服务器使用密钥进行认证与登录,其核心在于利用非对称加密技术替代传统的密码验证，从而构建一条比密码更安全、更便捷的访问通道。实现这一目标的关键路径是：生成密钥对、上传公钥至服务器、配置SSH服务、使用私钥进行登录。 这一过程不仅彻底杜绝了暴力破解密码的风险，还极大提升了运维效率，是现代服务器管理的标准操作规范。
理解密钥认证的核心逻辑
要掌握服务器怎么使用密钥,首先必须理解其背后的运作机制，密钥认证基于非对称加密原理，包含两个核心部分：公钥和私钥。
- 公钥：相当于一把锁，放置在服务器端，用于加密数据或验证签名，可以公开给任何人。
- 私钥：相当于唯一的钥匙，保存在客户端本地，必须严格保密，用于解密数据或生成签名。
当用户尝试登录服务器时，客户端会发送带有私钥签名的请求，服务器使用存储的公钥进行验证，只有私钥与公钥完美匹配，才能成功建立连接。 这种机制确保了即使数据包被截获，攻击者没有私钥也无法伪造身份，安全性远超静态密码。
生成高强度的SSH密钥对
一切操作始于客户端密钥对的生成,在Linux或MacOS终端，以及Windows的PowerShell中，均可以使用ssh-keygen工具。
- 选择加密算法：推荐使用ED25519算法，它比传统的RSA更安全、更快速，且密钥长度更短。
- 命令示例：
ssh-keygen -t ed25519 -C "your_email@example.com" -C参数用于添加注释，便于识别密钥用途。
- 命令示例：
- 设置保存路径：默认路径通常为
~/.ssh/id_ed25519，建议保持默认，除非需要管理多组密钥。 - 设置密钥密码：这是至关重要的一步。为私钥设置一个复杂的密码，相当于给钥匙加上了一层保险。 即使私钥文件被盗，攻击者没有密码也无法使用。
生成成功后,会在.ssh目录下产生两个文件：id_ed25519（私钥）和id_ed25519.pub（公钥）。私钥权限应设置为仅所有者可读写（chmod 600），防止被系统其他用户窃取。
将公钥部署至服务器
将生成的“锁”安装到服务器上，是实现密钥登录的关键环节，主要有以下几种部署方式：
- 使用ssh-copy-id工具（推荐）：
- 这是最简便的方法,命令格式：
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server_ip。 - 系统会自动将公钥内容追加到服务器对应用户家目录下的
~/.ssh/authorized_keys文件中，并自动设置正确的文件权限。
- 这是最简便的方法,命令格式：
- 手动复制粘贴：
- 如果没有
ssh-copy-id工具，需手动登录服务器。 - 编辑
~/.ssh/authorized_keys文件，将客户端公钥文件（.pub完整粘贴进去。 - 确保
authorized_keys文件权限为600，.ssh目录权限为700，否则SSH服务可能会因权限过于宽松而拒绝认证。
- 如果没有
配置SSH服务端以支持密钥登录
公钥部署完成后,需要检查服务器的SSH配置文件（通常位于/etc/ssh/sshd_config），确保开启了密钥认证功能。
- 启用公钥认证：找到并修改配置项
PubkeyAuthentication yes。 - 指定公钥文件路径：确认
AuthorizedKeysFile .ssh/authorized_keys路径正确。 - 禁用密码登录（关键安全加固）：
- 在确认密钥登录测试成功后,强烈建议将
PasswordAuthentication设置为no。 - 这一操作将彻底切断暴力破解密码的可能性,是服务器安全加固的“金标准”。
- 在确认密钥登录测试成功后,强烈建议将
- 重启SSH服务：执行
systemctl restart sshd或service sshd restart使配置生效。
客户端登录与密钥管理实践
配置完成后,即可体验密钥登录的高效。
- 直接登录：在终端输入
ssh user@server_ip，如果私钥路径默认且未设置密码，将直接登录；若设置了密钥密码，需输入一次密码即可进入系统。 - 使用SSH代理管理密钥：
- 如果设置了复杂的密钥密码,每次输入都很繁琐。
- 使用
ssh-add命令将私钥添加到SSH代理中。eval "$(ssh-agent -s)"启动代理，随后ssh-add ~/.ssh/id_ed25519。 - 这样在整个会话期间，只需输入一次密钥密码，后续登录所有服务器均自动认证。
- 配置SSH Config文件：
- 编辑客户端
~/.ssh/config文件，可以为不同服务器配置别名、指定私钥路径。 - 配置示例：
Host myserver HostName 192.168.1.100 User root IdentityFile ~/.ssh/id_ed25519 - 配置后,只需输入
ssh myserver即可快速登录，极大提升了管理多台服务器的体验。
- 编辑客户端
密钥使用的安全最佳实践
在探讨服务器怎么使用密钥时,安全维护是绕不开的话题。
- 私钥绝不外传：私钥等同于服务器最高权限，严禁通过邮件、聊天工具发送。
- 定期轮换密钥：建议每半年或一年更换一次密钥对，防止因长期使用导致私钥意外泄露。
- 禁用Root直接登录：配合密钥使用，建议在
sshd_config中设置PermitRootLogin prohibit-password，允许Root仅通过密钥登录，禁止密码登录。 - 多因素认证（MFA）：对于极高安全要求的服务器，可在密钥认证基础上叠加Google Authenticator等动态口令验证，构建双重防线。
相关问答
如果私钥文件丢失了，还能登录服务器吗？
如果私钥丢失,且服务器禁用了密码登录，您将无法通过常规SSH方式登录。唯一的解决方案是通过服务器提供商的控制台（如VNC、控制面板的远程连接功能）直接进入服务器终端。 登录后，您可以手动编辑~/.ssh/authorized_keys文件，添加新生成的公钥，或者临时开启密码登录以生成新密钥。备份私钥和保留一个控制台访问通道至关重要。
密钥认证比密码认证安全在哪里？
密钥认证的安全性主要体现在两个方面。密钥长度通常为2048位或更高，其复杂程度远超人类可记忆的密码，使得暴力破解在算力上不可行。 私钥不通过网络传输，网络嗅探攻击无法获取您的凭证，而密码在传输过程中（虽然SSH加密了）仍存在被键盘记录器或中间人攻击截获的理论风险，密钥认证是目前最安全的身份验证方式之一。
如果您在配置过程中遇到任何问题,或有独特的密钥管理技巧，欢迎在评论区留言交流。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%80%8e%e4%b9%88%e4%bd%bf%e7%94%a8%e5%af%86%e9%92%a5%ef%bc%9f%e6%9c%8d%e5%8a%a1%e5%99%a8%e5%af%86%e9%92%a5%e7%99%bb%e5%bd%95%e9%85%8d%e7%bd%ae%e6%95%99%e7%a8%8b/
