeyAuthentication yes
PermitRootLogin prohibit-password

重启 SSH 服务：sudo systemctl restart sshd

注意：先测试密钥登录成功再禁用密码！

使用 ssh-agent

避免每次输入 passphrase：

# 启动 agent
eval "$(ssh-agent -s)"

# 添加密钥
ssh-add ~/.ssh/id_ed25519

# 查看已添加的密钥
ssh-add -l

macOS 用户可以在 ~/.ssh/config 添加：

Host *
    AddKeysToAgent yes
    UseKeychain yes

密钥轮换策略

• 个人密钥：每年更换一次
• 离职员工：立即撤销
• 泄露风险：立即更换并审计日志

撤销方法：从服务器的 authorized_keys 删除对应公钥。

常见错误排查

1. Permission denied (publickey)

   • 检查密钥权限
   • 确认公钥已添加到服务器
   • 查看 /var/log/auth.log

2. 密钥被忽略

   • 检查 IdentitiesOnly yes 配置
   • 确认使用正确的密钥文件

3. 连接超时

   • 检查防火墙规则
   • 确认 SSH 端口（默认 22）

高级技巧

密钥代理转发

# 允许代理转发
Host bastion
    ForwardAgent yes

# 测试转发
ssh -A user@bastion "ssh-add -l"

一次性密钥

# 生成临时密钥
ssh-keygen -t ed25519 -f /tmp/temp_key -N ""

# 使用后删除
rm /tmp/temp_key /tmp/temp_key.pub

总结

SSH 密钥管理要点：

1. 使用 Ed25519 算法
2. 设置强 passphrase
3. 正确设置文件权限
4. 用 Config 文件管理多服务器
5. 定期轮换密钥
6. 禁用密码登录

安全无小事，花 30 分钟配置好 SSH，能避免未来的大麻烦。