SSH 公钥认证机制与 Linux 登录 SSH 配置#

1.1 公钥/私钥体系#

• 公钥（Public Key）

  • 存放于目标端（通常为 ~/.ssh/authorized_keys，具体取决于服务端 AuthorizedKeysFile 配置）
  • 用于验证客户端使用私钥签名的数据有效性

• 私钥（Private Key）

  • 保存在本地（如 ~/.ssh/id_ed25519、id_rsa 或自定义路径）
  • 用于对服务端发起的挑战（challenge）进行签名，以证明身份

SSH 客户端使用私钥生成签名，服务端用对应的公钥验证；验证通过即建立信任连接

1.2 多密钥尝试流程#

SSH 并非仅使用单一私钥，而是按以下顺序尝试多个来源：

1. 启动 SSH 客户端并读取配置文件

2. 收集可用私钥：

   • 已通过 ssh-add 加载至 ssh-agent 的密钥（优先级最高）
   • 命令行 -i 指定的私钥
   • ~/.ssh/config 中配置的 IdentityFile
   • 默认路径下的标准名称密钥（如 id_ed25519, id_rsa）

3. 依次使用这些私钥对服务端 challenge 进行签名

4. 服务端用对应公钥验证签名

5. 任一匹配成功即完成认证；否则返回 Permission denied (publickey)

NOTE

若自定义密钥未通过 ssh-add 加载到 ssh-agent ，即使 IdentityFile 已配置，也可能因 ssh-agent 为空而认证失败

2.1 核心功能#

• 生成新的密钥对（.pub 公钥 + 私钥）
• 为私钥设置或修改密码（passphrase）
• 从私钥导出公钥
• 转换密钥格式（OpenSSH ↔ PEM ↔ RFC4716）
• 生成主机密钥（Host Key）

2.2 密钥算法建议#

2.3 基本语法与常用选项#

1
ssh-keygen [选项]

2.4 使用示例#

以下示例展示 ssh-keygen 在常见使用场景下的典型用法

1
ssh-keygen -t ed25519 -C "your_email@example.com"

1
ssh-keygen -t ed25519 -C "your_email@example.com" -f ~/.ssh/id_ed25519

1
ssh-keygen -t rsa -b 4096 -C "your_email@example.com" -f ~/.ssh/id_rsa -N ""

1
ssh-keygen -p -f ~/.ssh/id_rsa

1
ssh-keygen -y -f ~/.ssh/id_rsa > ~/.ssh/id_rsa.pub

1
ssh-keygen -e -f ~/.ssh/id_rsa.pub -m PEM

2.5 文件权限设置#

OpenSSH 在使用基于公钥的身份认证时，会对相关目录和文件的权限进行严格检查，以防止私钥或授权文件被其他用户篡改或读取 除权限外，OpenSSH 也会校验文件/目录属主是否为目标用户或 root（取决于场景），属主异常同样可能导致认证失败

1
Permissions 0644 for 'id_rsa' are too open
2
Authentication refused: bad ownership or modes

3.1 ssh-agent 的作用#

• 在内存中缓存私钥，避免重复输入 passphrase （如果设置了私钥密码）
• 提供统一接口供 SSH 客户端调用签名操作
• 增强安全性：私钥不直接暴露给客户端进程
• 支持多密钥集中管理

3.2 工作机制#

• 启动后生成两个关键环境变量：

  • SSH_AUTH_SOCK：Unix 域套接字路径，用于通信
  • SSH_AGENT_PID：agent 进程 ID

• SSH 客户端通过这些变量与 agent 交互，请求签名

3.3 为何需要 ssh-add#

• 将私钥显式加载到 agent 的内存中
• SSH 连接时优先从 agent 获取可用密钥
• 在使用非默认路径或多个密钥时，未加载则可能无法认证

建议配合 ~/.ssh/config 使用 IdentitiesOnly yes，确保仅使用指定密钥

3.4 使用示例#

1
# 启动 agent
2
eval "$(ssh-agent -s)"
3

4
# 添加私钥
5
ssh-add ~/.ssh/ssh-github
6

7
# 查看已加载密钥
8
ssh-add -l
9

10
# 清空所有密钥
11
ssh-add -D

1
Set-Service ssh-agent -StartupType Automatic
2
Start-Service ssh-agent
3
ssh-add $env:USERPROFILE\.ssh\ssh-github

1
Host github.com
2
    HostName ssh.github.com
3
    User git
4
    Port 443
5
    IdentityFile ~/.ssh/ssh-github
6
    IdentitiesOnly yes

4.1 在客户端生成密钥对#

1
# 推荐：Ed25519
2
ssh-keygen -t ed25519 -C "your_email@example.com"
3

4
# 或兼容旧系统：RSA 4096
5
ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

• 默认保存路径：~/.ssh/id_ed25519（私钥）和 id_ed25519.pub（公钥）
• 可选设置 passphrase（提升安全性）

4.2 确保服务端安装并启用了 SSH#

1
# Ubuntu / Debian
2
sudo apt update && sudo apt install -y openssh-server
3

4
# CentOS / Rocky / Alma (8+)
5
sudo dnf install -y openssh-server
6

7
# CentOS 7
8
sudo yum install -y openssh-server
9

10
# 启动并启用开机自启
11
sudo systemctl enable --now sshd
12
sudo systemctl status sshd

4.3 部署公钥至服务端#

1
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server_ip # user 为用户名，server_ip 为服务器 IP

4.4 配置 SSH 服务端参数#

编辑 /etc/ssh/sshd_config文件，并修改参数

1
PubkeyAuthentication yes
2
AuthorizedKeysFile .ssh/authorized_keys
3
PermitRootLogin prohibit-password   # 允许 root 使用密钥登录，禁止密码
4
PasswordAuthentication yes           # 暂时保留，便于调试

TIP

先保留密码登录，确认密钥认证成功后再禁用

重载配置（不中断现有连接）：

1
sudo systemctl reload sshd

4.5 验证连接#

1
ssh -i ~/.ssh/id_ed25519 user@server_ip

• 成功：直接进入 shell，无密码提示

• 失败：启用详细日志排查：

  1
  ssh -v -i ~/.ssh/id_ed25519 user@server_ip
  

4.6 安全加固（可选）#

编辑 /etc/ssh/sshd_config文件，并修改参数

1
PasswordAuthentication no            # 完全禁用密码登录
2
PermitRootLogin prohibit-password    # 仅允许 root 使用密钥
3
AllowUsers alice bob deploy          # 限制可登录用户
4
Port 2222                            # 更改默认端口（减少扫描攻击）

重载服务：

1
sudo systemctl reload sshd

修改端口后需指定端口登录：

1
ssh -p 2222 -i ~/.ssh/id_ed25519 user@server_ip