一、技术背景与适用场景

SSH免密登录是自动化运维的核心技术之一，通过公钥认证机制替代传统密码验证，可显著提升集群管理效率。典型应用场景包括：

多物理机集群的自动化部署
容器编排环境中的跨节点通信
CI/CD流水线的自动化测试
分布式系统的日志收集与监控

相较于密码认证，密钥认证具有更高的安全性（避免密码泄露风险）和便利性（无需记忆复杂密码）。本文将详细介绍物理机与容器环境的完整配置流程，特别针对容器环境的特殊处理进行说明。

二、环境准备与前置检查

2.1 网络连通性验证

确保所有节点间满足以下条件：

物理机A(192.168.0.1)与物理机B(192.168.0.2)可互相ping通
容器container_a与container_b的网络策略允许SSH通信（22端口）
防火墙规则放行22端口（临时测试可关闭防火墙）

2.2 软件包安装

不同Linux发行版的安装命令如下：

CentOS/RHEL系统

# 更新软件包索引
sudo yum update -y
# 安装OpenSSH组件
sudo yum install -y openssh-clients openssh-server ssh-copy-id
# 验证安装
ssh -V

Ubuntu/Debian系统

# 更新软件包列表
sudo apt update
# 安装必要组件
sudo apt install -y openssh-client openssh-server ssh-copy-id
# 检查服务状态
systemctl status ssh

2.3 服务状态确认

# CentOS系统
sudo systemctl is-active sshd && echo "SSH服务运行中" || echo "服务未启动"
# Ubuntu系统
sudo systemctl is-active ssh && echo "SSH服务运行中" || echo "服务未启动"
# 设置开机自启（所有系统通用）
sudo systemctl enable sshd  # CentOS
sudo systemctl enable ssh   # Ubuntu

三、密钥对生成与管理

3.1 密钥生成标准

推荐使用RSA算法生成2048位密钥，执行以下命令：

ssh-keygen -t rsa -b 2048 -f ~/.ssh/id_rsa -N ""

参数说明：

-t rsa：指定加密算法
-b 2048：密钥长度（平衡安全性与性能）
-f ~/.ssh/id_rsa：私钥保存路径
-N ""：空密码（实现免密登录关键）

3.2 密钥文件结构

生成后文件结构如下：

~/.ssh/
├── id_rsa       # 私钥（需严格保密）
├── id_rsa.pub   # 公钥（可分发）
└── authorized_keys # 存储授权公钥（需正确权限）

四、公钥分发方案对比

4.1 自动分发工具（推荐）

ssh-copy-id是官方提供的专用工具，自动处理权限设置：

# 从A到B分发（用户tinero）
ssh-copy-id -i ~/.ssh/id_rsa.pub tinero@192.168.0.2
# 交互过程说明
# 1. 首次连接会提示验证主机指纹
# 2. 输入目标用户密码完成授权
# 3. 自动追加公钥到authorized_keys

4.2 管道分发方案

适用于无ssh-copy-id的环境：

# A机器执行（输出重定向到B的授权文件）
cat ~/.ssh/id_rsa.pub | ssh tinero@192.168.0.2 \
"mkdir -p ~/.ssh && chmod 700 ~/.ssh && \
cat >> ~/.ssh/authorized_keys && \
chmod 600 ~/.ssh/authorized_keys"

4.3 手动复制方案

在源机器执行：
```
cat ~/.ssh/id_rsa.pub
```
复制输出内容

在目标机器执行：

vim ~/.ssh/authorized_keys  # 粘贴内容并保存
chmod 600 ~/.ssh/authorized_keys

五、容器环境特殊处理

5.1 容器SSH服务配置

基础镜像需包含OpenSSH服务

启动容器时映射SSH目录：

docker run -d --name container_a \
-v /home/tinero/.ssh:/root/.ssh \
-p 2222:22 \
your_image_name

5.2 跨容器通信验证

# 从物理机A测试连接container_b
ssh -p 2223 tinero@192.168.0.2
# 预期输出（首次连接）
The authenticity of host '[192.168.0.2]:2223 (...)' can't be established.
ECDSA key fingerprint is SHA256:xxxx...
Are you sure you want to continue connecting (yes/no/[fingerprint])?

六、权限安全加固

6.1 文件权限设置

# 所有节点执行
chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_rsa
chmod 644 ~/.ssh/id_rsa.pub
chmod 600 ~/.ssh/authorized_keys

6.2 配置文件优化

编辑/etc/ssh/sshd_config：

# 禁用密码认证
PasswordAuthentication no
# 禁用root登录
PermitRootLogin no
# 启用公钥认证
PubkeyAuthentication yes
# 限制用户列表（可选）
AllowUsers tinero

重启服务使配置生效：

sudo systemctl restart sshd  # CentOS
sudo systemctl restart ssh   # Ubuntu

七、故障排查指南

7.1 常见问题处理

连接超时：
- 检查网络连通性
- 验证容器端口映射
- 确认防火墙规则
权限拒绝：
- 检查authorized_keys文件权限
- 确认公钥内容完整
- 查看/var/log/auth.log日志
主机密钥验证失败：
- 清理已知主机记录：rm ~/.ssh/known_hosts
- 或使用-o StrictHostKeyChecking=no跳过验证（不推荐生产环境）

7.2 调试技巧

启用详细日志模式：

ssh -vvv tinero@192.168.0.2

输出中的debug1: Authentications that can continue段落可帮助定位认证失败原因。

八、最佳实践建议

密钥轮换策略：每6个月更换密钥对
多因子认证：结合SSH证书实现更高级别安全
审计日志：配置LogLevel VERBOSE记录详细连接信息
自动化工具：使用Ansible等工具批量管理密钥分发

通过以上步骤，您已成功构建起安全的SSH免密登录体系。该方案不仅适用于物理机环境，经过适当调整后也可应用于混合云架构中的虚拟机与容器通信场景。建议在实际生产环境部署前，先在测试环境验证所有配置项。

SSH免密登录全攻略：物理机与容器环境配置实践