一、密钥对生成原理与工具选择

SSH密钥登录基于非对称加密技术，通过生成公钥（Public Key）和私钥（Private Key）实现身份验证。公钥可公开分发，私钥必须严格保密。当前主流方案支持RSA（2048/4096位）和Ed25519（更高效安全）两种算法，推荐使用Ed25519以获得更好的性能和安全性。

密钥生成工具对比

终端工具：OpenSSH自带的ssh-keygen命令（跨平台支持）
图形化工具：行业常见终端模拟软件（如SecureCRT、Xshell等）
云平台控制台：部分云服务商提供密钥对生成功能（需下载私钥文件）

以行业常见终端模拟软件为例，其密钥生成流程如下：

打开连接配置界面，选择”PublicKey”认证方式
在密钥属性窗口点击”Create Identity File”
选择算法类型（推荐Ed25519）
设置加密口令（可选但建议设置）
指定保存路径，生成.ppk格式私钥文件

二、服务端环境准备与权限控制

1. 创建SSH目录结构

# 标准目录创建（需root权限）
mkdir -p /root/.ssh
chmod 700 /root/.ssh
chown root:root /root/.ssh

关键权限说明：

目录权限700：仅所有者可读写执行
文件权限600：仅所有者可读写
所有权必须为认证用户（如root）

2. 公钥格式转换与部署

不同工具生成的公钥格式存在差异，需进行标准化转换：

# 将行业常见终端模拟软件生成的公钥转换为OpenSSH格式
ssh-keygen -i -f public_key.pub >> /root/.ssh/authorized_keys
# 设置正确的文件权限
chmod 600 /root/.ssh/authorized_keys
chown root:root /root/.ssh/authorized_keys

最佳实践建议：

使用authorized_keys而非旧版authorized_keys2
每个公钥单独一行存储
可通过restorecon命令恢复默认SELinux上下文（如适用）

三、客户端配置与连接测试

1. 配置SSH客户端

在终端模拟软件中需完成以下设置：

创建新会话或修改现有会话
在”Connection”→”SSH2”中选择”PublicKey”认证
指定私钥文件路径（.ppk格式）
如设置了密钥口令，需输入正确密码

2. 连接测试与故障排查

典型测试流程：

# 使用ssh命令测试（需安装OpenSSH客户端）
ssh -i /path/to/private_key username@server_ip
# 常见错误排查
# 1. 权限错误：检查.ssh目录和文件权限
# 2. 格式错误：确认公钥已正确转换
# 3. 服务未重启：执行systemctl restart sshd

四、安全加固最佳实践

1. 禁用密码认证

修改SSH服务配置文件（通常位于/etc/ssh/sshd_config）：

# 仅允许SSH2协议
Protocol 2
# 启用公钥认证
PubkeyAuthentication yes
# 指定授权文件路径
AuthorizedKeysFile .ssh/authorized_keys
# 禁用密码认证
PasswordAuthentication no
ChallengeResponseAuthentication no
# 可选：限制特定用户登录
AllowUsers admin devops

2. 实施双因素认证（增强方案）

对于高安全要求环境，可结合Google Authenticator实现：

安装PAM模块：yum install google-authenticator
修改PAM配置：/etc/pam.d/sshd
更新SSH配置：AuthenticationMethods publickey,keyboard-interactive

3. 定期密钥轮换

建议每90天更换密钥对，操作流程：

生成新密钥对
更新服务端authorized_keys文件
测试新密钥连接
安全删除旧私钥文件

五、自动化部署方案

对于大规模服务器环境，可使用Ansible实现自动化配置：

- name: Configure SSH key authentication
  hosts: all
  tasks:
    - name: Ensure .ssh directory exists
      file:
        path: /root/.ssh
        state: directory
        mode: 0700
    - name: Deploy authorized_keys
      copy:
        src: /local/path/authorized_keys
        dest: /root/.ssh/authorized_keys
        mode: 0600
        backup: yes
    - name: Restart SSH service
      service:
        name: sshd
        state: restarted

六、常见问题解决方案

1. “Server refused our key”错误

可能原因：

私钥与公钥不匹配
服务端未正确加载公钥
文件权限设置错误

排查步骤：

检查/var/log/secure日志
确认authorized_keys文件格式
验证密钥指纹是否一致

2. 连接超时问题

检查项：

防火墙是否放行22端口
SELinux是否阻止SSH访问
网络ACL规则配置

通过系统化实施SSH密钥认证方案，可显著提升服务器访问安全性，减少密码泄露风险。建议结合日志监控和异常登录告警机制，构建完整的安全运维体系。对于云环境，可进一步利用云服务商提供的密钥管理服务（KMS）实现密钥的集中管理和自动轮换。

SSH密钥登录全流程指南：从密钥生成到服务端配置