Linux SSH 服務搭建全攻略：密碼/金鑰雙模式、安全加固與客戶端連線

前言

SSH 是 Linux 遠程管理的標準協議，加密傳輸、強認證、豐富隧道功能使其成為運維生命線。本文基於 RHEL/CentOS/Fedora 系統，完整覆蓋安裝、雙認證模式配置、安全加固、Windows/Linux 客戶端連線實戰。

一、 安裝與基礎服務管理

# 安裝 OpenSSL 全家桶
yum install -y openssh-server openssh-clients

# 服務管理
systemctl enable --now sshd
systemctl status sshd
systemctl restart sshd  # 配置修改後生效

二、 核心配置檔 /etc/ssh/sshd_config 精解

# 連接埠與監聽
Port 22
# ListenAddress 0.0.0.0  # 指定 IP，預設全監聽

# 安全核心策略
PermitRootLogin no           # 禁止 root 直接登入（關鍵）
PasswordAuthentication yes   # 啟用密碼認證（模式一）
PermitEmptyPasswords no      # 禁止空密碼
LoginGraceTime 1m            # 認證等待 1 分鐘
MaxAuthTries 3               # 最大嘗試 3 次
MaxSessions 10               # 最大並發會話

# 金鑰認證（模式二）
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
RSAAuthentication yes        # SSH-1 兼容，可省略

# 進階加固
Protocol 2                   # 僅支援 SSH-2
X11Forwarding no             # 禁用 X11 轉發（非桌面環境）
AllowTcpForwarding no        # 禁用 TCP 隧道（按需）
ClientAliveInterval 300      # 5 分鐘無操作發送心跳
ClientAliveCountMax 2        # 2 次無回應斷開
Banner /etc/ssh/banner.txt   # 登入法律警告

三、 模式一：密碼認證登入（預設）

1. 確保 PasswordAuthentication yes。
2. 建立普通用戶並設定複雜密碼：
   useradd ops && echo "ComplexPass123!" | passwd --stdin ops
3. 客戶端連線：ssh ops@192.168.1.100

四、 模式二：金鑰認證登入（生產環境強推）

1. Linux/macOS 客戶端生成金鑰對

# 切換到目標用戶
su - ops
ssh-keygen -t ed25519 -C "ops@$(hostname)-$(date +%F)"
# 推薦 ed25519（比 RSA 2048 更短、更快、更安全）
# 一路 Enter（無密碼短語）或設定強密碼短語（雙因子）

# 查看生成檔案
ls -la ~/.ssh/
# id_ed25519 (私鑰, 600)  id_ed25519.pub (公鑰, 644)

2. 部署公鑰至伺服器

# 方法 A：ssh-copy-id（最簡單）
ssh-copy-id -i ~/.ssh/id_ed25519.pub ops@192.168.1.100

# 方法 B：手動部署
scp ~/.ssh/id_ed25519.pub ops@192.168.1.100:/tmp/
ssh ops@192.168.1.100 "
mkdir -p ~/.ssh
chmod 700 ~/.ssh
cat /tmp/id_ed25519.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
rm /tmp/id_ed25519.pub
"

3. 伺服器端強制啟用金鑰、禁用密碼

# 編輯 /etc/ssh/sshd_config
PasswordAuthentication no      # 關鍵：禁用密碼
PubkeyAuthentication yes
# 重啟生效
systemctl restart sshd

4. Windows 客戶端

1. 下載 PuTTY + PuTTYgen。
2. PuTTYgen：Key type 選 EdDSA（或 RSA 2048）→ Generate → Key passphrase 設定 → Save private key (.ppk)。
3. 複製公鑰區塊（以 ssh-ed25519 開頭）→ 存為文字檔 → 上傳伺服器 ~/.ssh/authorized_keys（同上）。
4. PuTTY：Session → Host Name → Connection → SSH → Auth → Private key file 選 .ppk → Open 連線。

五、 安全加固清單（生產環境必做）

六、 常見連線問題速查

結語

SSH 服務搭建核心在於禁用 root 密碼登入、強制 ed25519 金鑰認證、Fail2Ban 動態封鎖。配置即代碼，建議以 Ansible/SaltStack 管理 sshd_config 模板，實現全集群一致性合規。