SSH（安全外壳协议）

SSH（Secure Shell，安全外壳协议）是一种加密网络协议，用于在不受信任的网络环境中安全地远程登录另一台计算机并执行命令，是管理 Linux 服务器的标准方式。

概述

在 SSH 出现之前，人们常用 Telnet、rlogin 等明文协议远程管理主机，账号密码和操作内容在网络上以明文传输，很容易被中途窃听。SSH 的设计初衷就是解决这一问题：客户端与服务器建立连接时会先协商加密算法并交换密钥，之后的所有通信内容——包括登录凭据、命令和输出——都在加密通道中传输，第三方即使截获数据包也无法读取内容。

SSH 采用客户端-服务器架构，服务器端运行 SSH 守护进程（常见实现为 OpenSSH 的 sshd），默认监听 22 端口；用户在本地通过 ssh 命令或图形客户端（如 PuTTY、Xshell、Termius）发起连接。目前广泛使用的是 SSH-2 版本协议，早期的 SSH-1 因存在安全缺陷已被淘汰。

核心功能

• 远程登录与命令执行：连接服务器后获得一个加密的命令行终端，可像操作本机一样管理远程主机。
• 密钥认证：除密码外，支持公钥/私钥对认证，安全性更高，也便于自动化脚本免密登录。
• 安全文件传输：衍生出 SCP 和 SFTP，可在加密通道中上传下载文件。
• 端口转发（隧道）：能把本地或远程端口的流量封装进 SSH 加密通道，常用于访问内网服务或临时加密其他协议。
• 主机指纹校验：首次连接时核对服务器指纹，防止中间人冒充目标主机。

安全建议

SSH 服务暴露在公网时常被扫描和暴力破解。常见的加固做法包括：改用密钥登录并禁用密码认证、禁止 root 直接登录、修改默认的 22 端口、配合防火墙限制来源 IP，以及使用 fail2ban 等工具自动封禁多次失败的登录尝试。

常见问题

问：SSH 和 Telnet 有什么区别？答：两者都能远程登录主机，但 Telnet 全程明文传输，密码和操作内容可被窃听；SSH 全程加密，安全性远高于 Telnet，现已基本取代后者。

问：密码登录和密钥登录哪个更安全？答：密钥登录更安全。私钥长度远超普通密码，几乎无法暴力破解，且私钥只保存在本地不经网络传输，建议服务器配置密钥后关闭密码登录。

问：SSH 默认端口是多少，要不要修改？答：默认是 22 端口。修改成不常用端口可以显著减少自动化扫描和暴力破解的骚扰，但它只是辅助手段，核心仍是用密钥认证并做好防火墙策略。