一、SSH密钥认证技术原理

SSH密钥认证基于非对称加密技术，通过生成公私钥对实现身份验证。相较于传统密码认证，密钥认证具有以下优势：

安全性提升：私钥仅保存在客户端，服务端仅存储公钥，有效防止暴力破解
自动化运维：支持脚本批量操作，无需人工输入密码
审计合规：符合金融、政务等行业的安全认证规范
性能优化：密钥交换过程比密码认证更高效

密钥认证流程包含三个核心步骤：

客户端生成密钥对（公钥+私钥）
公钥上传至服务端授权文件
客户端通过私钥证明身份完成认证

二、密钥生成与配置准备

2.1 密钥类型选择

推荐使用Ed25519算法生成密钥，其优势包括：

更短的密钥长度（256位）提供同等安全性
抗侧信道攻击能力更强
签名验证速度比RSA快3-5倍

生成命令示例：

ssh-keygen -t ed25519 -C "admin@example.com" -f ~/.ssh/id_ed25519

参数说明：

-t：指定算法类型
-C：添加注释信息
-f：指定密钥存储路径

2.2 密钥文件结构

生成的密钥文件包含：

id_ed25519：私钥文件（需严格保密）
id_ed25519.pub：公钥文件（需分发到服务端）

建议设置600权限保护私钥：

chmod 600 ~/.ssh/id_ed25519

三、公钥分发方案

3.1 自动分发工具（推荐）

使用ssh-copy-id工具自动完成分发：

ssh-copy-id -i ~/.ssh/id_ed25519.pub root@192.168.5.100

执行过程包含：

建立SSH连接
创建~/.ssh目录（如果不存在）
将公钥追加到authorized_keys文件
设置正确的文件权限

3.2 手动分发流程

当自动工具不可用时，可执行以下步骤：

通过SCP传输公钥文件：

scp ~/.ssh/id_ed25519.pub root@192.168.5.100:/tmp/

登录服务器执行：

mkdir -p ~/.ssh
chmod 700 ~/.ssh
cat /tmp/id_ed25519.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
restorecon -Rv ~/.ssh  # 针对SELinux系统

四、服务端安全配置

4.1 SSH服务优化

编辑/etc/ssh/sshd_config文件，建议修改以下参数：

PubkeyAuthentication yes
PasswordAuthentication no  # 禁用密码认证
ChallengeResponseAuthentication no
AuthorizedKeysFile .ssh/authorized_keys
UsePAM no

修改后重启服务：

systemctl restart sshd

4.2 防火墙配置

确保SSH端口（默认22）开放：

firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload

4.3 权限加固

执行以下命令确保目录权限正确：

chown -R root:root ~/.ssh
find ~/.ssh -type f -exec chmod 600 {} \;
find ~/.ssh -type d -exec chmod 700 {} \;

五、客户端连接测试

5.1 标准连接方式

ssh -i ~/.ssh/id_ed25519 root@192.168.5.100

5.2 配置SSH客户端

编辑~/.ssh/config实现免参数连接：

Host myserver
    HostName 192.168.5.100
    User root
    IdentityFile ~/.ssh/id_ed25519

配置后可直接使用：

ssh myserver

六、故障排查指南

6.1 常见错误场景

Permission denied (publickey)
- 检查私钥权限是否为600
- 确认公钥已正确添加到服务端
- 验证服务端SSH配置是否允许公钥认证
Connection refused
- 检查服务端SSH服务是否运行
- 确认防火墙规则是否放行
- 验证IP地址和端口是否正确
Bad permissions on ~/.ssh/config
- 确保客户端config文件权限为600

6.2 日志分析

服务端日志位置：

journalctl -u sshd --no-pager -n 50

或查看系统日志：

tail -n 50 /var/log/secure

七、进阶安全实践

7.1 双因素认证

结合Google Authenticator实现：

安装必要组件：

yum install google-authenticator pam-devel

修改PAM配置：

auth required pam_google_authenticator.so

用户执行：
```
google-authenticator
```

7.2 密钥轮换策略

建议每90天更换密钥对，执行：

# 生成新密钥
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_new
# 更新服务端
ssh-copy-id -i ~/.ssh/id_ed25519_new.pub root@server
# 测试新密钥
ssh -i ~/.ssh/id_ed25519_new root@server
# 删除旧密钥（确认无误后）
rm ~/.ssh/id_ed25519*

7.3 审计与监控

配置日志轮转：

# /etc/logrotate.d/sshd
/var/log/secure {
 weekly
 missingok
 rotate 4
 compress
 delaycompress
 notifempty
 create 0600 root utmp
}

设置告警规则：

# 监控异常登录
grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | head -5

通过完整的密钥认证体系构建，系统管理员可显著提升服务器安全等级，同时实现运维自动化。建议定期审查SSH配置，结合安全组策略和入侵检测系统构建多层次防护体系。对于大规模服务器集群，可考虑使用配置管理工具（如Ansible）批量部署密钥认证方案。

RockyLinux系统SSH密钥认证配置全指南