如何使用 SSH 命令连接服务器 – wiki基地

作者： /

远程连接的基石：深入理解并使用 SSH 命令连接服务器

在当今的IT世界中，远程管理服务器几乎是每个开发者、系统管理员乃至许多普通技术爱好者的必备技能。而实现安全、高效远程连接的核心工具，正是 SSH（Secure Shell）。SSH 不仅是一个简单的命令行工具，它是一整套协议和程序的集合，为远程登录、文件传输以及各种网络服务的安全通信提供了强大的保障。

本文将带您深入探索 SSH 的世界，从最基础的连接命令讲起，逐步讲解 SSH 的工作原理、多种身份验证方式、高级选项配置，以及常见的疑难解答和安全最佳实践。无论您是刚接触服务器管理的新手，还是希望进一步精通 SSH 使用技巧的资深用户，本文都将为您提供一份全面而详尽的指南。

一、初识 SSH：它是什么？为什么需要它？

在 SSH 出现之前，远程登录服务器主要依赖于 Telnet 或 Rlogin 等协议。这些协议最大的问题在于，它们在传输过程中是以明文形式发送所有信息的，包括用户名和密码。这意味着任何能够监听网络流量的人（例如，在公共 Wi-Fi 环境下），都可以轻易地截获您的敏感信息，从而危及服务器的安全。

SSH 的诞生彻底改变了这一局面。SSH 协议通过加密所有传输的数据，包括登录凭证、命令输出、文件内容等，确保了远程连接的安全性。它在客户端（您的本地计算机）和服务器之间建立了一个安全的通道，所有数据都在这个加密通道中传输，即使数据被拦截，也无法被轻易解密。

SSH 的核心功能包括：

  1. 安全远程登录： 允许用户在本地计算机上安全地访问和控制远程服务器的命令行界面。
  2. 安全文件传输： 通过 SCP (Secure Copy Protocol) 和 SFTP (SSH File Transfer Protocol) 实现安全的文件上传和下载。
  3. 端口转发（隧道）： 允许通过 SSH 连接转发其他网络服务的流量，实现安全的访问或绕过防火墙限制。

正是基于这些强大的安全特性，SSH 成为了现代服务器管理的基石，几乎所有的 Linux、Unix 服务器以及越来越多的网络设备和服务都支持 SSH 连接。

二、准备工作：连接前需要知道什么？

在您尝试使用 SSH 连接服务器之前，您需要具备以下几项基本信息和工具：

  1. SSH 客户端： 您的本地计算机需要安装一个 SSH 客户端程序。
    • 类 Unix 系统 (Linux, macOS)： 通常自带 OpenSSH 客户端，直接在终端中使用 ssh 命令即可。
    • Windows 系统： 较新的 Windows 10/11 版本也自带 OpenSSH 客户端，可以在 PowerShell 或命令提示符中使用 ssh 命令。对于旧版本或需要更强大功能的 Windows 用户，可以安装第三方客户端，如 PuTTY、Xshell、MobaXterm 等。本文主要以OpenSSH命令行客户端为例进行讲解。
  2. 服务器的 IP 地址或域名： 这是您要连接的目标服务器的网络地址。例如：192.168.1.100 或 yourserver.com。
  3. SSH 端口： SSH 服务默认运行在 TCP 协议的 22 端口上。但出于安全考虑，许多服务器管理员会将 SSH 服务配置在非标准的端口上。如果您知道服务器使用了非默认端口，连接时需要指定。
  4. 登录用户名： 您需要在服务器上拥有一个有效的用户账户，用于登录。例如：root、admin 或其他普通用户账户。
  5. 身份验证凭证： 根据服务器的配置，您需要提供以下两种身份验证方式中的一种（或两种都可能启用）：
    • 密码： 您的服务器用户账户对应的密码。
    • 密钥对： 一对由公钥和私钥组成的加密密钥。这是更推荐和更安全的身份验证方式。您需要将您的公钥放在服务器上，并使用对应的私钥在本地进行连接。

三、最基础的 SSH 连接命令

一旦您具备了上述信息和工具，就可以尝试进行最基本的 SSH 连接了。打开您的终端或命令提示符窗口，输入以下命令：

bash
ssh [用户名]@[服务器IP地址或域名]

例如：

  • 如果您要以用户 user1 连接到 IP 地址为 192.168.1.100 的服务器：
    bash
    ssh [email protected]
  • 如果您要以默认当前本地用户名连接到域名为 yourserver.com 的服务器（如果您的本地用户名与服务器上的用户名相同）：
    bash
    ssh yourserver.com
    （在这种情况下，SSH 客户端会尝试使用您当前的本地用户名进行连接。如果服务器上没有同名用户或您想使用不同的用户名，则必须显式指定用户名。）

首次连接到某个服务器时，您可能会看到一个关于主机密钥（Host Key）的提示，大致内容如下：

The authenticity of host 'yourserver.com (X.X.X.X)' can't be established.
ECDSA key fingerprint is SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

这是 SSH 客户端在验证服务器的身份。为了防止“中间人攻击”（Man-in-the-Middle Attack），SSH 服务器有一个唯一的主机密钥。首次连接时，客户端不知道这个密钥，因此会提示您进行确认。

重要提示： 在输入 yes 之前，如果您能通过其他渠道（例如服务器管理员）确认显示的指纹（fingerprint）是正确的，那就更安全。否则，通常情况下首次连接输入 yes 是安全的，客户端会将此服务器的主机密钥指纹记录在您本地计算机用户目录下的 ~/.ssh/known_hosts 文件中。今后再次连接时，如果服务器的主机密钥发生变化，客户端会发出警告，这可能意味着服务器身份有问题，或者服务器的主机密钥确实被管理员更改了。

输入 yes 并回车后，SSH 客户端会根据服务器的配置，提示您输入密码或使用密钥进行身份验证。

  • 如果使用密码认证：
    Warning: Permanently added 'yourserver.com' (ECDSA) to the list of known hosts.
    Password:
    在这里输入您在服务器上的用户密码，输入时屏幕上不会显示任何字符（包括星号），这是正常的安全设置。输入完毕后按回车。如果密码正确，您将成功登录到服务器的命令行界面。
  • 如果使用密钥认证：
    如果您的公钥已经正确配置在服务器上，并且本地存在匹配的私钥，SSH 客户端将自动尝试使用密钥进行认证。如果您的私钥设置了密码短语（passphrase），您需要输入该短语。如果认证成功，您将直接登录到服务器。

成功登录后，您的终端提示符会变成服务器上的命令行提示符，表示您现在正在远程操作服务器了。您可以像在本地一样执行各种命令。要退出远程会话，只需在服务器命令行中输入 exit 或按下 Ctrl + D。

四、深入了解身份验证方式：密码 vs. 密钥

SSH 提供了多种身份验证方式，其中最常用的是密码认证和公钥认证。理解它们的原理和优缺点对于安全使用 SSH 至关重要。

4.1 密码身份验证

原理： 客户端向服务器发送用户名和密码。服务器接收后，与存储的用户账户信息进行比对，如果匹配则允许登录。

优点：
* 简单易用，只需要记住用户名和密码。

缺点：
* 安全性差： 容易受到暴力破解攻击（攻击者尝试猜测密码）。
* 容易泄露： 密码可能在传输过程中（虽然 SSH 本身加密，但用户的输入习惯或弱密码本身就是风险）或通过其他方式泄露。
* 管理不便： 需要为每个用户设置和管理密码，定期更换。

出于安全考虑，强烈建议禁用在互联网上的服务器上使用纯密码身份验证，尤其对于 root 用户。

4.2 公钥身份验证（推荐）

原理： 这是一种基于非对称加密的身份验证方式。它使用一对相关的密钥：一个公钥（Public Key）和一个私钥（Private Key）。
* 公钥： 可以公开分享，放在您要连接的服务器上 (~/.ssh/authorized_keys 文件中)。
* 私钥： 必须严格保密，存放在您的本地计算机上 (~/.ssh/id_rsa 或 ~/.ssh/id_ed25519 等文件)。通常建议使用一个密码短语加密私钥文件，提供额外的安全层。

认证过程简述：
1. 客户端连接到服务器并指定用户名。
2. 服务器生成一个随机数，并使用对应用户的公钥对其进行加密。
3. 服务器将加密后的随机数发送给客户端。
4. 客户端使用本地存储的私钥解密这个随机数。
5. 客户端计算解密后的随机数的哈希值（或其他证明其拥有私钥的操作），并发送回服务器。
6. 服务器也计算原始随机数的哈希值，并与客户端发送的哈希值进行比对。如果匹配，服务器就确认客户端拥有与公钥匹配的私钥，从而验证客户端的身份，允许登录。

整个过程中，私钥从未离开过用户的本地计算机，大大提高了安全性。

优点：
* 安全性高： 极难被破解，对暴力破解几乎免疫（因为攻击者无法获取私钥）。
* 无需记忆复杂密码： 登录更便捷（如果私钥没有设置密码短语，甚至无需任何输入即可登录；设置了密码短语也只需要输入短语而非服务器密码）。
* 更灵活： 一个用户可以使用多个密钥对，一个公钥可以用于连接多个服务器。

缺点：
* 初始设置稍复杂： 需要生成密钥对并将公钥上传到服务器。
* 私钥安全至关重要： 如果私钥泄露且没有密码短语保护，您的账户安全将受到威胁。

如何生成 SSH 密钥对？

在本地计算机的终端中运行以下命令：

bash
ssh-keygen -t rsa -b 4096

  • -t rsa: 指定密钥类型为 RSA。RSA 是一种常见的非对称加密算法。目前更推荐使用 ED25519 算法，它通常更快且更安全：ssh-keygen -t ed25519。
  • -b 4096: （仅适用于 RSA）指定密钥长度为 4096 位。默认通常是 2048 位，4096 位更安全，但处理速度略慢。对于 ED25519，密钥长度是固定的，不需要 -b 参数。

运行命令后，您将看到如下提示：

Generating public/private rsa key pair.
Enter file in which to save the key (/home/youruser/.ssh/id_rsa):

直接按回车接受默认路径（~/.ssh/id_rsa）通常是最好的选择。如果您之前已经生成过密钥，系统会询问是否覆盖，请谨慎操作。

Enter passphrase (empty for no passphrase):
Enter same passphrase again:

强烈建议您为私钥设置一个密码短语（Passphrase）。这相当于给您的私钥文件加了一层密码保护。即使私钥文件被窃取，没有密码短语也无法使用。输入一个强密码短语（可以包含空格和标点符号），然后再次输入确认。如果您不想设置密码短语，直接按回车两次即可（但不推荐）。

生成成功后，您会看到类似如下输出：

Your identification has been saved in /home/youruser/.ssh/id_rsa
Your public key has been saved in /home/youruser/.ssh/id_rsa.pub
The key fingerprint is:
SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX user@yourlocalmachine
The key's randomart image is:
+---[RSA 4096]----+
| .+*=+* |
| . oEO=+ |
| o =+oo |
| + +.+ |
| S . ... |
| . . o |
| . . |
| . |
| |
+----[SHA256]-----+

这表示密钥对已生成成功。id_rsa 是您的私钥（请妥善保管！），id_rsa.pub 是您的公钥（可以分享）。

如何将公钥上传到服务器？

这是实现公钥认证的关键步骤。最简单安全的方法是使用 ssh-copy-id 命令（在大多数类 Unix 系统上可用）。

bash
ssh-copy-id [用户名]@[服务器IP地址或域名]

例如：

bash
ssh-copy-id [email protected]

首次运行此命令时，它可能会提示您输入服务器的密码来完成公钥的复制。成功后，它会将您的公钥（默认是 ~/.ssh/id_rsa.pub 或 ~/.ssh/id_ed25519.pub）添加到服务器上指定用户的 ~/.ssh/authorized_keys 文件末尾。

如果您没有 ssh-copy-id 命令或希望手动操作，可以执行以下步骤：

  1. 在本地计算机上，复制公钥文件的内容：
    bash
    cat ~/.ssh/id_rsa.pub
    （或者 cat ~/.ssh/id_ed25519.pub，取决于您生成的密钥类型）
    复制终端中显示的完整公钥文本（从 ssh-rsa 或 ssh-ed25519 开始，到您的用户名和主机名结束）。
  2. 使用密码认证方式登录到目标服务器：
    bash
    ssh [email protected]
    输入密码登录。
  3. 在服务器上，确保存在 ~/.ssh 目录，并且权限正确（drwx------ 或 700）：
    bash
    mkdir ~/.ssh
    chmod 700 ~/.ssh
    如果目录已存在且权限正确，忽略此步。
  4. 将您本地复制的公钥内容添加到服务器上的 ~/.ssh/authorized_keys 文件末尾。注意不要覆盖现有内容，使用 >> 进行追加。如果文件不存在，它会被创建。文件权限应为 rw------- 或 600。
    bash
    nano ~/.ssh/authorized_keys # 使用nano编辑器
    # 或者
    vi ~/.ssh/authorized_keys # 使用vi编辑器
    # 或者
    echo "粘贴您复制的公钥内容到这里" >> ~/.ssh/authorized_keys
    使用编辑器时，将公钥粘贴到文件末尾，确保每行公钥占一行。
    编辑或追加完成后，设置 authorized_keys 文件权限：
    bash
    chmod 600 ~/.ssh/authorized_keys
    确保 authorized_keys 文件及其父目录 .ssh 的权限设置正确，否则 SSH 服务器可能不会使用公钥进行认证。

完成公钥上传后，退出服务器连接。现在再次尝试使用 ssh [email protected] 命令连接。如果一切设置正确，SSH 客户端将自动尝试使用您的私钥进行认证。如果您的私钥设置了密码短语，系统会提示您输入私钥的密码短语，而不是服务器的登录密码。输入正确的密码短语后，您应该能够成功登录。

为了进一步提高安全性，强烈建议在确认公钥认证可以正常工作后，修改服务器的 SSH 配置文件（通常是 /etc/ssh/sshd_config），禁用密码认证：
找到或添加一行 PasswordAuthentication no，并确保 PubkeyAuthentication yes。修改后需要重启 SSH 服务 (sudo systemctl restart sshd 或 sudo service ssh restart) 使配置生效。请务必在确认公钥认证可用后再禁用密码认证，否则您可能会无法登录服务器！

五、SSH 命令的高级选项与配置

ssh 命令提供了丰富的选项，可以满足各种复杂的连接需求。以下是一些常用的高级选项：

5.1 指定端口 -p

如果 SSH 服务运行在非默认的 22 端口，您需要使用 -p 选项指定端口号。

bash
ssh -p [端口号] [用户名]@[服务器IP地址或域名]

例如，连接到用户 admin 在 yourserver.com 的 2222 端口：

bash
ssh -p 2222 [email protected]

5.2 直接在连接后执行命令

您可以在 SSH 连接命令的末尾直接加上您想要在服务器上执行的命令。SSH 会连接到服务器，执行该命令，并将输出返回到您的本地终端，然后自动断开连接。

bash
ssh [用户名]@[服务器IP地址或域名] "[要在服务器上执行的命令]"

例如，检查服务器的磁盘使用情况：

bash
ssh [email protected] "df -h"

这对于自动化脚本或快速执行单条命令非常有用。注意，如果您执行的命令需要与用户交互（例如 sudo 需要输入密码），这种方式可能不太适用，除非您能通过其他方式提供输入。

5.3 配置 SSH 客户端：~/.ssh/config 文件

对于需要频繁连接的服务器，每次输入完整的用户名、IP 地址、端口等信息会非常繁琐。SSH 客户端提供了一个配置文件 ~/.ssh/config，您可以在其中为不同的服务器设置别名和默认参数。

~/.ssh/config 是一个纯文本文件，每台服务器的配置以 Host 开头，后面是您为这台服务器设置的别名。别名可以是任何您喜欢的字符串，但不能包含空格。

以下是一个示例 ~/.ssh/config 文件内容：

“`

这是一个注释

—————————–

我的常用服务器别名：mywebserver

Host mywebserver
Hostname yourserver.com # 或服务器的IP地址
User user1 # 连接时使用的用户名
Port 2222 # 如果是非标准端口
IdentityFile ~/.ssh/id_rsa # 如果您使用特定的私钥文件
ServerAliveInterval 60 # 每60秒发送一次心跳包，防止连接超时断开
ServerAliveCountMax 3 # 最大允许3次心跳包无响应，之后断开连接
ForwardAgent yes # 开启 SSH 代理转发（Agent Forwarding）
XAuthLocation /opt/X11/bin/xauth # 如果需要X11转发且xauth不在默认路径

—————————–

另一台服务器别名：db_staging

Host db_staging
Hostname 192.168.1.200
User admin
IdentityFile ~/.ssh/db_staging_key # 使用不同的私钥文件
Port 22

—————————–

通用配置（应用于所有连接，除非被特定Host配置覆盖）

Host *
Protocol 2 # 优先使用SSH协议版本2
Compression yes # 开启数据压缩，在慢速网络下有用
ConnectTimeout 10 # 连接超时时间为10秒
“`

配置完成后，保存文件。现在您就可以使用别名进行连接了：

bash
ssh mywebserver
ssh db_staging

SSH 客户端会自动读取 ~/.ssh/config 文件，根据您指定的别名加载对应的配置参数进行连接。这极大地提高了工作效率和连接的便利性。

一些常用的配置选项：
* Hostname: 目标服务器的实际 IP 地址或域名。
* User: 连接时使用的用户名。
* Port: 连接时使用的端口号。
* IdentityFile: 指定用于身份验证的私钥文件的路径。如果您使用非默认的私钥文件（例如，不是 ~/.ssh/id_rsa 或 ~/.ssh/id_ed25519），就需要指定此项。
* IdentitiesOnly yes: 如果设置此项，SSH 客户端将仅使用 IdentityFile 指定的私钥进行认证，忽略 SSH Agent 中加载的其他密钥。
* PasswordAuthentication yes/no: 是否允许密码认证（通常在客户端配置文件中用于测试或特定场景，服务器端禁用密码认证更安全）。
* ProxyJump [user@]host[:port]: 跳板机配置。通过另一台服务器进行跳转连接。
* LocalForward, RemoteForward, DynamicForward: 用于配置端口转发（隧道）。将在下一节详细介绍。
* ServerAliveInterval, ServerAliveCountMax: 保持连接活跃，防止因长时间不活动而被防火墙或服务器断开。
* Compression yes/no: 是否开启数据压缩。
* ConnectTimeout: SSH 客户端尝试连接服务器的超时时间。
* ForwardAgent yes/no: 是否开启 SSH Agent 转发。
* ForwardX11 yes/no 或 ForwardX11Trusted yes/no: 是否开启 X11 转发。

5.4 SSH Agent 与密钥代理转发 -A

如果您为私钥设置了密码短语，每次使用该私钥进行连接时，都需要输入密码短语。SSH Agent 是一个在后台运行的程序，可以临时存储您的解密后的私钥。您只需在启动 Agent 后输入一次私钥的密码短语，之后就可以使用该私钥连接任何服务器，而无需重复输入。

使用 SSH Agent：
1. 启动 SSH Agent（如果尚未运行）：通常在新终端会话中运行 eval "$(ssh-agent -s)"。
2. 将您的私钥添加到 Agent 中：ssh-add ~/.ssh/id_rsa（或您的私钥路径）。如果私钥有密码短语，此时会提示您输入。
3. 现在您可以使用无需输入密码短语的私钥进行连接了。

密钥代理转发 (-A 或 ForwardAgent yes in config)：
Agent Forwarding 允许您通过一个 SSH 连接，使用本地机器上 SSH Agent 中的私钥，连接到由远程服务器发起的新的 SSH 连接。例如，您从本地机器 A 连接到服务器 B (ssh -A user@B)，然后在服务器 B 上又需要连接到服务器 C (ssh user@C)。如果开启了 Agent Forwarding，SSH 客户端在服务器 B 上连接 C 时，会通过已经建立的 A 到 B 的 SSH 连接，向 A 的 SSH Agent 请求认证，从而无需在 B 上存放连接 C 的私钥或输入密码。

这在管理多台服务器时非常有用，您只需在本地机器上管理和保护您的私钥，并通过跳板机安全地连接到内部网络的其他服务器。

使用方法：
在连接命令中使用 -A 选项：

bash
ssh -A [email protected]

或者在 ~/.ssh/config 文件中为特定的 Host 或所有 Host 设置 ForwardAgent yes。

重要提示： Agent Forwarding 虽然方便，但也存在一定的安全风险。如果您连接的中间服务器（例如上面例子中的服务器 B）被入侵，恶意用户可能利用您的转发 Agent，以您的身份连接到您有权限访问的其他服务器（例如上面的服务器 C）。因此，只在信任的服务器上开启 Agent Forwarding。

5.5 X11 转发 -X 或 -Y

X11 是 Unix/Linux 下的图形用户界面系统。SSH 的 X11 转发功能允许您在本地计算机上安全地显示运行在远程服务器上的图形界面程序。

使用方法：
在连接命令中使用 -X 或 -Y 选项：

“`bash
ssh -X [email protected]

或者

ssh -Y [email protected]
“`

  • -X: 开启不信任的 X11 转发。这是默认推荐的方式，安全性较高。
  • -Y: 开启信任的 X11 转发。信任的转发安全性较低，但有时某些应用必须使用此模式才能正常显示。

前提条件：
1. 服务器端需要安装 X11 相关的库，并且 SSH 服务器配置允许 X11Forwarding (通常在 /etc/ssh/sshd_config 中设置为 X11Forwarding yes)。
2. 本地计算机需要安装并运行一个 X 服务器。在 Linux/macOS 上通常自带（例如 XQuartz for macOS）。在 Windows 上需要安装第三方 X 服务器软件，如 VcXsrv 或 MobaXterm（MobaXterm 自带 X 服务器）。

连接成功后，您就可以直接在服务器的命令行中运行图形界面的程序了（例如 xclock 或 firefox），它们的窗口会显示在您的本地桌面上。

5.6 端口转发（SSH Tunneling）-L, -R, -D

端口转发是 SSH 最强大的高级功能之一，它允许您通过安全的 SSH 连接建立加密隧道，转发其他任意 TCP 协议的流量。这在访问内部网络服务、加密不安全协议流量、绕过防火墙等方面非常有用。

5.6.1 本地端口转发 (-L)

本地端口转发将本地机器上的一个端口的流量，通过 SSH 隧道转发到远程服务器可以访问的某个目标地址和端口。这通常用于访问位于远程服务器所在内网，而无法直接从本地访问的服务。

命令格式：

bash
ssh -L [本地监听地址:]本地监听端口:目标地址:目标端口 [用户名]@[SSH服务器地址]

  • [本地监听地址:]: 可选。默认是 localhost (127.0.0.1)，即只允许本地机器访问此转发端口。如果您想允许其他机器（在您的局域网内）访问这个端口，可以指定您本地的 IP 地址（例如 192.168.1.5:8080）或 0.0.0.0（允许所有地址，但不推荐）。
  • 本地监听端口: 您在本地机器上开启的用于监听连接的端口号。
  • 目标地址: 从 SSH 服务器的角度看，您想要访问的实际目标服务的地址（IP 或域名）。这个目标服务不一定是 SSH 服务器本身。
  • 目标端口: 您想要访问的实际目标服务的端口号。
  • [用户名]@[SSH服务器地址]: 您连接的 SSH 服务器的地址和用户名。

示例：
假设您有一台位于内网的数据库服务器 db.internal.local，运行在 3306 端口，您无法直接从本地访问它。但是您可以通过 SSH 连接到同一内网的服务器 yourserver.com。您可以使用本地端口转发来访问这个数据库：

bash
ssh -L 3307:db.internal.local:3306 [email protected]

这个命令会建立一个 SSH 连接到 yourserver.com。同时，它会在您的本地机器上开启一个监听在 3307 端口的服务。任何发送到您本地 localhost:3307 的流量，都会通过加密的 SSH 隧道发送到 yourserver.com，然后由 yourserver.com 将流量转发到 db.internal.local:3306。

现在，您就可以在本地使用数据库客户端连接到 localhost:3307，就像直接连接到 db.internal.local:3306 一样，而且所有流量都是加密传输的。

5.6.2 远程端口转发 (-R)

远程端口转发将远程服务器上的一个端口的流量，通过 SSH 隧道转发到本地机器可以访问的某个目标地址和端口。这通常用于让外部网络通过 SSH 服务器访问您本地机器上的某个服务（例如，您在本地搭建了一个Web服务器，想让外部用户通过您的云服务器访问）。

命令格式：

bash
ssh -R [远程监听地址:]远程监听端口:目标地址:目标端口 [用户名]@[SSH服务器地址]

  • [远程监听地址:]: 可选。默认是 localhost (127.0.0.1)，即只允许 SSH 服务器本身访问此转发端口。如果您想让其他机器（在远程服务器所在的网络中，甚至公网）访问这个端口，需要将 SSH 服务器配置中的 GatewayPorts 设置为 yes，并在命令中指定远程服务器的外部 IP 地址或 0.0.0.0。
  • 远程监听端口: 在 SSH 服务器上开启的用于监听连接的端口号。
  • 目标地址: 从本地机器的角度看，您想要访问的实际目标服务的地址。通常是 localhost (127.0.0.1)，表示您本地机器上的服务。
  • 目标端口: 您本地机器上运行的服务端口号。
  • [用户名]@[SSH服务器地址]: 您连接的 SSH 服务器的地址和用户名。

示例：
假设您在本地机器上运行了一个 Web 服务，监听在 8000 端口 (localhost:8000)，您想让外部用户通过 yourserver.com 的 80 端口访问它。

“`bash

在本地机器上执行此命令，连接到 yourserver.com

ssh -R 80:localhost:8000 [email protected]
“`

这个命令会在 yourserver.com 上监听 80 端口（如果SSH服务器配置允许且没有其他服务占用80端口）。任何发送到 yourserver.com:80 的流量，都会通过加密的 SSH 隧道转发到您的本地机器，然后由您的本地 SSH 客户端转发到您本地的 localhost:8000 服务。

注意： 要让 yourserver.com 在公共 IP 地址的 80 端口上监听并转发，需要在 /etc/ssh/sshd_config 中设置 GatewayPorts yes 并重启 SSH 服务。而且 80 端口通常需要 root 权限才能监听，您可能需要转发到服务器上一个高于 1024 的端口，或者使用 iptables 等工具进行端口转发。

5.6.3 动态端口转发 (-D)

动态端口转发将 SSH 客户端配置为一个 SOCKS 代理服务器。连接到此 SOCKS 代理的应用程序，其流量将通过 SSH 隧道转发到 SSH 服务器，然后由 SSH 服务器根据应用程序的请求（例如，访问的网站地址）动态地决定转发到哪里。这通常用于安全地浏览互联网或访问远程内网中的多个服务，而无需为每个服务单独设置端口转发。

命令格式：

bash
ssh -D [本地监听地址:]本地监听端口 [用户名]@[SSH服务器地址]

  • [本地监听地址:]: 可选。默认是 localhost (127.0.0.1)。
  • 本地监听端口: 您在本地机器上开启的 SOCKS 代理端口号。
  • [用户名]@[SSH服务器地址]: 您连接的 SSH 服务器的地址和用户名。

示例：
bash
ssh -D 8181 [email protected]

此命令会在您的本地机器上启动一个 SOCKS 代理服务，监听在 8181 端口。要使用这个代理，您需要在您的应用程序（如浏览器、即时通讯客户端等）的网络设置中，将 SOCKS 代理地址设置为 localhost，端口设置为 8181。

配置好代理后，您的应用程序发出的所有网络请求（例如，访问 google.com），都会先发送到您本地的 localhost:8181 SOCKS 代理，然后通过 SSH 隧道发送到 yourserver.com。yourserver.com 再代为访问 google.com 并将结果通过隧道返回给您的应用程序。这有效地隐藏了您的真实 IP 地址（对于目标网站来说，请求来自 yourserver.com）并加密了您本地到 SSH 服务器之间的流量。

后台运行 SSH 隧道：
如果您希望 SSH 隧道在后台运行，而不是占用当前终端窗口，可以使用 -N 选项（表示不执行远程命令）和 -f 选项（表示在认证成功后转入后台）。

bash
ssh -f -N -L 3307:db.internal.local:3306 [email protected]
ssh -f -N -D 8181 [email protected]

要停止后台运行的隧道，您需要找到对应的 ssh 进程并终止它（例如使用 ps aux | grep ssh 查找进程 ID，然后使用 kill [PID]）。

六、常见问题与故障排除

在使用 SSH 的过程中，您可能会遇到各种问题。以下是一些常见的问题及其排查方法：

  1. Connection refused (连接被拒绝):

    • 可能原因： SSH 服务在服务器上未运行、服务器防火墙阻止了 SSH 端口、您连接的端口不正确。
    • 排查：
      • 确认 SSH 服务 (sshd) 在服务器上正在运行 (sudo systemctl status sshd 或 sudo service ssh status)。
      • 检查服务器的防火墙规则 (sudo ufw status 或 sudo firewall-cmd --list-all 或检查云服务商的安全组设置)，确保允许来自您IP地址的SSH端口（默认22，或您指定的端口）的连接。
      • 确认您在客户端使用的端口号与服务器上 SSH 服务的监听端口一致。

  2. Permission denied (publickey,password). (权限被拒绝):

    • 可能原因： 用户名或密码错误、密钥对不匹配、公钥未正确添加到服务器的 authorized_keys 文件、~/.ssh 或 ~/.ssh/authorized_keys 文件权限不正确、SSH 服务器配置禁止了您尝试的认证方式（例如，禁止密码认证而您只尝试密码）。
    • 排查：
      • 仔细检查输入的用户名和密码是否正确。
      • 如果使用密钥认证：
        • 确认您在本地使用的是正确的私钥文件 (IdentityFile 配置或默认路径)。
        • 确认私钥文件权限正确（通常为 600）。
        • 在服务器上，确认您的公钥内容完整无误地添加到了目标用户的 ~/.ssh/authorized_keys 文件中。
        • 在服务器上，确认目标用户的家目录 (~)、.ssh 目录 (~/.ssh) 和 authorized_keys 文件 (~/.ssh/authorized_keys) 的权限设置正确（通常分别是 755/700, 700, 600）。SSH 服务器会严格检查这些权限。
        • 检查服务器的 SSH 配置文件 /etc/ssh/sshd_config，确认允许 PubkeyAuthentication yes。
      • 如果使用密码认证：检查 /etc/ssh/sshd_config，确认允许 PasswordAuthentication yes。

  3. Host key verification failed. (主机密钥验证失败):

    • 可能原因： 这是 SSH 客户端检测到服务器的主机密钥与本地 ~/.ssh/known_hosts 文件中记录的不符。这可能是因为服务器重装了系统、SSH 服务重新生成了主机密钥，或者最坏的情况，存在中间人攻击。
    • 解决： 如果您确定服务器是安全的且主机密钥确实发生了变化，可以编辑 ~/.ssh/known_hosts 文件，删除与该服务器相关的旧条目。或者，使用以下命令直接删除对应的旧密钥（请替换 yourserver.com 或 IP 地址）：
      bash
      ssh-keygen -R yourserver.com
      # 或
      ssh-keygen -R 192.168.1.100
      下次连接时，SSH 会像首次连接一样提示您确认新的主机密钥。

  4. 连接超时 (Connection timed out):

    • 可能原因： 网络连接不稳定、延迟过高、服务器负载过高无响应、防火墙阻止了连接但没有立即拒绝而是丢弃了数据包。
    • 排查：
      • 检查您的网络连接。
      • 尝试 ping 服务器 IP 地址，看是否能连通以及延迟如何 (ping yourserver.com)。
      • 使用 traceroute/tracert 命令查看网络路径，判断问题出在哪里。
      • 联系服务器管理员，检查服务器状态和负载。
      • 检查路径中的防火墙设备。

  5. 输入密码短语后仍提示 Permission denied:

    • 可能原因： 您输入的私钥密码短语不正确，或者私钥与服务器上的公钥不匹配。
    • 排查： 重新仔细输入密码短语。确认您使用的私钥 (~/.ssh/id_rsa 等) 是生成用于连接此服务器的公钥 (.pub 文件) 对应的私钥。

  6. 使用 -v 选项获取详细输出：
    当遇到连接问题时，使用 -v 或 -vv 或 -vvv 选项可以获得 SSH 客户端非常详细的连接过程输出，这对于诊断问题非常有帮助。
    bash
    ssh -v [email protected]
    仔细查看输出中的每一行，特别是关于认证过程 (Authenticating with..., Offered public key..., Authentication failed...) 和配置加载 (Reading configuration data...) 的信息，往往能找到问题所在。

七、SSH 的安全最佳实践

为了最大程度地保障您的服务器安全，请遵循以下 SSH 安全最佳实践：

  1. 优先并强制使用公钥身份验证： 这是比密码认证安全得多的方式。在确保公钥认证可用后，修改服务器的 SSH 配置文件 (/etc/ssh/sshd_config) 禁用密码认证 (PasswordAuthentication no)。
  2. 为您的私钥设置一个强密码短语： 增加一层保护，即使私钥文件泄露，没有密码短语也无法使用。
  3. 定期审查 ~/.ssh/authorized_keys 文件： 在服务器上定期检查这个文件，确保只包含您授权的公钥，删除不再需要的或不认识的公钥。
  4. 禁用 Root 用户直接 SSH 登录： 在服务器的 sshd_config 文件中设置 PermitRootLogin no。需要以 root 身份执行任务时，先以普通用户登录，再使用 su - 或 sudo 切换到 root。这减少了攻击者直接暴力破解 root 账户的风险。
  5. 更改默认的 SSH 端口： 将 SSH 服务从默认的 22 端口更改为其他不常用的端口（如 2222, 22022 等）。这并不能阻止有针对性的攻击，但可以显著减少来自互联网的自动化扫描和暴力破解尝试。修改 /etc/ssh/sshd_config 中的 Port 选项，并确保防火墙规则更新以允许新端口的流量。
  6. 限制可登录的用户： 在 sshd_config 中使用 AllowUsers 或 AllowGroups 选项，明确指定哪些用户或组被允许通过 SSH 登录。
  7. 使用 Fail2Ban 或类似的入侵检测系统： 这些工具可以监控 SSH 登录失败日志，并在检测到多次失败尝试后自动屏蔽恶意 IP 地址，有效抵御暴力破解攻击。
  8. 保持 SSH 软件更新： 及时更新服务器和客户端的 OpenSSH 软件包，以获取最新的安全补丁和功能。
  9. 了解并管理 ~/.ssh/known_hosts 文件： 当遇到主机密钥警告时，认真对待，确认原因。
  10. 限制 SSH Agent 转发的使用： 只在需要时或在信任的服务器上使用 -A 选项。

八、总结与展望

SSH 作为远程安全连接的核心工具，其重要性不言而喻。从基础的连接命令 ssh user@host 到复杂的端口转发和配置文件管理，掌握 SSH 的各种用法是现代技术人员必备的技能。

本文详细介绍了 SSH 的工作原理、身份验证方式（尤其是推荐的公钥认证）、多种实用的命令行选项、通过 ~/.ssh/config 文件简化配置，以及端口转发这一强大功能的应用。同时，我们也探讨了常见的连接问题和故障排除技巧，并强调了 SSH 的安全最佳实践，帮助您构建更安全的远程访问环境。

SSH 的功能远不止于此，还有如 scp（安全复制文件）、sftp（安全文件传输协议）等基于 SSH 协议的工具，它们提供了安全的文件传输能力，是远程文件管理的重要组成部分。

通过不断学习和实践，您将能够更加熟练和高效地使用 SSH，为您的服务器管理工作带来极大的便利和安全保障。记住，安全无小事，始终保持警惕并遵循最佳实践是确保远程连接安全的关键。

希望本文能够帮助您全面理解并自信地使用 SSH 命令连接服务器！

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部