SSH 密钥轮转与安全配置：守护你的服务器

在每天频繁登录远程服务器的过程中，你是否遇到过“密钥泄露”或“忘记服务器地址”的窘境？本文将手把手教你建立一套完整的 SSH 密钥轮转与安全配置体系，让远程协作既安全又高效。

为什么要做密钥轮转？

风险场景：

员工离职但未及时禁用其 SSH 密钥
笔记本电脑被盗，密钥未启用加密保护
密钥在多个渠道泄露（GitHub 公开仓库、IM 工具传输）

轮转频率建议：每 90 天轮换一次；如果团队成员变动频繁，可缩短至 30 天。

完整操作流程

第一步：生成新型密钥（推荐 Ed25519）

# 生成 Ed25519 密钥（更安全、更小）
ssh-keygen -t ed25519 -C "your-email@example.com"

# 设置强密码保护私钥
# 建议：12 字符以上，含大小写+数字+符号

关键点：Ed25519 比 RSA 更安全且性能更好，密钥长度仅 256 位，但安全强度等效于 3072 位 RSA。

第二步：部署公钥到服务器

# 自动部署（推荐）
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

# 手动方式（备用）
cat ~/.ssh/id_ed25519.pub | ssh user@server "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

第三步：配置 .ssh/config 文件

# 添加 ~/.ssh/config
Host production
    HostName 192.168.1.100
    User deploy
    IdentityFile ~/.ssh/id_ed25519_prod
    IdentityFile ~/.ssh/id_ed25519_personal

Host staging
    HostName 10.0.0.50
    User deploy
    IdentityFile ~/.ssh/id_ed25519_staging
    ForwardAgent yes  # 注意：生产环境建议关闭

清单：

每个服务器对应独立密钥对
生产环境关闭 ForwardAgent
设置合理的文件权限（600 私钥，644 公钥）

何时不应使用此方法？

临时测试环境：使用临时密钥，无需持久化配置
公共服务器：如 GitHub、云厂商控制台，使用 OAuth/云密钥而非 SSH
无服务器权限：只能使用 API 密钥或浏览器凭证

轮转检查清单

每次轮转时执行：

步骤	命令
生成新密钥	`ssh-keygen -t ed25519 -C "rotated-$(date +%Y%m%d)"`
验证新密钥可登录	`ssh -i ~/.ssh/id_ed25519_new user@server "echo ok"`
部署新公钥	`ssh-copy-id -i ~/.ssh/id_ed25519_new user@server`
禁用旧密钥	从 authorized_keys 中移除旧公钥
更新本地 config	更新 .ssh/config 指向新密钥
记录轮转日志	保存轮转日期和服务器清单

常见陷阱

忘记关闭旧密钥：轮转后旧密钥仍可从旧设备登录，必须明确移除
密钥权限过松：私钥权限需 600，否则 SSH 会拒绝使用
混合使用 RSA 和 Ed25519：建议统一技术栈，避免兼容性问题
ForwardAgent 滥用：远程服务器可借此访问其他主机，生产环境务必关闭

摘要：建立一套“生成→部署→验证→轮转”的闭环流程，让 SSH 安全不再是被动防御，而是日常运维的主动标准。