虚拟机下载ftpd后配置免密登录，核心思路是生成SSH密钥对并把公钥部署到目标主机的authorized_keys文件中，整个过程无需输入密码即可完成身份验证。
很多人以为免密登录是ftpd自带的功能，其实它依赖的是系统层面的SSH认证机制，ftpd作为一个FTP服务端，本身并不直接处理免密逻辑，关键在于你用什么客户端去连接它，比如用lftp、curl或者scp命令时，它们底层走的是SSH通道，这时候配置好SSH免密,就等于给ftpd接上了自动通行证。
虚拟机 ftp 免密登录 怎么设置？先弄懂认证链路
配置之前，先得理清一条链路：客户端生成密钥对 → 公钥传到服务器的authorized_keys文件 → 服务器校验私钥签名 → 验证通过直接放行，这中间任何一个环节卡住,免密就失效。
为什么你之前配的免密总是失效
多数情况下，问题不在ftpd本身，而是SSH的权限配置太严格。服务器端的~/.ssh目录权限必须是700，authorized_keys文件权限必须是600，稍微宽松一点，SSH服务就会出于安全考虑直接忽略这个文件，SELinux如果开着强制模式，也会拦截公钥写入后的读取操作,让配置看起来成功实则无效。
还有一个隐蔽的坑：如果你用的是root账号登录，很多系统默认禁止root远程登录，这时候就算密钥对配得再完美，服务器也会要求你输入密码，先检查/etc/ssh/sshd_config里的PermitRootLogin选项，确保是yes或prohibit-password。
免密登录与普通密码登录的本质区别
密码登录走的是交互式认证，每次连接都要输入密码，适合偶尔操作，免密登录走的是非对称加密认证，私钥留在本地，公钥放到服务器，适合脚本自动化、定时任务、批量传输文件。
对虚拟机里的ftpd来说，免密登录带来的直接好处是可以放心写自动化脚本，比如定时从远程服务器拉取备份文件，或者把本地构建产物推送到测试环境，这些操作不需要人工干预,靠密钥对就能完成身份确认。
linux ftpd 免密登录 配置的三步走
配置过程并不复杂，按照下面的步骤走一遍，基本能解决大多数需求，这里以最常见的CentOS和Ubuntu系统为例,操作逻辑完全一致。
第一步：生成密钥对并分发公钥
在客户端机器上执行：
ssh-keygen -t rsa -b 4096
一路回车即可，默认会在~/.ssh/目录下生成id_rsa（私钥）和id_rsa.pub（公钥）。私钥文件务必留在本地不要外传，公钥可以随意分发。
追加到服务器的authorized_keys里：
cat ~/.ssh/id_rsa.pub | ssh user@服务器IP "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"
这条命令会要求输入一次密码,之后就不需要了。
第二步：验证免密是否生效
直接尝试连接：
ssh user@服务器IP
如果直接进入命令行而没要密码，说明配置成功，接着测试ftpd连接,比如用lftp：
lftp user@服务器IP -e "ls; bye"
注意这里的user是系统用户，不是FTP虚拟用户，lftp走的是SFTP协议，默认端口22,所以不需要在ftpd里额外配置。
第三步：处理多台虚拟机之间的互信
如果你有多台虚拟机需要互相免密，每台机器都要生成自己的密钥对，然后把各自的公钥收集起来，分发到所有目标机器的authorized_keys里。建议用ssh-copy-id工具简化操作：
ssh-copy-id -i ~/.ssh/id_rsa.pub user@服务器IP
它会自动处理权限和目录创建,比手动敲命令省心不少。
虚拟机之间 ftp 免密传输的常见配置场景
实际使用中，不同场景对免密配置的要求略有差异，下面按需求拆开讲,你可以直接对号入座。
单台虚拟机访问远程ftpd
这是最常见的用法，本地虚拟机作为客户端，远程服务器跑着ftpd，按照上面的三步走配置完，就可以用scp或lftp直接传输文件，无需输入密码,适合个人开发环境或小团队协作。
多台虚拟机互相传输文件
比如有三台虚拟机A、B、C，互相之间要传文件，这时候每台机器都要生成密钥对，并且把各自的公钥放到其他两台机器的authorized_keys里，配置量会翻倍,但逻辑完全一样。
表：多机互信配置清单
| 操作 | A机器 | B机器 | C机器 |
|---|---|---|---|
| 生成密钥对 | 执行ssh-keygen | 执行ssh-keygen | 执行ssh-keygen |
| A的公钥 | 保留本地 | 追加到authorized_keys | 追加到authorized_keys |
| B的公钥 | 追加到authorized_keys | 保留本地 | 追加到authorized_keys |
| C的公钥 | 追加到authorized_keys | 追加到authorized_keys | 保留本地 |
脚本自动化批量传输
如果你写了个shell脚本，每天凌晨从虚拟机A拉取数据到虚拟机B，免密配置就是脚本的命脉,脚本里可以这样写：
#!/bin/bash lftp user@192.168.1.100 -e "get /backup/data.tar.gz; bye"
配合crontab定时任务，就能实现完全无人值守的文件同步，业内专家指出，这种方式比FTP主动模式更安全，因为SFTP全程加密,数据不容易被截获。
ftpd免密登录配置失败的排查清单
配置完不生效是常态，别急着怀疑人品，按下面的清单逐项排查,基本能定位问题。
权限问题排查
- 检查~/.ssh目录权限：
ls -ld ~/.ssh，必须是700 - 检查authorized_keys权限：
ls -l ~/.ssh/authorized_keys
- 检查用户家目录权限：
ls -ld /home/用户名，不能是777
SSH服务配置排查
打开/etc/ssh/sshd_config,确认以下配置项：
- PubkeyAuthentication yes
- RSAAuthentication yes
- AuthorizedKeysFile .ssh/authorized_keys
修改后记得重启服务：
systemctl restart sshd
SELinux与防火墙排查
CentOS系统上SELinux默认开启，可能阻断免密认证,临时关闭测试：
setenforce 0
如果关闭后免密生效，说明是SELinux的问题,可以执行：
restorecon -Rv ~/.ssh
防火墙方面,确认22端口已放行：
firewall-cmd --permanent --add-service=ssh && firewall-cmd --reload
关于虚拟机ftpd免密登录的常见问题
为什么我用FileZilla连接时还是要输密码
FileZilla默认使用FTP协议而非SFTP，除非你明确选择SFTP连接方式，免密配置只对SSH通道生效，普通FTP协议仍然要求密码，解决办法是在FileZilla的站点管理器里，把协议改成SFTP – SSH File Transfer Protocol,然后导入你的私钥文件。
免密配置好后，其他用户能否直接登录
不能，免密认证是用户级的，A用户的密钥对只能让A用户免密登录，B用户要免密必须自己生成密钥对并分发公钥，这种隔离机制是SSH安全模型的核心,行业共识认为这种设计有效防止了单点突破后的横向扩散。
私钥泄露了怎么补救
立即删除服务器上对应的公钥记录，即从authorized_keys里移除那一行，然后重新生成新的密钥对并分发，同时检查服务器日志，确认是否有异常登录记录，日志位置通常在/var/log/secure或/var/log/auth.log，备份私钥时建议用加密压缩包存储,不要明文放在网盘里。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/617478.html
