Linux SSH免密登录：安全配置最佳实践

SSH免密登录，无疑是提高Linux服务器管理效率的一大利器。想想看，每天都要输入密码才能登录服务器执行任务，时间长了确实挺烦躁。但便利的背后，安全问题也必须引起足够的重视。配置不当，就可能给服务器带来安全隐患。本文将分享一些我在实际工作中总结的SSH免密登录安全配置最佳实践，希望能帮助大家在享受便利的同时，保障服务器的安全。

生成密钥对：选择合适的算法和长度

生成密钥对是实现免密登录的第一步。我们通常使用ssh-keygen命令。不过，需要注意的是，算法和密钥长度的选择至关重要。目前，RSA和Ed25519是比较常用的算法。我个人更推荐使用Ed25519，它在安全性和性能方面都表现出色。如果必须使用RSA，请务必选择足够长的密钥长度，至少4096位，以抵御潜在的暴力破解。

生成Ed25519密钥对的命令如下：

ssh-keygen -t ed25519

生成RSA密钥对（4096位）的命令如下：

ssh-keygen -t rsa -b 4096

在生成密钥对的过程中，可以设置一个密码短语（passphrase）。强烈建议设置密码短语。即使私钥泄露，攻击者也需要知道密码短语才能使用私钥登录服务器。当然，设置了密码短语后，每次使用私钥仍然需要输入密码短语，这就失去了免密登录的意义。我们可以结合ssh-agent来解决这个问题，后面会详细介绍。

上传公钥：正确配置authorized_keys

生成密钥对后，需要将公钥上传到服务器的~/.ssh/authorized_keys文件中。这个文件存储了允许免密登录的公钥。需要注意以下几点：

• 确保~/.ssh目录的权限是700，即只有用户自己才能读写执行。
• 确保~/.ssh/authorized_keys文件的权限是600，即只有用户自己才能读写。
• 使用ssh-copy-id命令可以方便地将公钥上传到服务器。

ssh-copy-id命令的使用方法如下：

ssh-copy-id user@server_ip

如果服务器的~/.ssh目录不存在，或者没有权限，ssh-copy-id命令可能会失败。这时，需要手动创建目录并设置权限。

另外，对于vDisk云桌面解决方案，由于它是基于本地计算资源的云桌面系统，与传统的VDI架构不同，用户的数据实际上是存储在本地的。这意味着，密钥的存储和管理也需要在本地进行。我们可以将用户的公钥集中管理，然后通过脚本批量部署到用户的云桌面环境中，实现统一的免密登录配置。这种方式既保证了安全性，又方便了管理。

强化安全：限制authorized_keys的使用

仅仅上传公钥是不够的，为了进一步提高安全性，我们可以限制authorized_keys的使用。例如，可以限制特定公钥只能执行特定的命令，或者只能从特定的IP地址登录。

在authorized_keys文件中，每一行代表一个公钥。我们可以在公钥前面添加一些选项来限制其使用。常用的选项包括：

• command="command"：指定该公钥只能执行command命令。
• from="address_list"：指定该公钥只能从address_list中的IP地址登录。
• no-port-forwarding：禁止端口转发。
• no-X11-forwarding：禁止X11转发。

例如，限制一个公钥只能执行/usr/bin/rsync命令，并且只能从192.168.1.100和192.168.1.101这两个IP地址登录：

command="/usr/bin/rsync",from="192.168.1.100,192.168.1.101" ssh-rsa AAAAB3NzaC1yc2...

这些限制可以有效地降低风险。即使私钥泄露，攻击者也无法随意执行命令或从任意IP地址登录。

ssh_config配置：禁用密码登录

配置好免密登录后，为了彻底杜绝密码登录带来的安全隐患，建议在服务器的/etc/ssh/sshd_config文件中禁用密码登录。找到以下两行，并进行修改：


PasswordAuthentication no
ChallengeResponseAuthentication no


修改完成后，需要重启SSH服务：

sudo systemctl restart sshd

注意：在禁用密码登录之前，请务必确保免密登录已经配置成功，并且可以正常登录服务器。否则，你可能会被锁在服务器外面。

使用ssh-agent：优雅管理密钥

前面提到，设置密码短语可以提高私钥的安全性，但每次使用私钥都需要输入密码短语，这又失去了免密登录的意义。ssh-agent可以帮助我们解决这个问题。ssh-agent是一个密钥管理器，它可以将私钥加载到内存中，并在需要时自动提供私钥，而无需每次都输入密码短语。

使用ssh-agent的步骤如下：

• 启动ssh-agent：eval $(ssh-agent -s)
• 将私钥添加到ssh-agent：ssh-add ~/.ssh/id_rsa (如果设置了密码短语，会提示输入)

将私钥添加到ssh-agent后，在当前会话中，就可以免密码使用私钥进行SSH登录了。为了方便起见，可以将启动ssh-agent和添加私钥的命令添加到~/.bashrc或~/.zshrc文件中，这样每次登录都会自动启动ssh-agent并添加私钥。

定期轮换密钥：防患于未然

即使采取了上述安全措施，也无法保证密钥永远不会泄露。因此，定期轮换密钥是一个良好的安全习惯。建议至少每半年轮换一次密钥。轮换密钥的步骤包括：

• 生成新的密钥对。
• 将新的公钥上传到服务器的authorized_keys文件中。
• 删除旧的公钥。
• 删除旧的私钥（可选）。

轮换密钥的过程可能会比较繁琐，但为了服务器的安全，这是值得的。

总结：安全与便利的平衡

SSH免密登录确实能提高工作效率，但安全配置至关重要。选择合适的算法和长度、正确配置authorized_keys、限制公钥的使用、禁用密码登录、使用ssh-agent、定期轮换密钥，这些都是保障服务器安全