1
1.查看服务是否运行
2
[root@backup ~]#systemctl status sshd
3
● sshd.service - OpenSSH server daemon
4
   Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; vendor preset: enabled)
5
   Active: active (running) since Sun 2026-01-25 09:59:57 CST; 1min 1s ago
6
# 如果不运行,我们就无法进行远程连接了
7
'服务名叫sshd,而不是ssh'
8
[root@backup ~]#netstat -lntup | grep 22
9
tcp  0  0 0.0.0.0:22  0.0.0.0:*  LISTEN  952/sshd: /usr/sbin
10
tcp6 0  0 :::22       :::*       LISTEN  952/sshd: /usr/sbin
11
# 过滤22端口
12

13
2.修改SSH服务内容
14
#配置文件位置/etc/ssh/sshd_config
15
'我们需要把这个端口改掉,因为大家都知道22端口是Linux远程服务器端口'
16
#我们这里改为别的,改为2222（四个2）,只要在1-65535,就可以随便改
17
[root@backup ~]#vim /etc/ssh/sshd_config
18
...
19
Port 2222
20
....
21

22
3.重启生效
23
[root@backup ~]#systemctl restart sshd
24

25
4.远程连接测试
26
[root@backup ~]#exit
27
logout
28
Connection closing...Socket close.
29
# 重新尝试再次连接22端口
30
[C:\~]$
31
Connecting to 10.0.0.41:22...
32
Could not connect to '10.0.0.41' (port 22): Connection failed
33
# 22端口连接失败
34
'xshell修改连接端口为2222'

1
# 安装telnet测试
2
1.安装
3
[root@backup ~]#yum -y install telnet-server
4
# 这里安装的是服务端,注意软件包的名称
5
2.启动服务
6
[root@backup ~]#systemctl start telnet.socket
7
# 以socket的方式来启动运行,tab键可以补全服务名
8
# 我们过滤一下端口进行验证
9
[root@backup ~]#ss -lntup | grep 23
10
tcp LISTEN 0  128  *:23  *:*  users:(("systemd",pid=1,fd=28))
11
3.客户端连接测试
12
[C:\~]$ telnet 10.0.0.41 23
13
'这里不指定端口就是23,Xshell中空格隔开端口号即可'
14
Connecting to 10.0.0.41:23...
15
Connection established
16
To escape to local shell, press 'Ctrl+Alt+]'.
17

18
Authorized users only. All activities may be monitored and reported.
19
backup login: root    # 41的用户名
20
Password:         # 41服务器root的密码 oldboy123.com
21
'Centos不让用root来进行登录,kylin可以用root,自己也可以创建一个用户来进行登录'

1
语法格式:
2
    ssh 用户名@主机
3
ssh   # 固定命令
4
用户名 # 指定用户名
5
# 在Linux远程登录Linux中,默认以当前登录系统的用户身份远程连接,和rsync相同
6
'当前登录用户是root,你没指定用户,ssh远程登录的时候就是root'
7
@     # 固定分隔符
8
主机   # IP地址、域名、主机名称
9

10

11
# 我们也可以Windows远程登录Linux服务器
12
案例1.windows连接linux  默认22端口
13
[C:\~]$
14
# 这里的盘符是什么东西？
15
为什么是C盘而不是D盘？
16
因为我的Xshell安装在C盘中
17
[C:\~]$ ssh 10.0.0.31      # 回车后,提示框输入用户名和密码
18
[C:\~]$ ssh root@10.0.0.31 # 指定远程连接用户
19
[C:\~]$ ssh 10.0.0.41 2222 # 指定端口号
20
'这里是空格隔开端口号,它并没有 -p 这个选项'
21

22
案例2.Linux连接Linux  默认root用户 端口22端口
23
[root@backup ~]#ssh 172.16.1.31
24
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes  # 输入yes
25
root@172.16.1.31's password:   # 输入root的密码'
26
# 默认以当前登录系统的用户身份远程连接
27
[root@nfs ~]#exit    # 成功进入到nfs
28
logout
29
Connection to 172.16.1.31 closed.
30
[root@backup ~]#    # 退出登录到backup
31
[root@backup ~]# ssh root@172.16.1.31    # 指定用户
32
-------------------------------
33
[root@nfs ~]#ssh 172.16.1.41 2222
34
ssh: connect to host 172.16.1.41 port 22: Connection refused
35
# 这里用nfs连接backup服务器,明明跟端口了,为啥还是连接的22？
36
# 需要有-p这个选项
37
[root@nfs ~]#ssh -p 2222 10.0.0.41      # 指定端口连接
38
'scp命令使用大写的P选项来指定端口'
39
'这里只有Linux连接Linux的时候,必须使用 -p 指定端口'
40
'Windows连接Linux并没有这个 -p 的这个选项,它用空格隔开'
41
---------------------------------
42

43
案例3.域名连接
44
[root@backup ~]#ssh linuxnc.com
45

46
案例4.主机名连接
47
[root@backup ~]#cat /etc/hosts
48
'这里一定要要做域名解析'
49
..........
50
172.16.1.31 nfs
51
#远程连接
52
[root@backup ~]#ssh root@nfs
53
[root@nfs ~]#exit       #连接到nfs服务器
54
logout
55
Connection to nfs closed.
56
[root@backup ~]#

1
远程执行命令
2
语法结构:
3
    ssh 172.16.1.31 "执行的命令"
4

5
案例1.远程在nfs那创建hehe.txt
6
[root@backup ~]#ssh root@172.16.1.31 'touch hehe.txt'
7
# 不需要登录过去,不指定路径,默认在家目录中创建
8

9
案例2.远程在nfs上执行停止nfs服务命令
10
[root@backup ~]#ssh root@172.16.1.31 'systemctl stop nfs'
11

12
案例3.使用oldboy用户远程执行命令
13
[root@nfs ~]#useradd oldboy
14
[root@nfs ~]#echo "heima123.com" | passwd --stdin oldboy
15
Changing password for user oldboy.
16
passwd: all authentication tokens updated successfully.
17
# 现在nfs上创建用户,并给一个密码
18
[root@backup ~]#ssh oldboy@172.16.1.31 "touch /etc/old.txt"
19
# 指定oldboy用户
20
touch: cannot touch '/etc/old.txt': Permission denied
21
# 权限拒绝
22
[root@backup ~]#ssh oldboy@172.16.1.31 "touch /home/oldboy/old.txt"
23
# 只有/home/oldboy目录才属于oldboy用户

1
第一步: 生成密钥对 、一路回车
2
[root@backup ~]#ssh-keygen
3
Generating public/private rsa key pair.
4
Enter file in which to save the key (/root/.ssh/id_rsa):
5
# 第一个回车是保存私钥文件路径,支持默认路径
6
Enter passphrase for "/root/.ssh/id_ed25519" (empty for no passphrase):
7
# 第二个回车是为私钥设置密码
8
# 如果留空（直接回车）,则私钥不设密码,后续使用时无需输入。
9
# 如果设置了密码,每次使用该私钥（如 ssh 登录或 scp 传输）时都需要输入这个密码
10
Enter same passphrase again:
11
# 第三个回车再次输入密码以确认
12
# 如果上一步留空（无密码）,这一步也留空即可
13
.....
14
Your identification has been saved in /root/.ssh/id_rsa  #私钥
15
Your public key has been saved in /root/.ssh/id_rsa.pub  #公钥
16
The key fingerprint is:
17
SHA256:WfTKKYAgrN+gTYcGjx/nYqwZ3eEUWrOiSKZkes4oUH4 root@backup
18
.......
19
查看生成的密钥对
20
[root@backup ~]#ll .ssh/
21
total 12
22
-rw------- 1 root root 2602 Dec  1 11:36 id_rsa      # 私钥
23
-rw-r--r-- 1 root root  565 Dec  1 11:36 id_rsa.pub    # 公钥
24

25
第二步: 将公钥拷贝到目标主机31
26
[root@backup ~]#ssh-copy-id 172.16.1.31
27
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
28
......
29
Authorized users only. All activities may be monitored and reported.
30
root@172.16.1.31's password: '
31
# 输入密码
32
.......
33

34
#查看目标主机的公钥
35
[root@nfs ~]#ll .ssh/
36
total 8
37
-rw------- 1 root root 565 Dec  1 11:39 authorized_keys
38
-rw-r--r-- 1 root root 358 Dec  1 11:21 known_hosts
39
[root@nfs ~]#cat /root/.ssh/authorized_keys
40
ssh-rsa ...wxl8NLQdCBq4C+mKj5xi6WfP51WAsY3j4PxdWEzY2FMcsl65FUw35a63dyq8= root@backup
41
# root@backup,这里面是backup的公钥
42
[root@nfs ~]#cat /root/.ssh/known_hosts
43
[172.16.1.41]:2222 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBDzMWMShH4Xtn5g5eglbU12VuxxrQQq6coiRREMcwhfeRzVBIMcItmecViimDqjdEH65P6RxDfFQ/QDi+9uxH00=
44
# known_hosts 确保你没连错服务器（防钓鱼）
45
# 如果清空,则你第一次连接目标主机(别的主机)需要输入yes验证
46
-------------
47
免秘钥流程
48
1)生成密钥对
49
ssh-keygen
50
2)拷贝公钥到目标主机
51
ssh-copy-id 10.0.0.7
52
3)远程连接
53
ssh 10.0.0.7
54
-----------------
55
第三步: 验证远程连接
56
[root@backup ~]#ssh 172.16.1.31    # 直接通过
57
[root@backup ~]#ssh 172.16.1.31 'touch s.txt'  # 直接通过
58
[root@backup ~]#scp /etc/hosts 172.16.1.31:~   # 直接通过

1
ssh-keygen -t rsa -b 4096 -f /root/.ssh/id_rsa_test -N ''
2

3
各参数说明：
4
-t rsa：指定密钥类型为 RSA（也可用 ed25519、ecdsa 等）
5
-b 4096：指定密钥长度（仅对 RSA 有效,通常用 4096）
6
-f /root/.ssh/id_rsa_test：指定私钥保存路径（公钥会自动命名为.pub后缀）
7
-N ''：指定私钥的密码为空（即不设密码）
8
# 如果要设密码,可写成 -N 'your_passphrase'
9
# 上面用的rsa密钥,但我们可以换一种密钥！Ed25519 密钥
10
'更推荐如下这个命令！'
11
ssh-keygen -t ed25519 -f ~/.ssh/my_key -N ''
12
'它比传统的密钥更加简练！'
13
（1）生成的密钥更加的短
14
（2）被官方推荐为默认密钥类型
15
（3）生成速度快,性能更好一点
16
# 较新的操作系统,推荐使用ed25519算法代替rsa算法,可以用较短的位数实现rsa较长位数的安全级别
17
# 但是有些老的系统,不一定支持所有的算法,可以使用rsa算法
18
------------------------------
19
'rocky远程登录OpenEuler'
20
（1）密钥对生成
21
[root@Rocky10 ~]# ssh-keygen -t rsa -b 4096 -f /root/.ssh/id_rsa_test -N ''
22
Generating public/private rsa key pair.
23
Your identification has been saved in /root/.ssh/id_rsa_test
24
Your public key has been saved in /root/.ssh/id_rsa_test.pub
25
The key fingerprint is:
26
SHA256:uGL9uE/+YCU9AYyu2v3QkbsBDd5z39cwYOYDTOnYVFQ root@Rocky10
27
The key's randomart image is:'
28
+---[RSA 4096]----+
29
|       o. .+o.E  |
30
|      . .+o      |
31
|     ..  =+ +    |
32
|     ..=.oo* .   |
33
|     .+ S = o o  |
34
|    .. + B o o o.|
35
|   oo.+ B   . . o|
36
|  .....B +     . |
37
|      o+*..      |
38
+----[SHA256]-----+
39
[root@Rocky10 ~]# ll ~/.ssh/
40
total 16
41
-rw-------. 1 root root 3381 Mar  7 11:17 id_rsa_test
42
-rw-r--r--. 1 root root  738 Mar  7 11:17 id_rsa_test.pub
43
# 一个私钥,一个公钥！
44

45
（2）公钥分发
46
[root@Rocky10 ~]# ssh-copy-id -i /root/.ssh/id_rsa_test.pub root@10.0.0.112
47
# -i: 指定公钥发送
48
...
49
Authorized users only. All activities may be monitored and reported.
50
root@10.0.0.112's password: '
51
# 因为没有配置免密连接,所以需要输入它的密码！
52
Number of key(s) added: 1
53
# 成功添加进去！
54
Now try logging into the machine, with: "ssh -i /root/.ssh/id_rsa_test 'root@10.0.0.112'"
55
# 看它的提示！你登录的时候也要-i指定私钥才行！
56

57
（3）免密测试验证
58
[root@Rocky10 ~]# ssh root@10.0.0.112
59
Authorized users only. All activities may be monitored and reported.
60
root@10.0.0.112's password: '
61
# 你发现,直接ssh登录还得输入密码！
62
'少选项了 -i指定私钥才行！'
63
[root@Rocky10 ~]# ssh -i /root/.ssh/id_rsa_test root@10.0.0.112
64
.....
65
[root@OpenEuler ~]#
66
# 免密登录成功！
67
[root@OpenEuler ~]# ll ~/.ssh/
68
total 4
69
-rw-------. 1 root root 738 Mar  7 11:24 authorized_keys
70
# rocky的公钥🔒存放在这里！
71

72
（4）优化
73
# 每次ssh远程登录都要-i指定私钥,太麻烦了！
74
[root@Rocky10 ~]# echo 'IdentityFile ~/.ssh/id_rsa_test' >>/etc/ssh/ssh_config
75
# 追加配置！默认使用我们这个私钥！
76
'ssh_config是客户端的配置文件'
77
# 用于我们ssh连接别人时候使用！！！
78
'后面我们改服务器的ssh配置的时候,通常修改/etc/ssh/sshd_config'
79
# 用于别人ssh连接我们的时候使用！！！
80
[root@Rocky10 ~]# grep IdentityFile /etc/ssh/ssh_config
81
#   IdentityFile ~/.ssh/id_rsa
82
#   IdentityFile ~/.ssh/id_dsa
83
#   IdentityFile ~/.ssh/id_ecdsa
84
#   IdentityFile ~/.ssh/id_ed25519
85
IdentityFile ~/.ssh/id_rsa_test
86
[root@Rocky10 ~]# systemctl restart sshd
87
# 修改配置文件后,别忘记重启服务！
88

89
（5）测试连接
90
[root@Rocky10 ~]# ssh 10.0.0.112
91
....
92
[root@OpenEuler ~]#
93
# 不用输入密码直接连接过来
94
'方便快捷！'

1
# 配置文件的修改/etc/ssh/sshd_config
2
'服务端配置！'
3
1.修改默认端口
4
Port 2222
5
# 默认是22、企业中建议修改
6

7
2.强制密钥认证
8
PubkeyAuthentication yes
9
PasswordAuthentication no
10
# 禁止密码验证登录
11

12
3.优化连接速度
13
GSSAPIAuthentication no
14
# 禁用GSSAPI加速连接
15
# 明确关闭后,跳过这一认证流程,直接进入常规认证（如 pubkey/password）,加快连接
16
UseDNS no
17
# kylin默认no centos是yes
18
# 禁止反向DNS解析
19
# 不做任何DNS查询,直接接受连接,显著提升首次登录速度
20

21
4.限制认证尝试和连接
22
MaxAuthTries 3
23
# 减少暴力破解机会
24
MaxSessions 10
25
# 限制并发会话
26
LoginGraceTime 60
27
# 缩短认证超时时间
28

29
5.用户访问控制
30
面试题 如何只允许某个IP地址连接服务器？
31
或者问 什么原因导致无法连接服务器？
32
1)来源IP地址不正确、没有在防火墙规则中
33
2)SSH配置文件中没有允许来源IP地址
34
[root@backup ~]#vim /etc/ssh/sshd_config
35
AllowUsers 11.22.33.44   # 公司公网IP地址
36
'只允许公司的公网IP连接服务器'  # 单个IP地址
37
AllowUsers root@10.0.0.31 root@10.0.0.1  # 允许多个IP地址访问
38
'多个IP地址,需要 用户名@IP 组合并用空格分隔'
39
DenyUsers 10.0.0.31   # 拒绝单个IP地址访问我的服务器
40
# 拒绝用的少！
41
'修改完配置文件后,别忘记重启服务'
42
systemctl restart sshd
43

44
# 案例
45
[root@backup ~]#grep "AllowUsers" /etc/ssh/sshd_config
46
AllowUsers 10.0.0.31
47
# backup服务器只允许我们10.0.0.31nfs连接,别的网络不能连接
48
[C:\~]$
49
Connecting to 10.0.0.41:22...
50
Authorized users only. All activities may be monitored and reported.
51
# 仅限授权用户使用
52
# Xshell登录不上,10.0.0.1登录
53
[root@backup ~]#grep "AllowUsers" /etc/ssh/sshd_config
54
AllowUsers root@10.0.0.31 root@10.0.0.1
55
# 这次Xshell就能登录上去了

1
'修改客户端配置!'
2
[root@Rocky10 ~]# vim /etc/ssh/ssh_config
3
# 也可以在~/.ssh/目录下自己创建config文件
4
'vim ~/.ssh/config'
5
...
6
HOST Open
7
  HOSTNAME 10.0.0.112
8
  User root
9
  Port 22
10
...
11
# 可以试着重启一下ssh服务！
12
[root@Rocky10 ~]# systemctl restart sshd
13
[root@Rocky10 ~]# ssh Open
14
# 我的这台OpenEuler的服务器！
15
Web console: https://OpenEuler:9090/ or https://10.0.0.112:9090/
16
....
17
System load:   1.56
18
Memory used:   7.6%
19
Swap used:   0%
20
Usage On:   7%
21
IP address:   10.0.0.112
22
Users online:   1
23
[root@OpenEuler ~]#
24
# 也是成功进来了！

1
ssh-agent（免密解锁密钥）
2
使用场景：
3
1）密钥有密码,想免密登录
4
# -N指定的有密码,后面每免密登录一次都需要输入密钥的密码,太麻烦了！
5
2）本地有很多对密钥对,登录必须要-i指定私钥才行
6

7
使用方法：
8
# Xshell远程终端需要手动启动,桌面中的终端自动启动
9
'这里面变量值和启动方式不同,有一点问题！下面有详细解决方法'
10
root@Rocky10:~# ps aux | grep ssh-agent
11
root 3746  0.0  0.0   8888  1824 ?  Ss   16:56   0:00 ssh-agent
12
# 就是这个ssh-agen进程
13
1)查看已缓存的密钥
14
root@Rocky10:~# ssh-add -l
15
4096 SHA256:uGL9uE/+YCU9AYyu2v3QkbsBDd5z39cwYOYDTOnYVFQ root@Rocky10 (RSA)
16
2)添加默认密钥 ~/.ssh/id_rsa
17
ssh-add
18
3)添加指定密钥
19
ssh-add ~/.ssh/my-key
20
'输入密码短语后,密钥存入内存'
21
4)ssh-add -D
22
# 删除所有密钥
23

24
核心功能：
25
`ssh-agent` 的本质是一个“解密的内存管家”
26
1)ssh-add把解密后的私钥加入内存容器后,再次连接服务器不必重复输入密码！
27
2)解密后的私钥没有落盘行为,只存在与Agent的内存
28
3)存在多个密钥对时,自动尝试所有已加载的私钥去匹配远程服务器,无需用户手动使用 `-i` 指定特定私钥
29
    '一次性解锁'      '后续免交互'
30
SSH 密钥───────► ssh-agent ───────► SSH 连接
31
(加密状态)       (内存缓存)
32

33

34
实践部分：
35
1)国产化Linux发行版：OpenEuler、kylin启动方式：
36
[root@web01 ~]#eval $(ssh-agent)
37
Agent pid 2391
38
[root@web01 ~]#ssh-agent
39
SSH_AUTH_SOCK=/tmp/ssh-B3oVYYxzwCbb/agent.3089; export SSH_AUTH_SOCK;
40
SSH_AGENT_PID=3090; export SSH_AGENT_PID;
41
echo Agent pid 3090;
42
[root@web01 ~]#ps aux | grep ssh-agent
43
root  2391  0.0  0.0   7128   544 ?   Ss   19:30   0:00 ssh-agent
44
root  3082  0.0  0.0   7128   548 ?   Ss   21:43   0:00 ssh-agent
45
root  3090  0.0  0.0   7128   548 ?   Ss   21:44   0:00 ssh-agent
46
[root@web01 ~]#echo $SSH_AUTH_SOCK
47
/tmp/ssh-5WdWb1f5ehz8/agent.2390
48
[root@web01 ~]#ssh-add -l
49
The agent has no identities.
50
[root@web01 ~]#ll ~/.ssh/
51
total 16
52
-rw------- 1 root root 832 Mar  9 19:04 authorized_keys
53
-rw-r--r-- 1 root root 344 Feb  8 20:13 known_hosts
54
-rw------- 1 root root 399 Mar  9 16:58 myed25519
55
-rw-r--r-- 1 root root  92 Mar  9 16:58 myed25519.pub
56
[root@web01 ~]#ssh-add ~/.ssh/myed25519
57
Identity added: /root/.ssh/myed25519 (root@web01)
58
# 把私钥加入进去！
59
[root@web01 ~]#ssh-add -l
60
256 SHA256:TcNYrb4Fs/PTHsWsUstsrLiwvrGyftTBpKn8j1xsZaU root@web01 (ED25519)
61
# 这样就可以看到了！
62

63
2)Rocky：它是Centos10的内核
64
# 所以启动起来比较麻烦！！
65
systemctl start --user ssh-agent.service
66
# 以systemd用户服务（user service）启动
67
export SSH_AUTH_SOCK=/run/user/0/ssh-agent.socket
68
# 设置必要的环境变量（如 SSH_AUTH_SOCK 或 SSH_AGENT_PID）
69
--------------------------------
70
[root@Rocky10 ~]# echo $SSH_AUTH_SOCK
71
/run/user/0/keyring/ssh
72
'桌面的变量'
73
SSH_AUTH_SOCK=/run/user/0/ssh-agent.socket
74
'终端手动设置的变量！'
75
1)❗如果SSH_AUTH_SOCK=/run/user/0/keyring/ssh,使用图形化激活的代理
76
2)❗如果SSH_AUTH_SOCK=/run/user/0/ssh-agent.socket 则使用ssh-agent.service服务对应的代理
77
📝当登陆图形化界面时,系统会自动注入变量：SSH_AUTH_SOCK=/run/user/0/keyring/ssh
78
图形化的变量,对应的进程命令是：/usr/bin/ssh-agent -D -a /run/user/0/keyring/ssh
79

80
对于命令行界面,默认没有SSH_AUTH_SOCK变量,当启用了进程/usr/bin/ssh-agent -D -a /run/user/0/ssh-agent.socket
81
需要通过SSH_AUTH_SOCK指定对应的ssh-agent.socket文件的位置,此变量如需在所有终端生效,可以在~/.bashrc文件中写入：
82
export SSH_AUTH_SOCK="$XDG_RUNTIME_DIR/ssh-agent.socket"
83
或着是
84
export SSH_AUTH_SOCK="${XDG_RUNTIME_DIR:-/run/user/$(id -u)}/ssh-agent.socket"
85
--------------------------------
86
[root@Rocky10 ~]# ll ~/.ssh/
87
total 24
88
-rw-------. 1 root root 3381 Mar  9 18:44 id_rsa_test
89
-rw-r--r--. 1 root root  738 Mar  9 18:44 id_rsa_test.pub
90
'第一次默认创建的！'
91
# 创建后,我就进行分发了公钥了
92
# 测试ssh可以免密登录上去
93
-rw-------. 1 root root  399 Mar  9 18:45 myed25519
94
-rw-r--r--. 1 root root   94 Mar  9 18:45 myed25519.pub
95
# 这里是两对密钥！
96
'然后我们再一次生成了一对密钥！'
97
# 再次进行拷贝的时候,它会默认把上次拷贝过去的密钥再次拷贝一遍！
98
'我们分发公钥的时候,也可以进行-i指定公钥的'
99
[root@Rocky10 ~]# ssh-copy-id -i ~/.ssh/myed25519.pub  10.0.0.7
100
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/myed25519.pub"
101
# 这个就是我们新生成的密钥对！-i指定公钥拷贝过去！
102
[root@Rocky10 ~]# ssh 10.0.0.7
103
Authorized users only. All activities may be monitored and reported.
104
root@10.0.0.7's password: '
105
'我们把两个密钥都拷贝过去了,然后还是需要输入密码！'
106
[root@web01 ~]#cat ~/.ssh/authorized_keys
107
# 切换到web01中
108
ssh-rsa AAAAB3NzaC1yc2EAA....== root@Rocky10
109
# rsa老长了！
110
ssh-ed25519 AAAAC3NzaC1lZ....86hHRl5V root@Rocky10
111
# 这个简短一点！
112
'web01中两个公钥都有！'
113
[root@Rocky10 ~]# ssh -i ~/.ssh/id_rsa_test 10.0.0.7
114
# 指定第一次的私钥！可以免密登录上去！
115
[root@Rocky10 ~]# ssh -i ~/.ssh/myed25519 10.0.0.7
116
# 指定第二次的私钥可以可以登录上去的！
117
# 就是比较麻烦,所以引出了ssh-agent
118
[root@web01 ~]#ps aux | grep ssh-agent | grep -v grep
119
'Xshell的终端中,默认是没有开启ssh-agent'
120
# 一个进程都没有！
121
[root@Rocky10 ~]# systemctl start --user ssh-agent.service
122
[root@Rocky10 ~]# ps aux | grep ssh-agent | grep -v grep
123
root 3746  0.0  0.1   8888  4092 ?  Ss   16:56   0:00 ssh-agent
124
# 手动启动！
125
[root@Rocky10 ~]# ssh-add -l
126
Could not open a connection to your authentication agent.
127
# 还是不能打开！
128
❗注：图形化环境有默认的SSH_AUTH_SOCK变量值,所有环境变量不一致,需要手动设置环境变量,以下命令临时设置
129
[root@Rocky10 ~]# export SSH_AUTH_SOCK=/run/user/0/ssh-agent.socket
130
[root@Rocky10 ~]# ssh-add -l
131
The agent has no identities.
132
'暂时没有托管的密钥'
133
[root@Rocky10 ~]# ssh-add ~/.ssh/id_rsa_test
134
Identity added: /root/.ssh/id_rsa_test (root@Rocky10)
135
[root@Rocky10 ~]# ssh-add ~/.ssh/myed25519
136
Identity added: /root/.ssh/myed25519 (root@Rocky10)
137
[root@Rocky10 ~]# ssh-add -l
138
4096 SHA256:Fryh+p6TyB/fEv3PRCCqGiS9YuL/AzQIiUnU7QVut2I root@Rocky10 (RSA)
139
# 这个是RSA,不推荐使用这个
140
256 SHA256:jyPGkYvl7jd8mSjW21fS2m8MwYj3zMm3lRXLRybjR0I root@Rocky10 (ED25519)
141
# 推荐使用这个！ED25519
142
再次远程连接测试！
143
[root@Rocky10 ~]# ssh 10.0.0.7
144
...'此时ssh-agent会选择与服务端配对的私钥进行连接：'
145
Last login: Mon Mar  9 19:09:47 2026 from 10.0.0.111
146
[root@web01 ~]#
147
# 这次即使没有指定密钥也是顺利登录上去了！
148

149
3)有密码的私钥！
150
[root@Rocky10 ~]# ssh-keygen -f ~/.ssh/key2 -t ed25519  -N '123456'
151
# -N给私钥设置密码！
152
[root@Rocky10 ~]# ssh-copy-id -i ~/.ssh/key2.pub 10.0.0.8
153
# 这次我们拷贝公钥给web02！
154
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/key2.pub"
155
# 它是有密码的私钥！
156
Now try logging into the machine, with: "ssh -i /root/.ssh/key2 '10.0.0.8'"
157
# 直接运行它提示的启动方式就行！
158
[root@Rocky10 ~]# ssh -i /root/.ssh/key2 '10.0.0.8'
159
# 远程连接尝试一下！
160
Authorized users only. All activities may be monitored and reported.
161
Enter passphrase for key '/root/.ssh/key2':
162
# 输入私钥的密码-N '123456'
163
...from 10.0.0.111 on ssh:notty
164
[root@web02 ~]#
165
# 也是成功登录到了web02中！
166
# 只是需要输入私钥的密码而已！
167
但还是觉得麻烦怎么办？？？
168
'ssh-agent'
169
[root@web02 ~]#exit
170
logout
171
Connection to 10.0.0.8 closed.
172
[root@Rocky10 ~]# ssh-add ~/.ssh/key2
173
Enter passphrase for /root/.ssh/key2:
174
# 输入私钥的密码
175
Identity added: /root/.ssh/key2 (root@Rocky10)
176
[root@Rocky10 ~]# ssh-add -L
177
# 查看被加入的私钥！
178
测试验证！
179
[root@Rocky10 ~]# ssh 10.0.0.8
180
[root@web02 ~]#exit
181
# 直接就登录进来了！无需输入私钥的密码！

1
[root@Rocky10 ~]# mkdir /test
2
[root@Rocky10 ~]# ssh-keygen -t ed25519 -f /test/myed25519 -N ''
3
Generating public/private ed25519 key pair.
4
Your identification has been saved in /test/myed25519
5
Your public key has been saved in /test/myed25519.pub
6
The key fingerprint is:
7
SHA256:9lRMTi5LqtsP9ytEku02k80Onjend+XUn6o7xbpkKkE root@Rocky10
8
The key's randomart image is:'
9
+--[ED25519 256]--+
10
|            o    |
11
|           *     |
12
|         oo =    |
13
|       Eooo+     |
14
|      . S+o+.   .|
15
|       + oO oo  +|
16
|      . o+oOo  o+|
17
|       + oB++ o.+|
18
|      . oo.*OB.. |
19
+----[SHA256]-----+
20
[root@Rocky10 ~]# ll /test/
21
total 8
22
-rw-------. 1 root root 399 Mar  9 21:06 myed25519
23
-rw-r--r--. 1 root root  94 Mar  9 21:06 myed25519.pub
24
# 文件权限是对的！
25
[root@Rocky10 ~]# ll -d /test/
26
drwxr-xr-x. 2 root root 44 Mar  9 21:06 /test/
27
# 目录权限有点大！
28
[root@Rocky10 ~]# ssh-copy-id -i /test/myed25519.pub 10.0.0.9
29
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/test/myed25519.pub"
30
The authenticity of host '10.0.0.9 (10.0.0.9)' can't be established.'
31
ED25519 key fingerprint is SHA256:uvRHkeRP2lLpymyd4ZuJcj+J2j2I5iUdnfo3GiLcFx4.
32
.......
33
Authorized users only. All activities may be monitored and reported.
34
root@10.0.0.9's password: '
35
.......
36
Number of key(s) added: 1
37
Now try logging into the machine, with: "ssh -i /test/myed25519 '10.0.0.9'"
38
# 我们试着连一下！
39
[root@Rocky10 ~]# ssh -i /test/myed25519 '10.0.0.9'
40
[root@web03 ~]#exit
41
# 这里目录权限虽然有点大,但是也是成功连上来了！
42
[root@Rocky10 ~]# chmod 777 /test/myed25519
43
[root@Rocky10 ~]# ll /test/
44
total 8
45
-rwxrwxrwx. 1 root root 399 Mar  9 21:06 myed25519
46
# 但是你把私钥权限放大,就不行了,无法免密连接！
47
[root@Rocky10 ~]# ssh -i /test/myed25519 '10.0.0.9'
48
Authorized users only. All activities may be monitored and reported.
49
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
50
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
51
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
52
Permissions 0777 for '/test/myed25519' are too open.
53
Load key "/test/myed25519": bad permissions
54
root@10.0.0.9's password: '
55
# 需要再次输入web03的密码才行！
56
[root@web03 ~]#ll ~/.ssh
57
total 4
58
-rw------- 1 root root 94 Mar  9 21:08 authorized_keys
59
# web03的这个文件也是,需要严格遵守这个权限！
60
[root@web03 ~]#chmod 777 ~/.ssh/authorized_keys
61
[root@web03 ~]#ll ~/.ssh
62
total 4
63
-rwxrwxrwx 1 root root 94 Mar  9 21:08 authorized_keys
64
# 改完之后,Rocky连不上去的！
65
[root@web03 ~]#chmod 700 ~/.ssh/authorized_keys

1
1.windows生成密钥对
2
xshell-->工具-->新建秘钥生成向导-->下一步-->属性-->公钥
3
ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAsdJN1awpt35mAxKeBgFx9bf0KKpen7AlcdpbS9T22uOWfVpKsaWjuOs/OzsfRpHcvhZy7TjSnpIJNPzpgkaeP0PgBZlYnE3HljL1zHbmJsyywKlQccrVq5MC9omBubqR3V5cGRSpkhtMzTr4vHuDO4kehKR/JylBCsvHRxRRtKa8RYOIc65i3eqEYAEZbqwQ6nkbNDByMQoXLpTZDwG//HLFeqUoQlQi8a01k7wfM0+PN8r4yhnAlFzhEqht9jOASDO4CEnwI35mnmEIaRvn/sVCJT4QjqjsQzcAII+GofXYUAa+aqxL9H2Y5keplOZG0BPyLepDilFuF5wD1uag4Q== rsa 2048-012626
4

5
2.将windows的公钥写入到目标服务器
6
[root@backup ~]#ll /root/.ssh/
7
total 12
8
-rw------- 1 root root 2590 Jan 26 18:47 id_rsa
9
-rw-r--r-- 1 root root  565 Jan 26 18:47 id_rsa.pub
10
-rw-r--r-- 1 root root  338 Jan 25 16:44 known_hosts
11
'认证文件不存在需要手动创建,权限必须为600'
12
[root@backup ~]#vim /root/.ssh/authorized_keys
13
[root@backup ~]#chmod 600 /root/.ssh/authorized_keys
14
[root@backup ~]#ll /root/.ssh/authorized_keys
15
-rw------- 1 root root 398 Jan 26 19:46 /root/.ssh/authorized_keys
16

17
3.Windows验证登录
18
[C:\~]$ ssh 172.16.1.41
19
# ssh登不上内网,我们得登录公网才行
20
[C:\~]$ ssh 10.0.0.41
21
# 输入用户名-->选择下面Public Key-->确定
22
# 直接连接进来,不使用密码
23

24
4.修改SSH禁止密码登录
25
[root@nfs ~]#sed -n '66p' /etc/ssh/sshd_config
26
PasswordAuthentication no
27

28
5.重启生效
29
[root@nfs ~]#systemctl restart sshd
30

31
6.Windows再次验证
32
'用户名密码那一栏都是灰色的,点不亮'

1
A、B、C、D
2
四个机子！四个用户！
3
'需要提前关闭防火墙和SELINUX'
4

5
1)用户的创建的密码赋值
6
[root@lb02 ~]#hostname -I
7
10.0.0.6 172.16.1.6
8
[root@lb02 ~]#hostnamectl set-hostname A
9
useradd userA
10
echo redhat123.com | passwd --stdin userA
11

12

13
hostnamectl set-hostname B
14
useradd userB
15
echo redhat123.com | passwd --stdin userB
16

17

18
hostnamectl set-hostname C
19
useradd userC
20
echo redhat123.com | passwd --stdin userC
21

22

23
hostnamectl set-hostname D
24
useradd userD
25
echo redhat123.com | passwd --stdin userD
26

27

28
2)隐藏目录的创建和公钥文件的创建！
29
B:
30
mkdir /home/userB/.ssh/
31
touch /home/userB/.ssh/authorized_keys
32
chmod 700 /home/userB/.ssh/
33
chmod 600 /home/userB/.ssh/authorized_keys
34
chown -R userB:userB /home/userB/.ssh/
35

36
C:
37
mkdir /home/userC/.ssh/
38
touch /home/userC/.ssh/authorized_keys
39
chmod 700 /home/userC/.ssh/
40
chmod 600 /home/userC/.ssh/authorized_keys
41
chown -R userC:userC /home/userC/.ssh/
42

43
D:
44
mkdir /home/userD/.ssh/
45
touch /home/userD/.ssh/authorized_keys
46
chmod 700 /home/userD/.ssh/
47
chmod 600 /home/userD/.ssh/authorized_keys
48
chown -R userD:userD /home/userD/.ssh/
49

50
3)A密钥对的生成
51
[root@A ~]#su - userA
52
'需要userA执行'
53
[userA@A ~]$ssh-keygen -t ed25519 -f ~/.ssh/keyA -N ''
54
Generating public/private ed25519 key pair.
55
Created directory '/home/userA/.ssh'.
56
Your identification has been saved in /home/userA/.ssh/keyA
57
Your public key has been saved in /home/userA/.ssh/keyA.pub
58
The key fingerprint is:
59
SHA256:yhA68kvhwx6pRr+LRdTeD8jdZWY2rMnvE+kP/VHrwZQ userA@A
60
The key's randomart image is:'
61
+--[ED25519 256]--+
62
|                 |
63
|    .     .      |
64
|   ...     O     |
65
|  ..o.+ o O .   .|
66
|. +..+ +S=  .  E.|
67
| *.+ o .o .o. o o|
68
|. X.  o  ..o.. = |
69
| =o=      .o. o o|
70
|o.ooo      .o. o |
71
+----[SHA256]-----+
72
[userA@A ~]$cat ~/.ssh/keyA.pub
73
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAILgjjgCciYSn/vc3CsR1CcbMEweZ6538RCvH6xsYjhy6 userA@A
74

75
4)公钥的分发！
76
echo ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAILgjjgCciYSn/vc3CsR1CcbMEweZ6538RCvH6xsYjhy6 userA@A > ~/.ssh/authorized_keys
77
[root@B ~]#su - userB
78
[userB@B ~]$echo ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAILgjjgCciYSn/vc3CsR1CcbMEweZ6538RCvH6xsYjhy6 userA@A > ~/.ssh/authorized_keys
79
[root@C ~]#su - userC
80
[userC@C ~]$echo ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAILgjjgCciYSn/vc3CsR1CcbMEweZ6538RCvH6xsYjhy6 userA@A > ~/.ssh/authorized_keys
81
[root@D ~]#su - userD
82
[userD@D ~]$echo ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAILgjjgCciYSn/vc3CsR1CcbMEweZ6538RCvH6xsYjhy6 userA@A > ~/.ssh/authorized_keys
83

84
4)客户端配置文件的创建！
85
[userA@A ~]$vim ~/.ssh/config
86
Host B
87
    HostName 172.16.1.9
88
    User userB
89
    Port 22
90
    IdentityFile ~/.ssh/keyA
91

92
Host C
93
    HostName 172.16.1.52
94
    User userC
95
    Port 22
96
    IdentityFile ~/.ssh/keyA
97
    ProxyJump B
98

99
Host D
100
    HostName 172.16.1.53
101
    User userD
102
    Port 22
103
    IdentityFile ~/.ssh/keyA
104
    ProxyJump C

1
刚开始还是登录不上？？？
2
改了一下配置文件的权限！
3
[userA@A .ssh]$chmod 600 config
4
[userA@A .ssh]$ll
5
total 16
6
-rw------- 1 userA userA 297 Mar 10 19:48 config
7
-rw------- 1 userA userA 399 Mar 10 19:41 keyA
8
-rw-r--r-- 1 userA userA  89 Mar 10 19:41 keyA.pub
9
-rw-r--r-- 1 userA userA 518 Mar 10 20:18 known_hosts
10

11
[userA@A .ssh]ssh C
12
Authorized users only. All activities may be monitored and reported.
13
❌️ channel 0: open failed: administratively prohibited: open failed
14
❌️ stdio forwarding failed
15
❌️ kex_exchange_identification: Connection closed by remote host
16
！！！报错！！
17
.....

1
[userA@A .ssh]$ssh D
2

3
Authorized users only. All activities may be monitored and reported.
4

5
Authorized users only. All activities may be monitored and reported.
6

7
Authorized users only. All activities may be monitored and reported.
8
                                 |\    /|
9
                              ___| \,,/_/
10
                           ---__/ \/    \
11
                          __--/     (D)  \
12
                          _ -/    (_      \
13
                         // /       \_ /  -\
14
   __-------_____--___--/           / \_ O o)
15
  /                                 /   \__/
16
 /                                 /
17
||          )                   \_/\
18
||         /              _      /  |
19
| |      /--______      ___\    /\  :
20
| /   __-  - _/   ------    |  |   \ \
21
 |   -  -   /                | |     \ )
22
 |  |   -  |                 | )     | |
23
  | |    | |                 | |    | |
24
  | |    < |                 | |   |_/
25
  < |    /__\                <  \
26
  /__\                       /___\
27
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
28
    奔腾如骏  稳如磐石
29
  系统常青  永不死机
30
Activate the web console with: systemctl enable --now cockpit.socket
31

32
Last login: Tue Mar 10 20:18:03 2026 from 172.16.1.52
33
[userD@D ~]$exit
34
logout
35
Connection to 172.16.1.53 closed.