05 · SSH 加固与登录审计

目标：把 SSH 配成"攻不破的门"，并学会查"谁进来过"。
你的服务器在这块做得很好——这篇会讲清"为什么好"，以及怎么复制到新机器。

一、SSH 是怎么工作的（先懂原理）

你的电脑                                  服务器
  │                                         │
  │  ① 建立 TCP 连接（端口 22528）            │
  │ ───────────────────────────────────────→ │
  │                                         │
  │  ② 服务器出示"主机公钥"（host key）        │
  │ ←─────────────────────────────────────── │
  │  ③ 你确认这是不是我要连的机器              │
  │     （首次连接时那个 yes/no 提示）         │
  │                                         │
  │  ④ 认证：两种方式                         │
  │     A. 密码登录（密码在网络上传）          │
  │     B. 密钥登录（用私钥做数学签名）⭐      │
  │ ───────────────────────────────────────→ │
  │                                         │
  │  ⑤ 通过 → 给你一个 shell                  │

为什么密钥登录更安全？

你的服务器 passwordauthentication no —— 这意味着密码爆破在理论上不可能成功。
这是整台服务器最重要的一道防线。

二、生成与管理密钥

2.1 在自己电脑上生成密钥对

# 推荐：ed25519（更短更安全更快）
ssh-keygen -t ed25519 -C "alpha@laptop"

# 或者 RSA 4096（兼容性最好）
ssh-keygen -t rsa -b 4096 -C "alpha@laptop"

交互过程：

Generating public/private ed25519 key pair.
Enter file in which to save the key (