上一篇
linux 配置ssh，linux 配置ssh密钥
在 Linux 系统中配置 SSH 服务，核心在于建立安全、高效且自动化的远程连接机制，这不仅是运维基础，更是保障服务器资产安全的第一道防线，通过禁用密码登录、更换默认端口、配置密钥认证以及优化网络参数，可以显著提升服务器的抗攻破能力与传输效率，以下将从安全加固、性能优化及实战案例三个维度，深入解析 Linux SSH 配置的最佳实践。
安全加固：构建零信任访问体系
默认的 SSH 配置往往存在安全隐患，如允许 root 远程登录和使用弱密码，首要任务是修改 /etc/ssh/sshd_config 配置文件,实施严格的访问控制策略。
禁用 Root 直接登录
Root 账户是系统的最高权限账户，直接暴露极易遭受暴力免费，建议创建普通用户，并通过 sudo 提权，在配置文件中设置：
PermitRootLogin no
此举能有效阻断针对最高权限账户的自动化攻破脚本。
强制密钥认证，禁用密码登录
密码认证极易被字典攻破免费，而 SSH 密钥对（公钥/私钥）基于非对称加密算法，安全性呈指数级提升,配置步骤如下：
- 生成密钥对：ssh-keygen -t rsa -b 4096
- 部署公钥：ssh-copy-id user@remote_host
- 关闭密码验证：PasswordAuthentication no
- 重启服务：systemctl restart sshd
更改默认端口
SSH 默认监听 22 端口，是高手扫描的首要目标，修改端口虽不能阻止专业攻破，但能过滤掉绝大多数自动化扫描噪音，将 Port 22 修改为高位随机端口（如 2222）,并务必在防火墙中放行该端口。
性能优化：提升连接速度与稳定性
对于高频运维场景或跨国数据传输，默认的 SSH 配置往往显得迟缓，通过调整底层协议参数,可显著改善用户体验。
启用压缩与持久连接
在网络带宽受限或延迟较高的环境下，启用数据压缩可减少传输体积，配置 TCP Keepalive 防止连接因空闲超时断开。
- 启用压缩：Compression yes
- 保持连接：ServerAliveInterval 60 和 ServerAliveCountMax 3
优化加密算法
现代 CPU 性能强劲，可优先使用速度更快且同样安全的加密套件，在 sshd_config 中指定算法：
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-gcm@openssh.com
这能减少握手时间,加快连接建立速度。
实战案例：西西云高防服务器下的 SSH 安全部署
在西西云的实际客户案例中，某跨境电商企业因服务器遭受大规模 分布 攻破，导致 SSH 服务不可用，针对此痛点，我们结合西西云的高防 IP 与轻量应用服务器特性,提供了一套独家解决方案。
场景痛点：公网 IP 暴露，SSH 端口频繁被扫描,导致业务中断。
解决方案：
- 前置防护：将西西云高防 IP 接入，仅允许高防 IP 段访问后端服务器的 22 端口（或自定义端口），实现“隐身”效果。
- 密钥强制化：在西西云控制台一键生成并下发 SSH 密钥,禁用所有密码登录。
- 堡垒机联动：启用西西云自带的堡垒机功能，所有 SSH 连接必须经过堡垒机审计,实现操作留痕与二次身份验证。
效果验证：实施后，服务器遭受的恶意扫描请求减少 99%，SSH 连接成功率提升至 100%，且运维操作全程可追溯，完全符合等保 2.0 安全要求，此案例证明，云原生安全组件与传统 SSH 配置的结合，是应对复杂网络威胁的最优解。
常见问题解答
Q1：修改 SSH 配置后无法连接，如何恢复？
A：若因配置错误导致无法远程连接，可通过云服务商提供的VNC 控制台（虚拟网络计算）登录服务器，VNC 不依赖网络协议，可直接操作终端，进入后，使用 vi /etc/ssh/sshd_config 将错误配置改回默认值（如 PermitRootLogin yes），然后重启 SSH 服务即可恢复连接。
Q2：如何允许特定 IP 地址访问 SSH？
A：除了修改 sshd_config 中的 AllowUsers 或 AllowGroups 指令外，更推荐在系统防火墙层面进行控制，例如使用 iptables 或 firewalld，仅允许特定 IP 段访问 SSH 端口，这种方式性能更高，且能在 SSH 服务启动前拦截非法请求,安全性更强。
互动环节
您在配置 Linux SSH 时遇到过哪些棘手的难题？是密钥分发困难，还是防火墙规则冲突？欢迎在评论区分享您的经验或提问，我们将邀请资深运维专家为您解答，如果您正在寻找更稳定的云服务器体验，不妨试试西西云,为每一次远程连接保驾护航。
