Ubuntu 系统开启 SSH 远程连接 – wiki基地

作者： /

Ubuntu 系统开启 SSH 远程连接：一份详尽的部署与安全加固指南

引言：为什么选择 SSH？

在现代计算机网络中，远程访问和管理服务器是日常运维不可或缺的一部分。无论是个人用户需要在家远程访问办公室的服务器，还是系统管理员需要维护全球各地的云主机，一个安全可靠的远程连接方式至关重要。在 Linux 系统，特别是广泛使用的 Ubuntu 系统中，Secure Shell (SSH) 是事实上的标准远程连接协议。

SSH 不仅仅是一个简单的远程终端工具，它是一个强大的加密网络协议，用于在不安全的网络上安全地执行网络服务。最常见的用途是远程登录到计算机系统，允许用户在远程机器上执行命令。与 telnet、rsh 或 rlogin 等早期不安全的协议不同，SSH 对所有传输的数据进行加密，有效防止了窃听、连接劫持和其他中间人攻击。

在 Ubuntu 系统上开启 SSH 服务，意味着你可以通过网络（局域网或互联网）安全地访问和控制你的 Ubuntu 机器，执行命令、传输文件（使用 SCP 或 SFTP）等。这为远程管理提供了极大的便利，无论是进行软件安装、系统配置、文件编辑，还是查看日志，都能像坐在物理机前一样高效完成。

本文将详细指导你如何在 Ubuntu 系统上安装、配置和安全加固 SSH 服务，确保你的远程连接既便捷又安全。我们将从最基础的安装命令开始，逐步深入到配置文件解析、安全最佳实践以及常见问题的排查。

第一部分：准备工作

在开始安装和配置 SSH 之前，请确保你具备以下条件：

  1. 一台运行 Ubuntu 操作系统的计算机或服务器： 本文以 Ubuntu Server 或 Desktop 版本为例。操作步骤在不同 Ubuntu 版本（如 20.04 LTS, 22.04 LTS 等）上基本一致，但某些细微之处可能因版本差异而略有不同。
  2. 网络连接： 你的 Ubuntu 机器需要能够访问互联网，以便下载和安装 SSH 软件包。同时，客户端机器（用于连接的另一台电脑）需要能够通过网络访问到这台 Ubuntu 机器。
  3. 具有管理员权限的用户账户： 你需要一个可以使用 sudo 命令的用户账户来安装软件包和修改系统配置。
  4. 客户端机器： 用于从远程连接到 Ubuntu 服务器的计算机。这可以是另一台 Linux/macOS 机器（自带 SSH 客户端）或 Windows 机器（可以使用 OpenSSH 客户端、PuTTY 或其他 SSH 客户端软件）。

第二部分：安装 OpenSSH Server

Ubuntu 系统通常默认没有安装 SSH 服务器端软件（openssh-server）。虽然某些云服务提供商提供的 Ubuntu 镜像可能预装了，但为了确保覆盖所有情况，我们将从安装开始。

SSH 服务主要由两个部分组成：
* OpenSSH Client (openssh-client)： 用于发起 SSH 连接，通常 Ubuntu Desktop 默认会安装。
* OpenSSH Server (openssh-server)： 用于接收 SSH 连接请求，并提供远程访问服务。这正是我们需要安装的。

安装过程非常简单，只需打开终端，执行以下命令：

步骤 1：更新软件包列表

在安装任何新软件之前，习惯性地更新系统的软件包列表是一个好习惯，可以确保你安装的是最新版本的软件。

bash
sudo apt update

输入你的用户密码（输入时屏幕上不会显示字符），然后按回车键。系统会从配置的软件源下载最新的软件包信息。

步骤 2：安装 OpenSSH Server

执行以下命令来安装 openssh-server 软件包：

bash
sudo apt install openssh-server

系统会提示你需要下载和安装哪些软件包，以及需要占用的磁盘空间。仔细阅读提示，确认无误后，输入 Y 或直接按回车键（通常 Y 是默认选项）来继续安装。

apt 包管理器会自动下载 openssh-server 及其依赖项，并进行安装。安装完成后，OpenSSH 服务通常会立即启动并设置为开机自启。

第三部分：验证 SSH 服务状态

安装完成后，我们需要验证 SSH 服务是否已经成功安装并正在运行。

步骤 1：检查 SSH 服务状态

使用 systemctl 命令来检查 ssh 服务的当前状态：

bash
systemctl status ssh

或者使用更简洁的命令查看是否 active (running)：

bash
sudo systemctl status ssh

如果服务正在运行，你应该会看到类似以下的输出（具体内容和颜色可能略有不同）：

● ssh.service - OpenBSD Secure Shell server
Loaded: loaded (/lib/systemd/system/ssh.service; enabled; vendor preset: enabled)
Active: active (running) since Mon 2023-10-27 10:00:00 UTC; 1 hour ago
Docs: man:sshd(8)
man:ssh(1)
Process: 1234 ExecStart=/usr/sbin/sshd -D (code=exited, status=0/SUCCESS)
Main PID: 1234 (sshd)
Tasks: 1 (limit: 4666)
Memory: 5.6M
CPU: 0.100s
CGroup: /system.slice/ssh.service
└─1234 /usr/sbin/sshd -D
...

关键信息是 Active: active (running)，这表明 SSH 服务已经成功启动。Loaded: loaded (...) enabled 表示服务已被配置为在系统启动时自动启动。

步骤 2：查找 Ubuntu 机器的 IP 地址

客户端需要知道 Ubuntu 服务器的 IP 地址才能连接。你可以使用 ip address show 或 ifconfig 命令来查找。

如果你倾向于使用 ip 命令（较新版本推荐）：

bash
ip address show

或者只显示 IPv4 地址：

bash
ip -4 address show

在输出中，找到你的网络接口（通常是 eth0 或 enpXsX 代表有线网卡，wlan0 或 wlpXsX 代表无线网卡），在其下的 inet 后面跟着的地址就是你的 IPv4 地址。例如：

2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 00:11:22:33:44:55 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.100/24 brd 192.168.1.255 scope global dynamic eth0
valid_lft 86285sec preferred_lft 86285sec
inet6 fe80::1122:33ff:fe44:5566/64 scope link
valid_lft forever preferred_lft forever

在这个例子中，局域网 IP 地址是 192.168.1.100。

如果你更熟悉 ifconfig（可能需要安装 net-tools 包：sudo apt install net-tools）：

bash
ifconfig

输出类似：

eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255
inet6 fe80::1122:33ff:fe44:5566 prefixlen 64 scopeid 0x20<link>
ether 00:11:22:33:44:55 txqueuelen 1000 (Ethernet)
RX packets 12345 bytes 6789012 (6.4 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 54321 bytes 9876543 (9.4 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

同样，inet 后面的地址就是你的 IP。

如果你想通过互联网从外部访问你的服务器（例如，云主机），你需要知道其公网 IP 地址。这通常由你的云服务提供商提供，或者你可以使用在线服务（如 whatismyip.com）在服务器上查询（如果服务器可以直接访问互联网的话）。对于家庭网络中的机器，如果想从外部访问，通常还需要在路由器上进行端口转发设置，将外部请求的端口映射到 Ubuntu 机器的内网 IP 和 SSH 端口（默认为 22）。请注意，将服务暴露在互联网上会增加安全风险，需要额外加固。

步骤 3：在本地测试连接（可选但推荐）

在尝试从远程连接之前，可以在 Ubuntu 机器本地测试 SSH 服务是否可达。

bash
ssh localhost

或者使用你的用户名连接：

bash
ssh your_username@localhost

首次连接时，系统会询问你是否信任这个主机，并提示将主机密钥添加到 known_hosts 文件。输入 yes 并按回车键确认。

The authenticity of host 'localhost (127.0.0.1)' can't be established.
ED25519 key fingerprint is SHA256:***************************.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added 'localhost' (ED25519) to the list of known hosts.

接着会提示你输入 your_username 的密码。输入密码后，如果成功，你将登录到你自己的机器，看到熟悉的命令行提示符。这证明 SSH 服务在本地运行正常。输入 exit 命令可以退出 SSH 会话。

第四部分：防火墙配置

Ubuntu 系统默认可能启用了 UFW (Uncomplicated Firewall) 防火墙。如果防火墙处于活动状态并阻止了端口 22 的连接，外部客户端将无法连接到 SSH 服务。

步骤 1：检查 UFW 状态

使用以下命令检查 UFW 防火墙的状态：

bash
sudo ufw status

如果 UFW 处于非活动状态 (Status: inactive)，则无需额外配置。

如果 UFW 处于活动状态 (Status: active)，你需要允许 SSH 连接。

步骤 2：允许 SSH 连接

UFW 已经预配置了 SSH 服务的规则，默认对应端口 22。你可以通过服务名称或端口号来允许连接。

通过服务名称允许 SSH (端口 22)：

bash
sudo ufw allow ssh

或者直接指定端口号 22：

bash
sudo ufw allow 22/tcp

如果你打算修改 SSH 默认端口（强烈推荐，稍后会讲），请在修改 SSH 配置文件并重启服务之后，根据新的端口号来更新 UFW 规则。例如，如果将 SSH 端口改为 2222：

bash
sudo ufw allow 2222/tcp

重要提示： 在修改 UFW 规则前，请确保你当前是通过其他方式（如物理访问、带外管理卡或已经配置好的其他远程连接方式）连接到服务器，或者确保你的 SSH 连接不会被立即中断。如果你是通过当前正在使用的 SSH 会话执行 ufw enable 或修改了端口规则而没有放行新端口，你可能会被锁在服务器外面。最佳实践是先允许新端口，然后修改 sshd_config，重启 SSH 服务，测试新端口连接，确认成功后再考虑删除旧端口规则（如果需要）。

再次检查 UFW 状态，确认规则已添加：

bash
sudo ufw status

你应该能看到类似 22/tcp ALLOW Anywhere 或 SSH ALLOW Anywhere 的规则。

第五部分：从客户端连接到 Ubuntu 服务器

现在 SSH 服务已经在 Ubuntu 服务器上运行，并且防火墙也已配置好，你可以从客户端机器进行连接了。

连接方式取决于你的客户端操作系统：

1. Linux 或 macOS 客户端：

打开终端，使用 ssh 命令。

基本格式：

bash
ssh username@server_ip_address

例如，如果你的 Ubuntu 用户名是 myuser，服务器 IP 是 192.168.1.100：

bash
ssh [email protected]

首次连接时，会提示你确认服务器的真实性，显示服务器的主机密钥指纹。仔细核对（如果你能通过其他途径获取到服务器的主机密钥指纹），确认是你的服务器无误后，输入 yes 并按回车键，将服务器的主机密钥添加到客户端的 ~/.ssh/known_hosts 文件中，以后再连接就不会再提示了。

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ECDSA key fingerprint is SHA256:...
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '192.168.1.100' (ECDSA) to the list of known hosts.

然后，会提示你输入 myuser 用户的密码。输入正确的密码后，即可成功登录到远程 Ubuntu 服务器的命令行界面。

如果你在服务器上修改了 SSH 端口（例如改为 2222），连接命令需要指定端口：

bash
ssh [email protected] -p 2222

2. Windows 客户端：

  • 使用内置 OpenSSH 客户端 (Windows 10 及更新版本)：
    打开命令提示符 (cmd) 或 PowerShell，命令与 Linux/macOS 类似：

    bash
    ssh username@server_ip_address

    同样，首次连接会提示确认主机密钥指纹，输入密码登录。指定端口使用 -p 选项。

  • 使用 PuTTY：
    PuTTY 是一个非常流行的免费 SSH 客户端软件。

    1. 从官方网站下载并安装 PuTTY。
    2. 打开 PuTTY。
    3. 在 “Host Name (or IP address)” 字段输入 Ubuntu 服务器的 IP 地址。
    4. 在 “Port” 字段输入 SSH 端口号（默认为 22，如果修改了则输入修改后的端口）。
    5. 确保 “Connection type” 选中 “SSH”。
    6. 点击 “Open” 按钮。
    7. 首次连接时，PuTTY 会显示一个安全警告，提示服务器的主机密钥未缓存。你可以选择 “Accept” 将其缓存，或 “Connect Once” 仅本次连接信任。
    8. 在终端窗口中，会提示你输入用户名 (login as:)。输入 Ubuntu 用户名后按回车。
    9. 然后提示输入密码 (password:)。输入密码后按回车，即可登录。

  • 使用其他客户端： FileZilla (支持 SFTP)、WinSCP (SFTP/SCP 客户端)、VS Code (配合 Remote – SSH 扩展) 等工具也支持 SSH 连接，通常需要在其连接配置中填写服务器IP、端口、用户名和密码。

第六部分：理解 SSH 配置文件 (sshd_config)

OpenSSH 服务器的配置主要集中在一个文件：/etc/ssh/sshd_config。理解这个文件对于安全加固和高级配置至关重要。

重要：在修改此文件之前，强烈建议创建一个备份！

bash
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

然后使用你喜欢的文本编辑器打开文件进行编辑（例如，使用 nano）：

bash
sudo nano /etc/ssh/sshd_config

文件中的每一行通常包含一个配置指令，指令名后面跟着其值。以 # 开头的行是注释，不会生效。

修改完配置后，你需要重新加载 SSH 服务才能使更改生效：

bash
sudo systemctl restart ssh

或者，如果你只想重新加载配置而不中断现有连接（某些更改可能不支持），可以使用：

bash
sudo systemctl reload ssh
但是，对于涉及端口、认证方式等重要变更，restart 更稳妥，因为它会完全停止并重新启动服务。

以下是一些重要的配置指令，我们将在下一部分的安全加固中详细介绍如何修改它们。

  • Port 22: 指定 SSH 服务监听的端口号。
  • ListenAddress 0.0.0.0: 指定 SSH 服务监听的网络接口地址。0.0.0.0 表示监听所有可用的网络接口。如果你只想让 SSH 监听特定的 IP 地址，可以在这里指定。
  • PermitRootLogin prohibit-password: 控制是否允许 root 用户通过 SSH 登录。这是一个非常重要的安全设置。
  • PasswordAuthentication yes: 控制是否允许使用密码进行身份验证。
  • ChallengeResponseAuthentication no: 禁用挑战-响应认证（通常与密码认证同时启用或禁用）。
  • UsePAM yes: 是否使用 PAM (Pluggable Authentication Modules) 进行认证。通常保持启用。
  • AllowUsers user1 user2: 仅允许列出的用户通过 SSH 登录。
  • DenyUsers user3 user4: 拒绝列出的用户通过 SSH 登录。
  • AllowGroups group1 group2: 仅允许属于列出的组的用户通过 SSH 登录。
  • DenyGroups group3 group4: 拒绝属于列出的组的用户通过 SSH 登录。
  • PubkeyAuthentication yes: 是否允许使用公钥进行身份验证。
  • AuthorizedKeysFile .ssh/authorized_keys: 指定存储用户公钥的文件路径。
  • Protocol 2: 指定使用的 SSH 协议版本。SSH-2 比 SSH-1 更安全，应始终使用 Protocol 2。较新版本通常默认就是 2，并且不再支持 1。

第七部分：SSH 安全加固（最佳实践）

仅仅开启 SSH 服务并使用密码登录是不够安全的，尤其当你的服务器暴露在互联网上时。以下是几个关键的安全加固步骤，强烈建议执行：

1. 修改默认 SSH 端口

攻击者通常会对默认的 22 端口进行自动化扫描和暴力破解尝试。将 SSH 端口修改为一个非标准的、高位的端口号（如 2222、22222 或其他未被常用服务占用的端口）可以显著减少这些自动化攻击，虽然不能阻止有针对性的攻击，但能过滤掉大部分的“噪音”。

修改步骤：
a. 编辑 sshd_config 文件：
bash
sudo nano /etc/ssh/sshd_config
b. 找到包含 Port 22 的行。如果被注释掉了（前面有 #），取消注释。
c. 将 22 修改为你选择的新端口号，例如 2222。
ini
Port 2222
d. 保存文件并退出编辑器。
e. 重启 SSH 服务使更改生效：
bash
sudo systemctl restart ssh
f. 重要： 如果你使用了防火墙（如 UFW），请务必允许新的端口号，并移除旧的 22 端口规则（如果不再需要）。
bash
sudo ufw allow 2222/tcp
# 如果需要删除旧规则
# sudo ufw delete allow 22/tcp
sudo ufw status # 确认规则已更新
g. 从客户端连接时，务必指定新的端口号：ssh username@server_ip -p 2222。

2. 禁用 root 用户 SSH 登录

root 用户拥有系统的最高权限，是攻击者的主要目标。直接允许 root 用户通过 SSH 登录风险极高。最佳实践是使用一个普通用户账户登录，然后在需要管理员权限时使用 sudo 命令。

修改步骤：
a. 编辑 sshd_config 文件：
bash
sudo nano /etc/ssh/sshd_config
b. 找到 PermitRootLogin 指令。
c. 将其值设置为 no 或 prohibit-password (如果你只允许密钥认证，推荐 prohibit-password)。
ini
PermitRootLogin no
d. 保存文件并退出编辑器。
e. 重启 SSH 服务：
bash
sudo systemctl restart ssh

现在，你将无法直接通过 SSH 以 root 用户身份登录。

3. 使用密钥对认证代替密码认证（强烈推荐！）

密码认证容易受到暴力破解攻击，弱密码更是形同虚设。密钥对认证（也称为公钥认证）使用一对加密密钥（一个公钥，一个私钥）来验证身份，安全性远高于密码。

  • 工作原理简述： 你在客户端生成一对密钥。将公钥放在服务器上你的用户账户的特定位置（通常是 ~/.ssh/authorized_keys 文件）。当你尝试连接时，SSH 客户端使用你的私钥（只有你知道）对一个随机生成的挑战进行签名，并发送给服务器。服务器使用存储的公钥来验证签名。如果签名有效，服务器就知道这是持有对应私钥的客户端在尝试连接，从而允许登录，而无需传输密码。

部署密钥认证的步骤：

a. 在客户端机器上生成密钥对：
打开客户端的终端或命令提示符（如 PuTTYgen for Windows），执行：
bash
ssh-keygen -t rsa -b 4096
* -t rsa 指定使用 RSA 算法。
* -b 4096 指定密钥长度为 4096 位，更安全（默认通常是 2048 位）。
系统会询问你想将密钥保存在哪里（默认是 ~/.ssh/id_rsa），直接按回车键接受默认路径即可。
然后会询问你是否设置一个密码短语 (passphrase)。强烈建议设置一个密码短语。它就像是保护你的私钥的密码。即使你的私钥文件被盗，没有密码短语攻击者也无法使用它。记住这个密码短语！
生成成功后，你会看到私钥和公钥的路径，以及密钥的指纹。

b. 将公钥复制到 Ubuntu 服务器：
这是最关键的一步。你需要将客户端生成的公钥（文件名通常是 id_rsa.pub）的内容添加到 Ubuntu 服务器上你的用户账户的 ~/.ssh/authorized_keys 文件中。

*   **方法一：使用 `ssh-copy-id` 命令（推荐，最简单）：**
    如果你的客户端是 Linux 或 macOS，或者 Windows 10/11 安装了 OpenSSH 客户端，可以使用这个命令。它会自动处理目录创建、权限设置和文件内容复制。
    ```bash
    ssh-copy-id your_username@server_ip_address
    ```
    例如：`ssh-copy-id [email protected]`
    如果是首次连接，会提示确认主机密钥。然后会提示输入你的 Ubuntu 用户 `your_username` 的**密码**来完成公钥的上传和配置。输入密码后，命令会将你的公钥添加到服务器的 `~/.ssh/authorized_keys` 文件中。

*   **方法二：手动复制公钥内容：**
    如果 `ssh-copy-id` 不可用，你可以手动完成。
    1.  在客户端，显示你的公钥内容：
        ```bash
        cat ~/.ssh/id_rsa.pub
        ```
        复制终端显示的整个公钥字符串（从 `ssh-rsa` 或 `ssh-ed25519` 开始，到用户名@主机名结束）。
    2.  使用密码登录到你的 Ubuntu 服务器：
        ```bash
        ssh your_username@server_ip_address
        ```
    3.  在服务器上，确保你的主目录下有 `.ssh` 目录，并且权限正确：
        ```bash
        mkdir -p ~/.ssh
        chmod 700 ~/.ssh
        ```
    4.  确保 `authorized_keys` 文件存在，并且权限正确：
        ```bash
        touch ~/.ssh/authorized_keys
        chmod 600 ~/.ssh/authorized_keys
        ```
        **注意：** 文件的权限非常重要，`.ssh` 目录必须只有所有者有写权限（700），`authorized_keys` 文件必须只有所有者有读写权限（600）。不正确的权限会导致密钥认证失败。
    5.  使用文本编辑器打开 `~/.ssh/authorized_keys` 文件，并将你在客户端复制的公钥字符串粘贴到新的一行。
        ```bash
        nano ~/.ssh/authorized_keys
        ```
        粘贴公钥内容，保存并退出。
    6.  退出当前的 SSH 会话。

c. 测试密钥认证登录：
在客户端，尝试使用密钥登录（如果设置了密码短语，会提示输入密码短语）：
bash
ssh your_username@server_ip_address
如果配置正确，你应该能够无需输入用户密码而直接登录（可能需要输入私钥的密码短语）。

d. 禁用密码认证（确保密钥认证工作正常后进行）：
一旦确认密钥认证可以正常工作，强烈建议禁用密码认证，以防止暴力破解。
1. 编辑 sshd_config 文件：
bash
sudo nano /etc/ssh/sshd_config
2. 找到 PasswordAuthentication 指令。
3. 将其值设置为 no。
ini
PasswordAuthentication no
4. 找到 ChallengeResponseAuthentication 指令，确保它也设置为 no。
ini
ChallengeResponseAuthentication no
5. 找到 UsePAM 指令，如果它启用了某些 PAM 模块负责密码认证，可能需要额外配置 PAM。但对于大多数标准 Ubuntu 安装，设置 PasswordAuthentication no 即可禁用 SSH 密码登录。确保 PubkeyAuthentication yes。
6. 保存文件并退出编辑器。
7. 重启 SSH 服务：
bash
sudo systemctl restart ssh
再次强调： 在禁用密码认证之前，务必确保至少一个用户可以通过密钥认证成功登录！否则你可能会将自己锁在服务器外面。最好保持一个独立的终端窗口与服务器连接，并在另一个终端窗口测试密钥登录，确认成功后再执行禁用密码认证和重启服务的步骤。

4. 限制允许登录的用户

为了进一步收紧安全，可以明确指定哪些用户允许通过 SSH 登录。

修改步骤：
a. 编辑 sshd_config 文件：
bash
sudo nano /etc/ssh/sshd_config
b. 添加或修改 AllowUsers 行，列出允许 SSH 登录的用户名，多个用户名用空格分隔。
ini
AllowUsers user1 user2 adminuser
c. 或者，你可以使用 DenyUsers 来禁止特定用户。
d. 保存文件并退出编辑器。
e. 重启 SSH 服务：
bash
sudo systemctl restart ssh
这个设置会覆盖其他认证方式，只有列出的用户才能尝试登录。

5. 安装 Fail2Ban (可选但推荐)

Fail2Ban 是一个入侵防御框架，可以扫描服务日志文件（如 SSH 日志），检测恶意行为（如密码暴力破解），并自动更新防火墙规则来封锁恶意 IP 地址。这可以有效抵御大量的自动化攻击尝试。

安装 Fail2Ban：
bash
sudo apt install fail2ban

Fail2Ban 安装后通常会自动启动并默认启用 SSH 保护。你可以检查其状态：
bash
sudo systemctl status fail2ban

配置文件在 /etc/fail2ban/jail.conf，但推荐的做法是创建 /etc/fail2ban/jail.local 文件来覆盖默认设置，避免升级时配置文件被覆盖。

bash
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local
你可以在 [DEFAULT] 部分调整一些全局设置，例如 bantime (封禁时间)、findtime (在多长时间内检测到多少次失败尝试)、maxretry (最大失败尝试次数)。
在 [sshd] 部分，确保 enabled = true。如果你修改了 SSH 端口，需要在 [sshd] 部分添加 port = 2222 (或你的新端口)。

修改后重启 Fail2Ban 服务：
bash
sudo systemctl restart fail2ban

Fail2Ban 将开始监控 SSH 日志，并在检测到恶意行为时自动封禁 IP。

第八部分：常见问题与故障排除

在配置 SSH 的过程中，你可能会遇到一些问题。以下是一些常见问题及其解决方法：

  1. 无法连接，提示 “Connection refused”：

    • SSH 服务没有运行。在服务器上执行 sudo systemctl status ssh 检查服务状态，并确保其正在运行。如果未运行，使用 sudo systemctl start ssh 启动。
    • 防火墙阻止了连接。检查服务器上的防火墙（如 UFW 或 iptables），确保允许来自客户端 IP 的 SSH 端口（默认 22 或你修改后的端口）的连接。参考本文第四部分进行配置。
    • SSH 服务监听地址或端口配置错误。检查 /etc/ssh/sshd_config 文件中的 Port 和 ListenAddress 配置是否正确。

  2. 连接超时 (“Connection timed out”)：

    • 服务器已关机或网络不通。检查服务器是否在线以及网络连接。
    • 中间的网络设备（如路由器、防火墙）阻止了连接。如果你通过互联网连接，检查路由器或云服务提供商的安全组设置。
    • IP 地址或端口号输入错误。仔细核对服务器 IP 地址和 SSH 端口号。

  3. 提示 “Permission denied, please try again.” 或 “Permission denied (publickey,password).”：

    • 用户名或密码错误。确认你输入的用户名和密码是正确的。
    • 如果使用密钥认证，但仍然提示输入密码（或密钥认证失败）：
      • 检查客户端私钥路径是否正确，或者私钥是否被添加到 SSH Agent。
      • 检查服务器上 ~/.ssh/authorized_keys 文件中是否包含了正确的客户端公钥内容。
      • 检查服务器上用户主目录下 .ssh 目录及其内的 authorized_keys 文件的权限是否正确（.ssh 是 700，authorized_keys 是 600）。
      • 检查 /etc/ssh/sshd_config 中 PubkeyAuthentication 是否设置为 yes。
      • 检查 /etc/ssh/sshd_config 中 PasswordAuthentication 是否设置为 no (如果你希望强制使用密钥认证)。
    • 如果你禁用了 root 登录 (PermitRootLogin no)，尝试使用 root 用户登录会导致此错误。
    • 如果使用了 AllowUsers 或 AllowGroups 配置，检查你的用户是否在允许的列表内。

  4. 输入密码短语后连接失败：

    • 输入的密码短语不正确。密码短语区分大小写，请仔细核对。
    • 私钥文件已损坏或不是对应的公钥。

  5. 连接成功但立即断开：

    • 可能是某些服务器端配置导致，例如 /etc/ssh/sshd_config 中设置了非常短的超时时间，或者系统资源耗尽。
    • 检查服务器的 SSH 日志文件 (journalctl -u ssh 或 grep sshd /var/log/auth.log)，通常会有更详细的错误信息。

查看 SSH 服务器日志：

当遇到连接问题时，查看 SSH 服务器的日志是排查故障最有效的方法。

bash
sudo journalctl -u ssh -f

这个命令会实时显示 SSH 服务的日志输出，当你尝试连接时，可以观察到服务器接收到连接请求后的处理过程以及可能遇到的错误。

第九部分：SSH 高级话题速览 (简述)

  • SFTP (SSH File Transfer Protocol) / SCP (Secure Copy): SSH 不仅用于远程终端，还提供了安全的文件传输能力。SFTP 是一个子系统，允许以文件系统的方式浏览和传输文件；SCP 是一个基于 SSH 的文件复制命令。许多 GUI 文件管理器或客户端工具（如 FileZilla, WinSCP）都支持 SFTP/SCP。
  • SSH Agent: SSH Agent 是一个后台程序，可以缓存你的私钥及其密码短语。解锁一次私钥后，在 Agent 运行期间，再次使用该私钥连接时就不需要重复输入密码短语了。这在频繁使用密钥连接多个服务器时非常方便。
  • SSH Port Forwarding (隧道): SSH 可以用来创建安全的隧道，将其他网络连接封装在 SSH 连接内部进行传输。常见的有本地端口转发、远程端口转发和动态端口转发（SOCKS 代理）。这可以用于访问内部网络服务或绕过防火墙限制。
  • SSH Config File (~/.ssh/config): 在客户端，你可以在 ~/.ssh/config 文件中为不同的服务器配置连接参数（如主机名别名、用户名、端口、私钥路径等），简化连接命令。
  • 无密码认证 (无密码短语的密钥): 虽然不推荐，但在某些自动化场景下，可以生成没有密码短语的密钥对。但请务必小心保管这样的私钥。

第十部分：SSH 的安全性基础

SSH 之所以安全，核心在于其使用了强大的加密技术。

  • 密钥交换： 连接建立之初，客户端和服务器通过 Diffie-Hellman 等算法安全地协商出一个只有双方知道的会话密钥，即使通信被窃听，攻击者也无法获取到会话密钥。
  • 数据加密： 协商出会话密钥后，所有后续的数据传输（包括输入的命令、输出的信息）都使用对称加密算法（如 AES）和这个会话密钥进行加密。
  • 身份认证： SSH 支持多种认证方式，包括密码认证、公钥认证等。公钥认证提供了非常强的安全性，因为它基于非对称加密，即使公钥被公开，没有对应的私钥也无法通过认证。服务器的主机密钥用于客户端验证服务器的身份，防止中间人攻击。
  • 数据完整性： SSH 使用哈希函数（如 SHA-256）来校验传输数据的完整性，确保数据在传输过程中没有被篡改。

结论

通过本文的详细步骤，你应该已经成功在 Ubuntu 系统上开启了 SSH 远程连接，并进行了必要的安全加固。从安装 openssh-server、验证服务状态，到配置防火墙、理解 sshd_config 文件，再到执行修改端口、禁用 root 登录、尤其是部署和强制使用密钥认证等安全实践，每一步都旨在提供一个既方便又安全的远程管理环境。

记住，安全性是一个持续的过程。定期更新系统和软件包，特别是 OpenSSH 相关的组件，关注安全漏洞公告，并根据实际需求和风险评估进一步调整 SSH 配置，是维护服务器安全的必要工作。

SSH 是 Linux/Unix 世界中不可或缺的工具。掌握其基本使用和安全配置，将极大地提升你远程管理 Ubuntu 系统的效率和安全性。现在，你可以坐在舒适的地方，安全地连接到你的 Ubuntu 服务器，享受远程管理的便利了！

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部