Git SSH通信配置

Git SSH通信配置

SSH（Secure Shell）是Git实现安全远程通信的核心协议，通过非对称加密技术保障数据传输安全。以下从原理、配置流程到高级管理进行系统分析：

一、SSH通信核心原理

1. 非对称加密机制

   • 客户端生成密钥对：私钥（id_rsa）和公钥（id_rsa.pub）
   • 公钥上传至Git服务端（如GitHub/GitLab），私钥本地安全存储
   • 建立连接时双方通过非对称加密进行身份验证身份及生成对称加密密钥

2. 协议工作流程

   graph LR
   A[Git Client] -- SSH连接请求 --> B[Git Server]
   B -- 发送加密挑战 --> A
   A -- 私钥解密响应 --> B
   B -- 验证成功建立通道 --> A
   

二、完整配置流程

1. 密钥生成（本地操作）

   # 生成ED25519算法密钥（推荐）
   ssh-keygen -t ed25519 -C "your_email@example.com"
   
   # 或传统RSA算法
   ssh-keygen -t rsa -b 4096 -C "your_email@example.com"
   

   • -C 参数添加注释标识
   • 默认存储路径：~/.ssh/id_algorithm

2. 公钥部署（服务端操作）

   • GitHub：Settings → SSH and GPG keys → New SSH key
   • GitLab：Preferences → SSH Keys
   • 需完整复制.pub文件内容

3. 连接测试

   ssh -T git@github.com  # 测试GitHub
   ssh -T git@gitlab.com  # 测试GitLab
   

   成功响应：Hi username! You've successfully authenticated...

三、高级配置场景

1. 多账户管理
   创建~/.ssh/config文件实现域名分流：

   # 工作账户
   Host work-git
     HostName github.com
     User git
     IdentityFile ~/.ssh/id_ed25519_work
   
   # 个人账户
   Host personal-git
     HostName github.com
     User git
     IdentityFile ~/.ssh/id_rsa_personal
   

   使用方式：git clone git@work-git:company/project.git

2. 安全增强措施

   • 私钥加密：ssh-keygen -p -f ~/.ssh/id_rsa 添加密码
   • 密钥时效：ED25519有效期约50年，RSA-4096约30年
   • 代理转发：ssh-add -K ~/.ssh/id_rsa 缓存解密密钥

3. 协议优化参数

   Host *
     Compression yes  # 启用压缩
     ServerAliveInterval 60  # 保活检测
     AddKeysToAgent yes  # 自动加载密钥
   

四、故障诊断指南

现象	检测命令	解决方案
连接超时	ssh -vT git@host	检查防火墙/22端口
权限拒绝	ls -l ~/.ssh	设置chmod 600 id_rsa
主机密钥变更	ssh-keygen -R host	清除known_hosts旧记录
代理未加载	ssh-add -l	执行eval $(ssh-agent)

五、安全最佳实践

1. 定期轮换密钥（建议每年1次）
2. 禁用旧版算法：在sshd_config中添加

   HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com
   KexAlgorithms curve25519-sha256@libssh.org
   

3. 使用硬件密钥（YubiKey等）进行物理隔离

关键提醒：SSH配置的核心在于密钥对的隔离管理。企业级环境建议集成证书颁发机构（CA）实现集中式密钥分发，可通过TrustedUserCAKeys配置实现自动化证书验证。