SSH 免密配置 - Xeu Blog

1. SSH 认证方式#

SSH 支持两种认证方式：

方式	说明	安全性
密码认证	输入用户名和密码登录	较低，易受暴力破解
密钥认证	使用公钥/私钥对进行认证	较高，推荐使用

密钥认证原理：

A 节点生成密钥对（公钥 + 私钥）
A 节点将公钥发送到 B 节点
A 节点发起连接时，B 节点用公钥加密随机数发回
A 节点用私钥解密后发回，B 节点验证通过即允许登录

2. 密钥对生成#

2.1 基本用法#

1
ssh-keygen -t rsa

执行后提示：

1
Generating public/private rsa key pair.
2
Enter file in which to save the key (/root/.ssh/id_rsa):       # 直接回车使用默认路径
3
Enter passphrase (empty for no passphrase):                     # 直接回车免密钥密码
4
Enter same passphrase again:                                    # 直接回车确认

生成的文件：

文件	说明
`~/.ssh/id_rsa`	私钥（严格保密，不可外传）
`~/.ssh/id_rsa.pub`	公钥（需分发到目标节点）

2.2 常用参数#

参数	说明
`-t rsa`	指定密钥类型为 RSA
`-t ed25519`	使用 Ed25519 算法（更短更安全）
`-b 4096`	指定密钥长度为 4096 位（默认 2048）
`-C "注释"`	添加注释，通常为邮箱或用途说明
`-f /path/file`	指定密钥文件保存路径

2.3 生成示例#

1
# 默认配置（推荐）
2
ssh-keygen -t rsa
3

4
# 指定密钥长度
5
ssh-keygen -t rsa -b 4096
6

7
# 使用 Ed25519 算法
8
ssh-keygen -t ed25519 -C "admin@server"
9

10
# 指定保存路径
11
ssh-keygen -t rsa -f /root/.ssh/mykey

3. 免密登录配置#

3.1 方式一：ssh-copy-id（推荐）#

A 节点（发起方）执行：

1
# 生成密钥对
2
ssh-keygen -t rsa
3

4
# 发送公钥到 B 节点（首次需输入 B 节点密码）
5
ssh-copy-id -i ~/.ssh/id_rsa.pub root@B节点IP

验证免密登录：

1
ssh root@B节点IP

3.2 方式二：手动复制公钥#

当 ssh-copy-id 不可用时（如某些精简系统），手动操作：

A 节点（发起方）：

1
# 生成密钥对
2
ssh-keygen -t rsa
3

4
# 查看公钥内容
5
cat ~/.ssh/id_rsa.pub

B 节点（接收方）：

1
# 创建 .ssh 目录（如果不存在）
2
mkdir -p ~/.ssh
3
chmod 700 ~/.ssh
4

5
# 将 A 的公钥追加到授权文件
6
echo "ssh-rsa AAAAB3... root@A节点" >> ~/.ssh/authorized_keys
7
chmod 600 ~/.ssh/authorized_keys

3.3 验证配置#

1
# 从 A 节点测试连接 B 节点（不应提示输入密码）
2
ssh root@B节点IP
3

4
# 执行远程命令测试
5
ssh root@B节点IP hostname

4. SSH 配置文件#

4.1 服务端配置 `/etc/ssh/sshd_config`#

关键参数：

1
# 允许 root 用户通过 SSH 登录
2
PermitRootLogin yes
3

4
# 启用公钥认证
5
PubkeyAuthentication yes
6

7
# 启用密码认证（免密配置后可设为 no 禁用密码登录）
8
PasswordAuthentication yes
9

10
# 指定授权密钥文件路径
11
AuthorizedKeysFile .ssh/authorized_keys
12

13
# SSH 端口（默认 22）
14
Port 22

修改后重启服务：

1
systemctl restart sshd

4.2 客户端配置 `~/.ssh/config`#

为常用连接配置别名，简化登录命令：

1
Host node1
2
    HostName 192.168.1.10
3
    User root
4
    Port 22
5
    IdentityFile ~/.ssh/id_rsa
6

7
Host node2
8
    HostName 192.168.1.11
9
    User root
10
    Port 22
11
    IdentityFile ~/.ssh/id_rsa
12

13
Host *
14
    ServerAliveInterval 60
15
    ServerAliveCountMax 3

配置后可直接使用别名登录：

1
ssh node1          # 等同于 ssh -i ~/.ssh/id_rsa root@192.168.1.10
2
scp file node1:/   # 等同于 scp -i ~/.ssh/id_rsa file root@192.168.1.10:/

5. 多节点批量配置#

5.1 循环分发公钥#

需要对多个节点配置免密时：

1
# 定义节点列表
2
NODES="192.168.1.11 192.168.1.12 192.168.1.13"
3

4
# 循环分发公钥
5
for node in $NODES; do
6
    ssh-copy-id -i ~/.ssh/id_rsa.pub root@$node
7
done

5.2 结合 expect 实现自动化#

当需要批量输入密码时：

1
#!/bin/bash
2
NODES="192.168.1.11 192.168.1.12 192.168.1.13"
3
PASSWORD="your_password"
4

5
for node in $NODES; do
6
    expect -c "
7
    spawn ssh-copy-id -i ~/.ssh/id_rsa.pub root@$node
8
    expect {
9
        \"password:\" { send \"$PASSWORD\r\"; exp_continue }
10
        \"yes/no\" { send \"yes\r\"; exp_continue }
11
        eof
12
    }
13
    "
14
done

5.3 使用 Ansible 批量配置#

1
# 使用 ping 模块验证免密连接
2
ansible all -m ping -o

6. 常见问题排查#

6.1 权限问题#

SSH 对目录和文件权限要求严格：

1
# 正确权限设置
2
chmod 700 ~/.ssh
3
chmod 600 ~/.ssh/authorized_keys
4
chmod 600 ~/.ssh/id_rsa
5
chmod 644 ~/.ssh/id_rsa.pub
6

7
# 用户主目录权限不能为 777
8
chmod 755 ~

6.2 SELinux 阻止#

1
# 临时关闭 SELinux
2
setenforce 0
3

4
# 永久关闭
5
sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config

6.3 防火墙阻止#

1
# 检查防火墙规则
2
iptables -L -n | grep 22
3

4
# 开放 SSH 端口
5
firewall-cmd --permanent --add-service=ssh
6
firewall-cmd --reload

6.4 调试连接#

1
# 详细模式查看连接过程
2
ssh -vvv root@目标IP
3

4
# 检查服务端日志
5
tail -f /var/log/secure

6.5 公钥未生效#

1
# 检查 authorized_keys 内容
2
cat ~/.ssh/authorized_keys
3

4
# 检查 sshd 配置
5
grep -E "PubkeyAuthentication|AuthorizedKeysFile" /etc/ssh/sshd_config
6

7
# 重启 sshd
8
systemctl restart sshd

7. 安全加固建议#

7.1 禁用密码登录#

配置免密登录后，建议禁用密码认证：

1
vi /etc/ssh/sshd_config

1
PasswordAuthentication no

1
systemctl restart sshd

7.2 禁用 root 远程登录#

1
PermitRootLogin no

7.3 修改默认端口#

1
Port 2222

1
# 防火墙放行新端口
2
firewall-cmd --permanent --add-port=2222/tcp
3
firewall-cmd --reload
4
systemctl restart sshd

7.4 限制登录用户#

1
AllowUsers user1 user2

7.5 使用 Fail2Ban 防暴力破解#

1
yum install -y fail2ban
2
systemctl enable fail2ban && systemctl start fail2ban