SSH服务：安全远程登录的终极指南

最新推荐文章于 2025-11-10 00:00:00 发布
原创 最新推荐文章于 2025-11-10 00:00:00 发布 · 1.8k 阅读 · 28 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#ssh #安全 #运维

一、什么是 SSH 服务？

SSH（Secure Shell）服务是 Linux 系统中提供 远程安全登录 和 加密通信 的网络服务，默认运行在 22号端口，由 sshd 守护进程负责处理请求。

SSH 解决了传统 Telnet、FTP 等协议明文传输密码和数据的严重安全问题，是现代服务器远程运维的标准工具。

二、SSH 服务的主要用途

用途描述
✅ 远程终端登录登录远程 Linux 主机并控制它
✅ 安全文件传输使用 scp 或 sftp 实现加密文件传输
✅ 命令远程执行在远程机器上执行脚本、命令
✅ 隧道和端口转发安全传输 HTTP、VNC 等不安全流量
✅ Git 拉取/推送Git 服务常用 SSH 认证进行安全通信

三、SSH 的工作原理

  1. 客户端发起连接到 SSH 服务器（如 ssh user@ip）

  2. 服务器返回公钥等信息，建立加密会话

  3. 客户端进行身份认证（密码或密钥）

  4. 验证成功后进入加密会话，用户获得远程终端

关键特点：

  • 使用了 非对称加密 + 对称加密 + 哈希算法。

  • 通信全程加密，防止监听、篡改。

四、SSH 服务组件

组件说明
sshdSSH 服务器守护进程，监听 22 端口
sshSSH 客户端命令行程序
scp使用 SSH 协议传输文件
sftp类 FTP 的 SSH 安全文件传输工具
~/.ssh/authorized_keys服务器端保存客户端公钥的文件

五、配置 SSH 服务（服务端）

配置文件路径：/etc/ssh/sshd_config

常见配置项说明：

配置项描述
Port 22设置监听端口（可自定义为非默认端口）
PermitRootLogin no禁止 root 用户远程登录
PasswordAuthentication yes/no是否允许密码登录
PubkeyAuthentication yes是否允许公钥登录
AllowUsers user1 user2只允许指定用户登录

重启服务使配置生效：

sudo systemctl restart sshd

六、SSH 身份验证方式

1. 密码验证（默认）

优点：简单
缺点：容易被暴力破解

2. 公钥/私钥对认证（推荐）

流程：

  • 客户端生成密钥对（ssh-keygen）

  • 把公钥传到服务器（~/.ssh/authorized_keys）

  • 客户端用私钥自动验证，无需密码

更安全、适合自动化脚本、Git 操作等。

七、常见操作命令

# 启动 SSH 服务
systemctl start sshd

# 查看状态
systemctl status sshd

# 设置开机启动
systemctl enable sshd

# 客户端登录远程主机
ssh 用户名@远程IP地址

# 使用指定私钥连接
ssh -i ~/.ssh/id_rsa 用户名@IP

八、安全建议

安全措施描述
修改默认端口避免被扫描
禁用 root 登录提高安全性
使用密钥登录防止密码泄露或爆破
限制登录用户使用 AllowUsers 或 AllowGroups
配置 Fail2Ban阻止暴力破解尝试
配合防火墙限制 IP 或端口访问

九、排查连接问题

  • 端口被防火墙阻止：firewall-cmd 检查规则

  • SELinux 阻止 SSH 登录：getsebool -a | grep ssh

  • 公钥权限不当：.ssh/authorized_keys 权限必须为 600

十、关于ssh服务我想说的话。

1.服务器的配置文件在/etc/ssh/sshd_config 这个文件里定义了一些关键信息，例如是否允许root用户远程登陆，设定特定用户登录。

  1. 远程主机登录服务器时，应是登录服务器上的某个用户的，使用密钥登录的话，就要把客户端的公钥放到服务器某个用户的~/.ssh/authorized_keys文件中，这个文件每一行代表一个公钥。这是密钥登录的必要条件。同样的，如果某个用户想通过密钥的方式登录远程的客户端，不仅要将公钥放到~/.ssh/authorized_keys，而且还要将私钥放到~/.ssh/目录中。
  2. 权限问题。在服务端配置用户本身的ssh文件时，要注意他们的权限，~/.ssh/目录的的权限应该是007。以及SELinux的上下文配置。
  3. ~/ssh/ 目录下的文件介绍：
    authorized_keys 文件存储了ssh服务客户端的公钥，用于客户端连接本主机的 该文件所属用户 使用的。
    id_rsa 里面存储了文件所属用户的密钥对的私钥，用于解析其公钥加密的信息。
    id_rsa.pub 存储了文件所属用户的密钥对的公钥，用于向服务器建立ssh连接。
    know_hosts 存储了服务器上的/etc/ssh/目录下的公钥，用于下次登录时识别主机身份。
    know_hosts.pub 是know_hosts的一个备份文件，防止know_hosts文件的备胎
  4. openssh安装包的命令
    ssh_keygen 生成一个 ssh 密钥对。
    ssh_copy_id 将客户端的公钥传输到服务端哪里，用于接下来的密钥登陆。
    例子
    ssh_copy_id root@192.168.197.133 这个命令的意思是连接到主机192.168.197.133 的 root 命令。

十一、案例：如何利用Xshell实现windows到Linux的密钥对登录。

步骤一：在Windows中生成密钥对

法一：利用Xshel提供的工具
步骤一，利用Xshell提供的工具创建密钥对

以远程登录root用户为例：

打开Xshell的工具
点击用户密钥对管理者
点击生成
密钥长度越大，越不容易被破解
不设置密码继续下一步保存公钥到windows中

步骤二：将公钥传到Linux中的/root/.ssh/authorized_keys文件

启用xftp服务
设置属性
让后将保存在windows中的公钥传到Linux里面，使用cat命令将文件追加到/root/authorized_keys文件中.

假如公钥被传输到了/root目录中。

cat ./id_rsa_2084 >> ./.ssh/authorized_keys
#重启sshd服务
systemctl restart sshd

到这里就可以检测是否可以利用Xshell进行密钥登录了。

步骤三：验证是否可以登录

在Xshell中输入下面的内容并回车

[C:\~]$ ssh root@192.168.197.101

使用公钥登录
点击确定如果可以直接登录成功而不需要输入密码，那案例就成功了。

法二：直接在windows的Powershell工具，

步骤一：打开Powershell并生成公钥
PS D:\axwang\document> ssh-keygen
Generating public/private ed25519 key pair.
Enter file in which to save the key (C:\Users\28050/.ssh/id_ed25519):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in C:\Users\28050/.ssh/id_ed25519
Your public key has been saved in C:\Users\28050/.ssh/id_ed25519.pub
The key fingerprint is:
SHA256:N9MOplTkve+R8WK3SQyW7oXMyhdfvcePvrgLQUeQyso 28050@xwang
The key's randomart image is:
+--[ED25519 256]--+
|          oo.    |
|         o.o     |
|       . .+ o    |
|        oo o ..  |
|     . .S B o+. .|
|      E. + *=o++o|
|        . . .=O==|
|          ..o=oB=|
|           o===++|
+----[SHA256]-----+

注意密钥对生成的路径在哪里(C:\Users\28050/.ssh/id_ed25519)

步骤二：使用scp命令将公钥传输到Linux上。
PS D:\axwang\document> scp C:\Users\28050\.ssh\id_ed25519 root@192.168.197.101:/root
root@192.168.197.101's password:
id_ed25519                                                                            100%  399    48.7KB/s   00:00
步骤三：在Linux中将公钥导入到/root/.ssh/authorized_keys中
root@101 ~]# cat id_ed25519.pub >> .ssh/authorized_keys 
[root@101 ~]# cat .ssh/authorized_keys -n
     1	ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQDJQvaGula+N6SipJXFs2ZDT/W1XIsvWKQSMX59ukrcrW/eyY6Xs4zFIAaRao90VdpYwfSul0eY4HawbyqsXrGEkSMDnketjQcaCQxU9VGnqXED1Uss9RYKFC0lJB0PDj1Ak3vqCeG9ZWMpEwjDsm409op7Sjsb3Pvof/5T6E+STmCECD7hDCbBQWGnfY6srhKrkZl+Q4A1QnvxWDoeQPfwYhkzhtAhnvdgDWCwF63XBsElFhbQkd1cFKe25iO2klFUv+b8jcBjQ33XkMHo3+OfGeVYHeHSn2SFTLQMMuLqj/X+fKVoXvG+UQAKo9j/xt6NvKy8WZx8003qutENLxR5n183V8alEDIVw3sZ8SFFewJ5EWKlSkuhQ9vHO/N1mt/vavBaCeYJBVUX4wPWlzCBFjr2yc4q1k8+Yt2cENFhwlGkv8MaNSmTFF4vI4EiGjoDyklcXti6HGSg4Y98wkv1IJFM5JF55yFbI9drXyNIS5yqP6y4k4AAIUMsmMLgGPE= root@133
     2	ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIJUi/04giBUqkunsE08Wgv0IgREqSCtb9amRYcXAE8+8 28050@xwang
步骤四：在Powershell中使用ssh登录Linux主机
PS D:\axwang\document> ssh root@192.168.197.101
Activate the web console with: systemctl enable --now cockpit.socket

Register this system with Red Hat Insights: insights-client --register
Create an account or view all your systems at https://red.ht/insights-dashboard
Last login: Wed Jun  4 20:20:25 2025 from 192.168.197.1
[root@101 ~]#

没有跳出让人输入密码，说明密钥登录成功。

总结

其实ssh远程密钥登录的核心在于密钥对，不管在哪里登录只要能提供一组密钥对，并把这些密钥对方到该放到的位置，就可以实现密钥登陆。不管这对密钥对是在哪里产生的。

xike___
关注
SSH服务详解
惨绿少年 | 欢迎访问CLSN博客站点 http://clsn.io
10-22 1534

 第1章 SSH服务
 1.1 SSH服务协议说明
 SSH 是 Secure Shell Protocol 的简写，由 IETF 网络工作小组（Network Working Group )制定；在进行数据传输之前，SSH先对联机数据包通过加密技术进行加密处理，加密后在进行数据传输。确保了传递的数据安全。
 SSH是专为远程登录会话和其他网...
使用iPad Pro平板远程开发终极指南：Code APP安装与SSH配置详解
日出等日落
04-06 1335
使用iPad Pro平板远程开发终极指南：Code APP安装与SSH配置详解
ssh远程登录
x74188的博客
08-06 2万+
l 指定登录名称；基于口令认证时，使用强密码策略，比如：tr -dc A-Za-z0-9_ < /dev/urandom | head -c 12| xargs。服务端得到客户端的请求后，会到authorized_keys（）中查找，如果有响应的IP和用户，就会随机生成一个字符串，例如：kgc。3）客户端得到服务端的信息后，通过算法生成密钥，结合自己的公钥生成密钥对，然后将密钥对发送给服务端。5）最后，客户端拥有自己的公钥和私钥以及服务端的公钥，服务端拥有自己的公钥和私钥以及客户端的公钥。
计算机网络---安全外壳协议（SSH，Secure Shell）
最新发布
MzKyle的博客
11-10 1669
SSH是一种安全远程管理协议，用于替代不安全的Telnet协议。它通过端到端加密和严格身份认证，解决了Telnet明文传输的安全隐患。SSH协议栈分为三层：传输层协议（SSH-TRANS）建立加密连接并验证服务器身份，用户认证协议（SSH-AUTH）完成客户端身份验证（支持密码、公钥等多种方式），连接协议（SSH-CONNECT）复用安全通道传输多种类型数据。典型SSH连接流程包括TCP连接建立、算法协商、服务器身份验证、会话密钥生成、用户认证及通道建立等步骤。公钥认证是最常用的安全认证方式，通过密钥对实现
SSH远程登录与控制
热门推荐
MCB134的博客
01-14 3万+
每次使用sshd登录到其他主机，双方都会生成一个文件known_hosts把对方主机的公钥在.ssh/known_hosts文件里。⑦最终：双方各持有三个密钥，分别为自己的一对公钥、私钥、以及对方的公钥，之后的所有的通讯都会被加密。⑥服务端用解密后的Res或者是会话ID，计算出客户端的公钥(这一步服务端得到客户端公钥)④客户端用自己的公钥或会话ID，计算出一个值Res，并用服务端的公钥加密。②服务端返回自己的公钥，以及一个会话ID（这一步客户端得到服务端公钥）服务端主程序：/usr/sbin/sshd。
ssh远程登陆
mikechen1的博客
01-13 2399
SSH 协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令，SSH 为建立在应用层和传输层基础上的安全协议。Windows 客户端：xshell, MobaXterm,putty, securecrt, ssh secure shell client。SSH客户端SSH服务端。ssh服务端主要包括两个服务功能：ssh远程连接和sftp服务（文件传输功能）SSH客户端的配置文件：/etc/ssh/ssh_config。
SSH远程登录
limanjihe的专栏
08-15 7814
配置远程Server 保证两点：1. SSH Server安装并运行；2.防火墙关闭 Ubuntu版本-安装运行SSH SSH分为客户端 openssh-client 和服务器 openssh-server，可以利用以下命令确认电脑上是否安装了客户端和服务器。 dpkg -l | grep ssh 如果只是想远程登陆别的机器只需要安装客户端（Ubuntu默认安装了客户端），如果要开放本机的SSH服务就需要安装服务器。 sudo apt-get install openssh-client sudo ap
SSH隧道秘籍：安全访问远程数据库的终极指南
06-29
SSH 为远程登录会话和其他网络服务提供了一个安全的加密通道，以保护数据在不安全的网络上传输时的安全性和完整性。 ### SSH的主要特点： 1. **加密性**：SSH使用强大的加密算法来保护数据传输过程中的隐私和安全...
掌握SSH隧道技术：远程数据库安全访问指南
资源摘要信息:"SSH隧道秘籍：安全访问远程数据库的终极指南" SSH隧道秘籍详细介绍了SSH（Secure Shell Protocol）的使用方法和特点，以实现安全访问远程数据库的目的。SSH是一种在不安全的网络上建立安全隧道的加密...
桌面环境安全加固技巧：安全防护的终极指南
[桌面环境安全加固技巧：安全防护的终极指南](https://www.bitdefender.com/media/uploads/2017/07/bitdefender-manual-malware-removal-guide.png) # 摘要 本文系统地探讨了桌面环境安全的多个关键方面，从基础...
SSH终极指南：12个技巧提升远程连接的安全与效率
[SSH终极指南：12个技巧提升远程连接的安全与效率](https://cdncontribute.geeksforgeeks.org/wp-content/uploads/ssh_example.jpg) # 1. SSH基础及安全原理 SSH（Secure Shell）是一种用于网络服务的加密通信协议...
linux的SSH（远程登录）服务
种一颗树最好的时间是十年前，其次是现在！
06-19 1万+
介绍ssh服务如何远程登录到服务，免密登录如何进行实现。非对称密钥的特点。是一种 安全通道协议 ，主要用来实现字符界面的远程登录、远程 复制的功能。SSH协议对通道双方的数据传输进行了 加密处理 ，其中包括用户登录时输入的用户口令，SSH为建立在应用层和传输层基础上的安全协议。是一种安全通道协议对通信数据进行了加密处理，用于远程管理 SSH客户端： putty、xshell、CRT、MobaXterm、FinalshellSSH服务器： OpensshopenSSH是实现SSH协议的开源软件项目，适用于各种
SSH 远程登录系统和远程拷贝
zhoutong2323的博客
05-26 4274
很多时候服务器并没有服务器，我们也不能每次都通过控制台去管理服务器，这时候就需要远程登录，相比于Telnet，SSH采用密文传输更加安全。
SSH远程登陆
weixin_57507186的博客
01-09 807
SSH远程登陆，机器分为服务端和客户端两台机器，服务端设置用户sshuser1, sshuser2, sshuser3,rhce，服务端只允许sshuser3与rhce登录，并且在客户端能使用rhce用户免密登录服务端，不允许sshuser1, sshuser2登录，禁止root用户远程登录，分别以sshuser1，sshuser2，sshuser3，rhce在客户端登陆服务端验证，sshuser1,sshuser2显示拒绝链接，sshuser3顺利登陆，rhce能免密登录。-C 设置注释文字，比如邮箱。
远程登录--SSH 你值得拥有
A1100886的博客
04-22 1157
SSH 为 Secure Shell 的缩写，由 IETF 的网络小组（Network Working Group）所制定；SSH 为建立在应用层基础上的安全协议。SSH 是目前较可靠，专为远程登录和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。SSH是标准的网络协议，可用于大多数UNIX操作系统，能够实现字符界面的远程登录管理它默认使用22号端口采用密文的形式在网络中传输数据，它将客户端与服务端之间的消息通过加密保护起来，这样就无法被窃取或篡改了。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值