Ubuntu Server 下 SSH 全方位深度指南

# 更新软件包列表
sudo apt update

# 安装 OpenSSH 服务器端
sudo apt install openssh-server

# 安装 OpenSSH 客户端（通常默认已安装）
sudo apt install openssh-client

# 检查 sshd 服务状态
sudo systemctl status ssh

# 如果未运行，则启动它
sudo systemctl start ssh

# 启用开机自启
sudo systemctl enable ssh

# 监听端口，默认为 22。改为非标准端口可减少自动化攻击（安全通过隐匿不是真安全，需结合其他措施）
Port 22
# 也可以监听多个端口
# Port 22
# Port 2222

# 监听地址，默认为 0.0.0.0（所有接口）。可以绑定到特定 IP 以提高安全性。
ListenAddress 192.168.1.100
# ListenAddress ::

# 用于 SSH-2 协议的协议版本。建议仅使用更安全的 SSH-2。
Protocol 2

# 主机密钥文件路径。服务器使用这些私钥来证明自己的身份。
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

# 登录宽限时间。如果用户在此时间内未能成功登录，服务器将断开连接。
LoginGraceTime 60

# 是否允许 root 用户直接登录。强烈建议设置为 'no'，先通过普通用户登录再 su/sudo。
PermitRootLogin no
# 或者更严格的，仅允许使用公钥认证登录 root
# PermitRootLogin prohibit-password

# 是否允许使用密码认证。建议设置为 'no' 并强制使用公钥认证，极大增强安全性。
PasswordAuthentication no

# 是否允许空密码。必须为 'no'。
PermitEmptyPasswords no

# 最大认证尝试次数。达到后断开连接。有助于抵御暴力破解。
MaxAuthTries 3

# 最大同时未认证连接数。有助于减缓暴力破解速度。
MaxStartups 10:30:60

# 是否允许公钥认证。这是密钥登录的关键。
PubkeyAuthentication yes

# 允许的公钥文件名称，默认为 .ssh/authorized_keys
AuthorizedKeysFile .ssh/authorized_keys

# 是否在用户家目录中使用 ~/.ssh/authorized_keys 文件。
# 如果设置为 no，则必须通过 AuthorizedKeysFile 指定绝对路径。
StrictModes yes # 确保 ~/.ssh 和 authorized_keys 的权限正确

# 是否允许基于主机的认证（一般不安全，建议禁用）。
HostbasedAuthentication no

# 是否允许使用旧的 .rhosts 认证（极不安全，必须禁用）。
IgnoreRhosts yes
RhostsRSAAuthentication no

# 强制要求某些用户或组使用特定的认证方式
# Match User john
#   AuthenticationMethods publickey,password

# 每个网络连接允许打开的最大通道数（即端口转发、会话等）。
MaxSessions 10

# 每个认证用户允许的最大并发登录数。
MaxStartups 10

# 客户端活动检查。如果客户端在此时间内没有发送任何数据，服务器将发送一条消息请求响应。
ClientAliveInterval 300   # 300秒（5分钟）
ClientAliveCountMax 3     # 发送最多3次此类消息。如果都无响应，则断开连接。
# 总超时时间 = ClientAliveInterval * ClientAliveCountMax = 15分钟

# 是否允许 TCP 端口转发和 X11 转发。按需启用。
AllowTcpForwarding yes
X11Forwarding yes
# 限制 X11 转发的有效时间
X11UseLocalhost yes

# 是否允许 SFTP 子系统。如果需要文件传输，则启用。
Subsystem sftp /usr/lib/openssh/sftp-server
# 较新版本也可能使用 internal-sftp，性能更好
# Subsystem sftp internal-sftp

# 限制可以使用的用户、组、主机
AllowUsers user1 user2@192.168.1.*
AllowGroups ssh-users
DenyUsers baduser
DenyGroups badgroup

# 匹配所有用户
Match Group sftp-users
    ChrootDirectory /var/sftp/%u  # %u 代表用户名
    ForceCommand internal-sftp    # 强制使用 SFTP，禁止 shell 访问
    PasswordAuthentication no     # 强制使用公钥
    PermitTunnel no
    AllowAgentForwarding no
    AllowTcpForwarding no
    X11Forwarding no

# 1. 生成默认的 RSA 密钥（当前默认通常是 3072 位）
ssh-keygen -t rsa -b 4096 -C "comment (e.g., email or hostname)" -f ~/.ssh/my_rsa_key

# 2. 生成更现代、更快速、更短的 Ed25519 密钥（首选）
ssh-keygen -t ed25519 -C "john@laptop" -f ~/.ssh/id_ed25519

# 3. 生成 ECDSA 密钥
ssh-keygen -t ecdsa -b 521 -C "backup key" -f ~/.ssh/id_ecdsa

# 选项说明：
# -t type: 密钥类型 (rsa, dsa, ecdsa, ed25519).
# -b bits: 密钥长度（RSA 建议至少 3072，ECDSA 256/384/521, Ed25519 固定长度）。
# -C comment: 附加在公钥末尾的注释，便于识别。
# -f filename: 指定密钥文件路径和名称。如果不指定，会提示输入。

# 生成过程中会提示输入密码（passphrase）。强烈建议设置一个强密码！
# 它用于加密私钥文件，即使私钥被盗，也无法直接使用。

# 在客户端，将公钥内容复制
cat ~/.ssh/id_ed25519.pub
# 然后登录服务器，编辑 ~/.ssh/authorized_keys，将上述输出粘贴进去。
# 确保服务器上 ~/.ssh 目录权限为 700，~/.ssh/authorized_keys 权限为 600。

ssh-copy-id -i ~/.ssh/id_ed25519.pub user@hostname

# 启动 ssh-agent 并设置环境变量（通常已在桌面环境中自动启动）
eval "$(ssh-agent -s)"

# 将私钥添加到代理中
ssh-add ~/.ssh/id_ed25519
# 此时会提示输入一次通行短语，之后在该终端会话中再使用此密钥就不再需要输入。

# 列出当前代理中已加载的密钥
ssh-add -l

# 删除特定密钥
ssh-add -d ~/.ssh/some_key

# 清空代理中的所有密钥
ssh-add -D

# 设置密钥在代理中的缓存时间（默认永久，直到代理结束）
ssh-add -t 1h ~/.ssh/id_ed25519 # 缓存1小时

# 在 ~/.bashrc 中
if [ -z "$SSH_AUTH_SOCK" ]; then
   # 启动 ssh-agent 并导出环境变量
   eval "$(ssh-agent -s)"
   # 可在此处自动添加常用密钥，但注意安全风险
   # ssh-add ~/.ssh/id_ed25519 2>/dev/null
fi

systemctl --user enable ssh-agent
systemctl --user start ssh-agent
# 然后配置 SSH_AUTH_SOCK 环境变量指向其 socket。

# ~/.ssh/config 示例

# 全局选项，适用于所有主机
Host *
    ForwardAgent no           # 谨慎使用！允许将本地代理转发到远程主机。
    ServerAliveInterval 60    # 每60秒发送一次保活包，防止连接超时
    ServerAliveCountMax 3     # 最多3次无响应则断开
    TCPKeepAlive yes
    Compression yes           # 对慢速连接启用压缩
    IdentityFile ~/.ssh/id_ed25519 # 默认使用的私钥
    IdentitiesOnly yes        # 只使用config文件中指定的密钥，不尝试所有默认密钥
    LogLevel VERBOSE          # 或 INFO, ERROR

# 特定主机或模式的定义
Host myserver
    HostName server.example.com # 真实主机名或IP
    User johndoe               # 登录用户名
    Port 2222                  # 非标准端口
    IdentityFile ~/.ssh/myserver_key # 为此主机指定特定密钥

Host github.com
    User git
    IdentityFile ~/.ssh/github_key
    # 对GitHub禁用主机密钥检查（不推荐，见下文更安全的方法）
    # StrictHostKeyChecking no

Host 192.168.1.*
    User admin
    ProxyJump bastion-host     # 通过跳板机连接

# 通过跳板机（Bastion/Jump Host）连接内部网络主机
Host internal-server
    HostName 10.0.1.5
    User appuser
    ProxyJump user@bastion.example.com:22
    # 等效于之前的 -J 选项： ssh -J bastion.example.com internal-server

# 使用 SSH 连接共享（连接复用）
Host *
    ControlMaster auto        # 允许共享连接
    ControlPath ~/.ssh/sockets/%r@%h:%p # 指定socket文件路径
    ControlPersist 1h         # 主连接在最后一个客户端断开后保持1小时

The authenticity of host 'hostname (IP)' can't be established.
ECDSA key fingerprint is SHA256:xxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

# 从本地复制到远程
scp -P 2222 /path/to/local/file.txt user@remotehost:/path/to/remote/directory/

# 从远程复制到本地
scp -i ~/.ssh/key.pem user@remotehost:/path/to/remote/file.txt /path/to/local/directory/

# 递归复制整个目录
scp -r /local/dir user@remotehost:/remote/dir

# 在两点之间复制文件（通过本地中转）
scp -3 user1@host1:/file1 user2@host2:/file2

# 保留文件属性（修改时间、权限等）
scp -p /local/file user@remotehost:/remote/

# 启动 SFTP 会话
sftp user@remotehost

# 常用 SFTP 命令
sftp> ls                    # 列出远程目录文件
sftp> lls                   # 列出本地目录文件
sftp> cd remote_dir         # 更改远程工作目录
sftp> lcd local_dir         # 更改本地工作目录
sftp> put local_file        # 上传文件
sftp> get remote_file       # 下载文件
sftp> mkdir new_dir         # 在远程创建目录
sftp> rm remote_file        # 删除远程文件
sftp> chmod 644 remote_file # 更改远程文件权限
sftp> exit                  # 退出

# 也可以非交互式使用
sftp -b batchfile.txt user@remotehost
# batchfile.txt 内容：
# put localfile
# get remotefile
# quit

# 基本用法，同步本地目录到远程
rsync -avz -e "ssh -i ~/.ssh/key.pem" /local/source/ user@remotehost:/remote/dest/
# -a: 归档模式（保留权限、符号链接等）
# -v: 详细输出
# -z: 压缩传输
# -e: 指定远程 shell 命令，这里我们指定使用 SSH 和特定密钥

# 从远程同步到本地
rsync -avz user@remotehost:/remote/source/ /local/dest/

# 删除目标中源端不存在的文件（小心使用！）
rsync -avz --delete /source/ user@remotehost:/dest/

# 部分同步，排除某些文件或目录
rsync -avz --exclude 'tmp/' --exclude '*.log' /source/ user@remotehost:/dest/

# 使用 systemctl 管理 ssh 服务
sudo systemctl start ssh    # 启动
sudo systemctl stop ssh     # 停止
sudo systemctl restart ssh  # 重启（中断现有连接）
sudo systemctl reload ssh   # 重新加载配置（不中断现有连接！推荐）
sudo systemctl status ssh   # 查看状态
sudo systemctl enable ssh   # 启用开机自启
sudo systemctl disable ssh  # 禁用开机自启
sudo systemctl is-enabled ssh # 检查是否启用

# 检查 sshd 是否正在监听
sudo ss -tlnp | grep sshd
# 或
sudo netstat -tlnp | grep sshd

# 查看最近的 SSH 登录成功记录
sudo grep "Accepted" /var/log/auth.log
# 输出示例：Jun 10 14:23:45 server sshd[12345]: Accepted publickey for user from 192.168.1.50 port 54322 ssh2: ED25519 SHA256:xxxxxx

# 查看最近的 SSH 登录失败记录（暴力破解尝试）
sudo grep "Failed password" /var/log/auth.log
sudo grep "Invalid user" /var/log/auth.log

# 实时监控认证日志
sudo tail -f /var/log/auth.log | grep --line-buffered sshd

# 使用 systemd 日志工具查看
sudo journalctl -u ssh -f  # -f 表示跟随（实时输出）
sudo journalctl -u ssh --since="2023-06-10" --until="2023-06-11"
sudo journalctl -u ssh -n 100 --no-pager # 查看最后100行

# 分析失败尝试的来源 IP
sudo grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr
# 分析无效用户名尝试
sudo grep "Invalid user" /var/log/auth.log | awk '{print $8}' | sort | uniq -c | sort -nr

ssh -v user@hostname        # 显示详细信息
ssh -vv user@hostname       # 更详细
ssh -vvv user@hostname      # 最详细的调试输出