SSH 密钥轮转与安全配置：守护你的服务器

在每天频繁登录远程服务器的过程中，你是否遇到过“密钥泄露”或“忘记服务器地址”的窘境？本文将手把手教你建立一套完整的 SSH 密钥轮转与安全配置体系，让远程协作既安全又高效。

为什么要做密钥轮转？

**风险场景**：

- 员工离职但未及时禁用其 SSH 密钥

- 笔记本电脑被盗，密钥未启用加密保护

- 密钥在多个渠道泄露（GitHub 公开仓库、IM 工具传输）

**轮转频率建议**：每 90 天轮换一次；如果团队成员变动频繁，可缩短至 30 天。

完整操作流程

第一步：生成新型密钥（推荐 Ed25519）

# 生成 Ed25519 密钥（更安全、更小）
ssh-keygen -t ed25519 -C "your-email@example.com"

# 设置强密码保护私钥
# 建议：12 字符以上，含大小写+数字+符号

**关键点**：Ed25519 比 RSA 更安全且性能更好，密钥长度仅 256 位，但安全强度等效于 3072 位 RSA。

第二步：部署公钥到服务器

# 自动部署（推荐）
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

# 手动方式（备用）
cat ~/.ssh/id_ed25519.pub | ssh user@server "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

第三步：配置 .ssh/config 文件

# 添加 ~/.ssh/config
Host production
    HostName 192.168.1.100
    User deploy
    IdentityFile ~/.ssh/id_ed25519_prod
    IdentityFile ~/.ssh/id_ed25519_personal

Host staging
    HostName 10.0.0.50
    User deploy
    IdentityFile ~/.ssh/id_ed25519_staging
    ForwardAgent yes  # 注意：生产环境建议关闭

**清单**：

- [ ] 每个服务器对应独立密钥对

- [ ] 生产环境关闭 ForwardAgent

- [ ] 设置合理的文件权限（600 私钥，644 公钥）

何时不应使用此方法？

1. **临时测试环境**：使用临时密钥，无需持久化配置

2. **公共服务器**：如 GitHub、云厂商控制台，使用 OAuth/云密钥而非 SSH

3. **无服务器权限**：只能使用 API 密钥或浏览器凭证

轮转检查清单

每次轮转时执行：

| 步骤 | 命令 |

|------|------|

| 生成新密钥 | `ssh-keygen -t ed25519 -C "rotated-$(date +%Y%m%d)"` |

| 验证新密钥可登录 | `ssh -i ~/.ssh/id_ed25519_new user@server "echo ok"` |

| 部署新公钥 | `ssh-copy-id -i ~/.ssh/id_ed25519_new user@server` |

| 禁用旧密钥 | 从 authorized_keys 中移除旧公钥 |

| 更新本地 config | 更新 .ssh/config 指向新密钥 |

| 记录轮转日志 | 保存轮转日期和服务器清单 |

常见陷阱

- **忘记关闭旧密钥**：轮转后旧密钥仍可从旧设备登录，必须明确移除

- **密钥权限过松**：私钥权限需 600，否则 SSH 会拒绝使用

- **混合使用 RSA 和 Ed25519**：建议统一技术栈，避免兼容性问题

- **ForwardAgent 滥用**：远程服务器可借此访问其他主机，生产环境务必关闭

---

**摘要**：建立一套“生成→部署→验证→轮转”的闭环流程，让 SSH 安全不再是被动防御，而是日常运维的主动标准。