1. 项目概述为什么我们需要告别密码登录如果你还在用“用户名密码”的方式登录你的阿里云或腾讯云服务器那就像是用一把生锈的挂锁守护你的金库。每次登录密码在网络中传输都伴随着被截获的风险。尤其是在自动化脚本、CI/CD流水线或日常频繁运维的场景下手动输入密码不仅效率低下更是安全上的巨大隐患。SSH密钥对登录正是解决这个痛点的标准答案。它基于非对称加密原理彻底摒弃了密码传输。简单来说你本地生成一对密钥一把私钥绝对保密存于本地一把公钥可以公开放到服务器上。登录时服务器用你预留的公钥出一道“数学题”只有持有对应私钥的你才能解出答案从而证明身份。整个过程私钥从未离开你的电脑从根本上杜绝了密码泄露和暴力破解的风险。而WindTerm作为一款功能强大且免费的终端工具其对SSH协议的原生支持和优秀的密钥管理功能让它成为连接云服务器的绝佳搭档。今天我就以一个运维老手的视角带你从零开始在WindTerm中生成密钥对并正确配置到阿里云和腾讯云服务器上实现真正的一键安全登录。这个流程不仅适用于个人开发者对于团队统一管理服务器访问权限同样具有极高的参考价值。2. 核心原理与准备工作理解密钥对的“锁与钥匙”在动手之前我们必须把核心原理吃透这能帮你避开后面90%的坑。SSH密钥认证不是魔法其安全性完全建立在非对称加密的数学基础之上。2.1 非对称加密公钥与私钥的角色想象一下你有一把特殊的锁公钥和唯一能打开它的钥匙私钥。这把锁的设计非常巧妙任何人拿到它都可以把门锁上加密数据但一旦锁上只有你那把唯一的钥匙才能打开解密数据。在SSH登录场景中公钥 (Public Key)就是这把“锁”。它的内容是一长串字符通常以ssh-rsa AAAAB3...或ecdsa-sha2-nistp256 AAAAE2...开头。你可以把它放在任何需要的地方比如服务器的~/.ssh/authorized_keys文件里完全公开也没有关系。私钥 (Private Key)就是那把“唯一的钥匙”。它通常保存在你本地电脑的~/.ssh/目录下文件名可能是id_rsa,id_ecdsa,ed25519等。你必须像保护银行卡密码一样保护它绝不能泄露给任何人。私钥文件本身也常常通过一个“密码短语”进行二次加密即使文件被盗没有密码短语也无法使用。登录时服务器用你事先放置的公钥加密一个随机生成的挑战消息发送给你的客户端。你的WindTerm使用本地私钥解密这个消息并将结果发回服务器。服务器验证解密结果正确即确认了你拥有对应的私钥从而允许登录。全程无需传输密码。2.2 工具与环境准备工欲善其事必先利其器。开始前请确保你已准备好以下环境WindTerm安装前往WindTerm的GitHub发布页或官网下载最新版本。它是一款绿色软件解压即可运行兼容Windows、macOS和Linux。云服务器实例确保你拥有一台正在运行的阿里云ECS或腾讯云CVM实例并知道其公网IP地址。同时你需要拥有一个可以通过密码登录的初始账户通常是root或ubuntu,centos等系统用户。基础网络连通性确保你的本地网络可以访问云服务器的22端口SSH默认端口。你可以通过ping 你的服务器IP和telnet 你的服务器IP 22或使用nc -zv 你的服务器IP 22来测试。注意在配置密钥登录的整个过程中请务必保持一个可用的密码登录SSH会话窗口处于打开状态。这是你的“救命通道”万一密钥配置出错导致无法登录你还可以通过密码连接上去进行修复。3. 在WindTerm中生成与管理SSH密钥对WindTerm内置了便捷的密钥生成和管理器这比使用命令行ssh-keygen对新手更为友好。3.1 生成新的密钥对打开WindTerm按照以下步骤操作点击顶部菜单栏的Session-Authentication-Manage Public Keys...。这会打开密钥管理对话框。在管理对话框中点击Generate按钮。这时会弹出密钥生成向导你需要关注几个关键参数Key Type (密钥类型)这是最重要的选择。目前主流且推荐的有两种ed25519当前最安全、性能最好的算法。它生成的密钥更短签名速度更快且安全性被认为高于相同长度的RSA。如果你的WindTerm和服务器OpenSSH版本都较新一般近5年内的系统都支持无脑选这个。RSA历史最悠久兼容性最好。如果服务器系统版本非常老旧比如CentOS 6可能只支持RSA。密钥长度建议选择4096 bits2048位已逐渐被认为不够安全。Key Size (密钥长度)选择ed25519时长度固定。选择RSA时请务必选择4096。Comment (注释)这里可以填写一个标识比如your_emailexample.com或my-aws-ec2。这个注释会附在公钥末尾帮助你区分不同的密钥。Passphrase (密码短语)强烈建议设置这为你的私钥加上了一层密码保护。即使私钥文件不慎泄露对方没有密码短语也无法使用。请设置一个强密码并牢记。点击GenerateWindTerm会开始生成密钥。过程中你可能会被要求随机移动鼠标以生成随机数熵这是正常的安全操作。生成完成后WindTerm会显示你的公钥内容。请务必点击Save public key和Save private key将它们保存到你指定的安全目录例如D:\ssh_keys\。建议使用有意义的文件名如my_aliyun_ed25519和my_aliyun_ed25519.pub。3.2 密钥的保存与备份策略私钥的安全就是服务器安全的第一道防线。请遵循以下最佳实践本地存储将私钥保存在你的个人电脑上并确保其文件权限设置为仅当前用户可读。在Linux/macOS上可以通过chmod 600 ~/.ssh/id_ed25519命令实现。绝不传输永远不要通过电子邮件、即时通讯工具或任何不加密的通道发送你的私钥文件。安全备份将加密后的私钥文件以及密码短语备份到安全的离线存储介质如加密的U盘或硬件密码管理器。公钥则无需保密可以随意备份。一机一钥对于不同的服务器或服务器组建议使用不同的密钥对。这样即使某一台服务器的密钥泄露也不会危及其他服务器。4. 将公钥部署到阿里云与腾讯云服务器生成密钥对后下一步就是将公钥“安装”到你的服务器上。有两种主流方法通过云平台控制台注入或通过SSH命令手动上传。我强烈推荐第一种方法因为它更规范且能被云平台的服务如控制台登录、云助手等识别。4.1 方法一通过云平台控制台注入推荐这种方法将公钥作为云服务器的“登录凭证”进行管理与服务器实例元数据绑定更加清晰和安全。对于阿里云ECS登录阿里云控制台进入ECS实例列表。找到目标实例在“操作”列中点击“更多” - “密码和密钥” - “重置实例密码”。别被名字迷惑这里同样管理密钥。在弹出的侧边栏中切换到“SSH密钥对”标签页。点击“创建或导入密钥对”。如果你是第一次使用可以选择“创建密钥对”阿里云会帮你生成并让你下载私钥格式为.pem。但我们已经用WindTerm生成了所以这里选择“导入密钥对”。在“导入密钥对”对话框中为密钥对起个名字如windterm-key然后将WindTerm生成的公钥文件.pub文件的全部内容复制粘贴到“公钥内容”文本框里。点击“确定”导入。导入成功后在实例的“密钥对”列表里点击“绑定密钥对”选择你刚导入的密钥对并确认绑定。绑定后你需要重启ECS实例新的密钥才会生效。重启可以通过控制台操作。对于腾讯云CVM登录腾讯云控制台进入CVM实例列表。点击目标实例的ID/名称进入实例详情页。在左侧导航栏点击“密钥”。点击“创建密钥”。同样选择“使用已有公钥”。为密钥命名如windterm-key将WindTerm生成的公钥内容粘贴到“公钥”字段中。点击“确定”创建。创建成功后在密钥列表中找到该密钥点击右侧的“绑定/解绑”在弹出的窗口中选择你的目标CVM实例点击“确定”进行绑定。与阿里云不同腾讯云绑定密钥后通常需要关机再开机控制台操作才能使密钥登录生效。注意是“关机-开机”不是“重启”因为重启可能不会重新加载密钥元数据。实操心得通过控制台绑定密钥后系统会自动帮你将公钥写入服务器内指定用户的~/.ssh/authorized_keys文件。在阿里云中默认用户是root在腾讯云中取决于你创建实例时选择的镜像如Ubuntu镜像是ubuntu用户。这是最省心、最不易出错的方式。4.2 方法二通过SSH命令手动上传备用方案如果控制台操作不便或者你需要将密钥部署给非默认用户例如新建的deploy用户可以使用此方法。首先确保你已经能用密码通过WindTerm或其它终端登录到服务器。在WindTerm中打开你保存公钥的.pub文件复制其全部内容。在已连接的服务器终端中执行以下命令序列# 1. 确保 .ssh 目录存在并设置正确的权限 mkdir -p ~/.ssh chmod 700 ~/.ssh # 2. 将公钥追加到 authorized_keys 文件 echo “你复制的公钥内容” ~/.ssh/authorized_keys # 3. 设置 authorized_keys 文件的权限至关重要 chmod 600 ~/.ssh/authorized_keys这里有一个巨坑~/.ssh目录的权限必须是700(drwx------)authorized_keys文件的权限必须是600(-rw-------)。如果权限设置不对OpenSSH出于安全考虑会直接拒绝使用密钥登录你会遇到“Permission denied (publickey)”的错误而百思不得其解。5. 在WindTerm中配置会话使用密钥登录公钥部署到服务器后我们需要告诉WindTerm在连接这个服务器时使用我们刚生成的私钥。在WindTerm主界面点击Session-New Session或者点击工具栏的“新建会话”图标。在新建会话对话框中选择SSH协议。在Host字段填写你的服务器公网IP地址。Port保持默认的22如果你修改过SSH端口请填写修改后的端口。最关键的一步在Authentication部分将方法从默认的Password改为Public Key。点击Public Key下拉框右侧的文件夹图标浏览并选择你之前保存的私钥文件例如my_aliyun_ed25519注意没有.pub后缀。如果你的私钥设置了密码短语Passphrase在Passphrase字段输入它。在User字段填写用户名。这需要与你部署公钥时对应的用户名一致通过阿里云控制台绑定默认用户是root。通过腾讯云控制台绑定Ubuntu系统是ubuntuCentOS系统是root或centos具体看镜像说明。通过手动命令上传就是你执行命令时所在的用户。你可以给这个会话起个名字如阿里云生产服务器然后点击Connect。如果一切配置正确WindTerm将直接连接服务器无需输入密码。首次连接时会询问你是否信任主机密钥点击“Accept Save”即可。6. 强化安全禁用密码登录与更改SSH端口实现密钥一键登录后密码登录就变成了一个安全隐患入口。我们应该关闭它。同时修改默认的SSH端口22可以避开互联网上大量的自动化扫描和爆破攻击。警告在进行以下操作前请务必确保你的密钥登录已经100%测试成功并且保持一个可用的密码登录会话窗口打开以备出错时恢复。6.1 禁用SSH密码登录通过密钥登录到服务器然后编辑SSH服务端配置文件sudo vim /etc/ssh/sshd_config找到以下两行并将其值修改为no# 禁止使用密码认证 PasswordAuthentication no # 禁止空密码登录通常默认就是no PermitEmptyPasswords no # 如果你使用的是较新版本的OpenSSH可能还需要关注这个选项确保其为默认的 prohibit-password 或 no # PubkeyAuthentication yes # 这一行确保是 yes默认就是6.2 修改SSH默认端口在同一个/etc/ssh/sshd_config文件中找到#Port 22这一行。去掉开头的注释#并将22改为一个1024到65535之间、未被系统其他服务占用的端口号例如5922。Port 59226.3 应用配置并重启服务修改完成后保存文件并退出编辑器。然后重启SSH服务以使配置生效对于使用systemd的系统如CentOS 7, Ubuntu 16.04sudo systemctl restart sshd # 或者 sudo systemctl restart ssh对于使用SysV init的系统如CentOS 6sudo service sshd restart重启服务后立即用新的端口和密钥在WindTerm中测试连接而不要关闭当前的密码登录会话在WindTerm中新建或编辑会话将Port从22改为你设置的端口如5922然后尝试连接。如果连接成功说明配置正确。此时你再可以关闭旧的密码登录会话。重要注意事项防火墙修改端口后务必在云服务器的安全组阿里云/腾讯云控制台和服务器内部的防火墙如firewalld或ufw中放行你新设置的SSH端口同时可以考虑禁止22端口的入站流量。SELinux如果你使用的是CentOS/RHEL系统并启用了SELinux修改SSH端口后需要更新SELinux策略sudo semanage port -a -t ssh_port_t -p tcp 你的新端口号。连接命令以后在命令行中使用ssh连接时需要指定端口ssh -p 5922 userserver_ip。7. 常见问题与故障排查实录即使按照步骤操作你也可能会遇到一些问题。下面是我在多年运维中总结的常见“坑位”和解决方法。7.1 连接失败Permission denied (publickey)这是最常见的问题。意味着服务器拒绝了你的密钥认证。请按以下顺序排查私钥路径或密码短语错误在WindTerm会话设置中双击检查私钥文件路径是否正确密码短语是否输入无误注意大小写。用户名错误确认WindTerm中配置的用户名与服务器上存放公钥的~/.ssh/authorized_keys文件所属用户是同一个。服务器公钥未生效控制台绑定方式确认是否执行了重启阿里云或关机再开机腾讯云操作。手动上传方式登录服务器检查对应用户家目录下的~/.ssh/authorized_keys文件确认你的公钥已正确写入。可以使用cat ~/.ssh/authorized_keys命令查看。文件权限问题手动上传的致命坑登录服务器执行ls -la ~/.ssh/。必须确保.ssh目录权限为700(drwx------)authorized_keys文件权限为600(-rw-------)文件所有者是正确的用户。 如果不符使用chmod命令修正。服务器SSH配置未启用密钥登录检查服务器/etc/ssh/sshd_config确保PubkeyAuthentication yes这一行存在且未被注释。私钥格式问题WindTerm生成的私钥是OpenSSH格式。如果你是从其他工具如PuTTY的.ppk转换而来可能格式不对。确保使用WindTerm原生生成或使用ssh-keygen命令生成的密钥。7.2 连接超时或网络错误安全组/防火墙检查云服务器控制台的安全组规则是否允许你的本地IP地址访问服务器的SSH端口22或你修改后的端口。服务器未运行SSH服务在服务器上执行sudo systemctl status sshd查看服务状态。IP地址或端口错误仔细核对WindTerm会话中填写的IP和端口。7.3 修改端口后无法连接安全组未更新这是最可能的原因。在云控制台将安全组入站规则中的端口号从22更新为你设置的新端口。服务器防火墙未更新如果服务器内启用了firewalld或ufw需要添加新端口的规则。例如对于firewalldsudo firewall-cmd --permanent --add-port5922/tcp sudo firewall-cmd --reload。SELinux问题仅限RHEL/CentOS如前所述执行sudo semanage port -a -t ssh_port_t -p tcp 5922。7.4 首次连接后再次连接仍需密码这种情况通常是因为WindTerm没有正确缓存或使用私钥。检查会话配置确保认证方式已永久设置为Public Key并选择了正确的私钥文件。尝试删除WindTerm中该会话的配置重新创建一次。检查服务器上该用户的authorized_keys文件是否包含了多个公钥可能存在格式错误导致后续的公钥失效。8. 高级技巧与最佳实践掌握了基础配置后这些技巧能让你的SSH管理更高效、更安全。8.1 使用SSH Config文件管理多台服务器WindTerm支持读取本地的SSH配置文件通常是~/.ssh/config。你可以在此文件中为每台服务器定义别名、指定用户名、端口和私钥这样在WindTerm中只需输入别名即可连接。配置文件示例Host aliyun-prod # 自定义别名 HostName 123.123.123.123 # 服务器IP Port 5922 # SSH端口 User root # 用户名 IdentityFile ~/.ssh/my_aliyun_ed25519 # 私钥路径 ServerAliveInterval 60 # 每60秒发送保活包防止连接断开 Host txcloud-dev HostName 234.234.234.234 Port 22 User ubuntu IdentityFile ~/.ssh/my_tx_ed25519在WindTerm新建会话时在Host字段直接填写aliyun-prod它就会自动应用配置文件中的所有设置。8.2 为私钥添加代理ssh-agent以省去重复输入密码短语如果你为私钥设置了强密码短语每次连接都要输入会很麻烦。ssh-agent是一个密钥管理器可以将解密后的私钥缓存在内存中一段时间。启动代理在WindTerm的嵌入式Shell或你的系统终端中执行eval “$(ssh-agent -s)”。添加私钥执行ssh-add ~/.ssh/my_aliyun_ed25519然后输入一次密码短语。此后在密码短语缓存的有效期内使用该私钥的连接都不再需要输入密码。安全提示ssh-agent将私钥存储在内存中。在不使用电脑时记得锁定屏幕或执行ssh-add -D来清空代理中的所有密钥。8.3 定期轮换密钥出于安全最佳实践建议每半年或一年更换一次SSH密钥对特别是在团队成员变动时。在WindTerm中生成一套新的密钥对。将新公钥添加到服务器的authorized_keys文件中追加不要删除旧的。用新密钥测试登录成功。从authorized_keys文件中移除旧的公钥。最后在本地安全地删除旧的私钥文件。8.4 团队协作下的密钥管理在团队中不建议共享同一对私钥。最佳实践是每位成员生成自己的密钥对。将各自的公钥提交到版本控制系统如Git的一个特定仓库或通过其他安全渠道收集。在服务器上使用自动化工具如Ansible, Puppet或统一的部署脚本将所有成员的公钥批量写入服务器的authorized_keys文件或者为每个成员创建单独的用户账户并分别管理密钥。当成员离职时只需从列表中移除其公钥即可。配置完成后那种无需输入密码、瞬间安全连接上服务器的顺畅感会让你觉得之前的所有折腾都是值得的。它不仅提升了效率更重要的是为你的服务器筑起了一道坚固的防线。记住安全是一个持续的过程定期审查你的密钥、端口和安全组规则才能让这道防线始终稳固。
1. 项目概述为什么我们需要告别密码登录如果你还在用“用户名密码”的方式登录你的阿里云或腾讯云服务器那就像是用一把生锈的挂锁守护你的金库。每次登录密码在网络中传输都伴随着被截获的风险。尤其是在自动化脚本、CI/CD流水线或日常频繁运维的场景下手动输入密码不仅效率低下更是安全上的巨大隐患。SSH密钥对登录正是解决这个痛点的标准答案。它基于非对称加密原理彻底摒弃了密码传输。简单来说你本地生成一对密钥一把私钥绝对保密存于本地一把公钥可以公开放到服务器上。登录时服务器用你预留的公钥出一道“数学题”只有持有对应私钥的你才能解出答案从而证明身份。整个过程私钥从未离开你的电脑从根本上杜绝了密码泄露和暴力破解的风险。而WindTerm作为一款功能强大且免费的终端工具其对SSH协议的原生支持和优秀的密钥管理功能让它成为连接云服务器的绝佳搭档。今天我就以一个运维老手的视角带你从零开始在WindTerm中生成密钥对并正确配置到阿里云和腾讯云服务器上实现真正的一键安全登录。这个流程不仅适用于个人开发者对于团队统一管理服务器访问权限同样具有极高的参考价值。2. 核心原理与准备工作理解密钥对的“锁与钥匙”在动手之前我们必须把核心原理吃透这能帮你避开后面90%的坑。SSH密钥认证不是魔法其安全性完全建立在非对称加密的数学基础之上。2.1 非对称加密公钥与私钥的角色想象一下你有一把特殊的锁公钥和唯一能打开它的钥匙私钥。这把锁的设计非常巧妙任何人拿到它都可以把门锁上加密数据但一旦锁上只有你那把唯一的钥匙才能打开解密数据。在SSH登录场景中公钥 (Public Key)就是这把“锁”。它的内容是一长串字符通常以ssh-rsa AAAAB3...或ecdsa-sha2-nistp256 AAAAE2...开头。你可以把它放在任何需要的地方比如服务器的~/.ssh/authorized_keys文件里完全公开也没有关系。私钥 (Private Key)就是那把“唯一的钥匙”。它通常保存在你本地电脑的~/.ssh/目录下文件名可能是id_rsa,id_ecdsa,ed25519等。你必须像保护银行卡密码一样保护它绝不能泄露给任何人。私钥文件本身也常常通过一个“密码短语”进行二次加密即使文件被盗没有密码短语也无法使用。登录时服务器用你事先放置的公钥加密一个随机生成的挑战消息发送给你的客户端。你的WindTerm使用本地私钥解密这个消息并将结果发回服务器。服务器验证解密结果正确即确认了你拥有对应的私钥从而允许登录。全程无需传输密码。2.2 工具与环境准备工欲善其事必先利其器。开始前请确保你已准备好以下环境WindTerm安装前往WindTerm的GitHub发布页或官网下载最新版本。它是一款绿色软件解压即可运行兼容Windows、macOS和Linux。云服务器实例确保你拥有一台正在运行的阿里云ECS或腾讯云CVM实例并知道其公网IP地址。同时你需要拥有一个可以通过密码登录的初始账户通常是root或ubuntu,centos等系统用户。基础网络连通性确保你的本地网络可以访问云服务器的22端口SSH默认端口。你可以通过ping 你的服务器IP和telnet 你的服务器IP 22或使用nc -zv 你的服务器IP 22来测试。注意在配置密钥登录的整个过程中请务必保持一个可用的密码登录SSH会话窗口处于打开状态。这是你的“救命通道”万一密钥配置出错导致无法登录你还可以通过密码连接上去进行修复。3. 在WindTerm中生成与管理SSH密钥对WindTerm内置了便捷的密钥生成和管理器这比使用命令行ssh-keygen对新手更为友好。3.1 生成新的密钥对打开WindTerm按照以下步骤操作点击顶部菜单栏的Session-Authentication-Manage Public Keys...。这会打开密钥管理对话框。在管理对话框中点击Generate按钮。这时会弹出密钥生成向导你需要关注几个关键参数Key Type (密钥类型)这是最重要的选择。目前主流且推荐的有两种ed25519当前最安全、性能最好的算法。它生成的密钥更短签名速度更快且安全性被认为高于相同长度的RSA。如果你的WindTerm和服务器OpenSSH版本都较新一般近5年内的系统都支持无脑选这个。RSA历史最悠久兼容性最好。如果服务器系统版本非常老旧比如CentOS 6可能只支持RSA。密钥长度建议选择4096 bits2048位已逐渐被认为不够安全。Key Size (密钥长度)选择ed25519时长度固定。选择RSA时请务必选择4096。Comment (注释)这里可以填写一个标识比如your_emailexample.com或my-aws-ec2。这个注释会附在公钥末尾帮助你区分不同的密钥。Passphrase (密码短语)强烈建议设置这为你的私钥加上了一层密码保护。即使私钥文件不慎泄露对方没有密码短语也无法使用。请设置一个强密码并牢记。点击GenerateWindTerm会开始生成密钥。过程中你可能会被要求随机移动鼠标以生成随机数熵这是正常的安全操作。生成完成后WindTerm会显示你的公钥内容。请务必点击Save public key和Save private key将它们保存到你指定的安全目录例如D:\ssh_keys\。建议使用有意义的文件名如my_aliyun_ed25519和my_aliyun_ed25519.pub。3.2 密钥的保存与备份策略私钥的安全就是服务器安全的第一道防线。请遵循以下最佳实践本地存储将私钥保存在你的个人电脑上并确保其文件权限设置为仅当前用户可读。在Linux/macOS上可以通过chmod 600 ~/.ssh/id_ed25519命令实现。绝不传输永远不要通过电子邮件、即时通讯工具或任何不加密的通道发送你的私钥文件。安全备份将加密后的私钥文件以及密码短语备份到安全的离线存储介质如加密的U盘或硬件密码管理器。公钥则无需保密可以随意备份。一机一钥对于不同的服务器或服务器组建议使用不同的密钥对。这样即使某一台服务器的密钥泄露也不会危及其他服务器。4. 将公钥部署到阿里云与腾讯云服务器生成密钥对后下一步就是将公钥“安装”到你的服务器上。有两种主流方法通过云平台控制台注入或通过SSH命令手动上传。我强烈推荐第一种方法因为它更规范且能被云平台的服务如控制台登录、云助手等识别。4.1 方法一通过云平台控制台注入推荐这种方法将公钥作为云服务器的“登录凭证”进行管理与服务器实例元数据绑定更加清晰和安全。对于阿里云ECS登录阿里云控制台进入ECS实例列表。找到目标实例在“操作”列中点击“更多” - “密码和密钥” - “重置实例密码”。别被名字迷惑这里同样管理密钥。在弹出的侧边栏中切换到“SSH密钥对”标签页。点击“创建或导入密钥对”。如果你是第一次使用可以选择“创建密钥对”阿里云会帮你生成并让你下载私钥格式为.pem。但我们已经用WindTerm生成了所以这里选择“导入密钥对”。在“导入密钥对”对话框中为密钥对起个名字如windterm-key然后将WindTerm生成的公钥文件.pub文件的全部内容复制粘贴到“公钥内容”文本框里。点击“确定”导入。导入成功后在实例的“密钥对”列表里点击“绑定密钥对”选择你刚导入的密钥对并确认绑定。绑定后你需要重启ECS实例新的密钥才会生效。重启可以通过控制台操作。对于腾讯云CVM登录腾讯云控制台进入CVM实例列表。点击目标实例的ID/名称进入实例详情页。在左侧导航栏点击“密钥”。点击“创建密钥”。同样选择“使用已有公钥”。为密钥命名如windterm-key将WindTerm生成的公钥内容粘贴到“公钥”字段中。点击“确定”创建。创建成功后在密钥列表中找到该密钥点击右侧的“绑定/解绑”在弹出的窗口中选择你的目标CVM实例点击“确定”进行绑定。与阿里云不同腾讯云绑定密钥后通常需要关机再开机控制台操作才能使密钥登录生效。注意是“关机-开机”不是“重启”因为重启可能不会重新加载密钥元数据。实操心得通过控制台绑定密钥后系统会自动帮你将公钥写入服务器内指定用户的~/.ssh/authorized_keys文件。在阿里云中默认用户是root在腾讯云中取决于你创建实例时选择的镜像如Ubuntu镜像是ubuntu用户。这是最省心、最不易出错的方式。4.2 方法二通过SSH命令手动上传备用方案如果控制台操作不便或者你需要将密钥部署给非默认用户例如新建的deploy用户可以使用此方法。首先确保你已经能用密码通过WindTerm或其它终端登录到服务器。在WindTerm中打开你保存公钥的.pub文件复制其全部内容。在已连接的服务器终端中执行以下命令序列# 1. 确保 .ssh 目录存在并设置正确的权限 mkdir -p ~/.ssh chmod 700 ~/.ssh # 2. 将公钥追加到 authorized_keys 文件 echo “你复制的公钥内容” ~/.ssh/authorized_keys # 3. 设置 authorized_keys 文件的权限至关重要 chmod 600 ~/.ssh/authorized_keys这里有一个巨坑~/.ssh目录的权限必须是700(drwx------)authorized_keys文件的权限必须是600(-rw-------)。如果权限设置不对OpenSSH出于安全考虑会直接拒绝使用密钥登录你会遇到“Permission denied (publickey)”的错误而百思不得其解。5. 在WindTerm中配置会话使用密钥登录公钥部署到服务器后我们需要告诉WindTerm在连接这个服务器时使用我们刚生成的私钥。在WindTerm主界面点击Session-New Session或者点击工具栏的“新建会话”图标。在新建会话对话框中选择SSH协议。在Host字段填写你的服务器公网IP地址。Port保持默认的22如果你修改过SSH端口请填写修改后的端口。最关键的一步在Authentication部分将方法从默认的Password改为Public Key。点击Public Key下拉框右侧的文件夹图标浏览并选择你之前保存的私钥文件例如my_aliyun_ed25519注意没有.pub后缀。如果你的私钥设置了密码短语Passphrase在Passphrase字段输入它。在User字段填写用户名。这需要与你部署公钥时对应的用户名一致通过阿里云控制台绑定默认用户是root。通过腾讯云控制台绑定Ubuntu系统是ubuntuCentOS系统是root或centos具体看镜像说明。通过手动命令上传就是你执行命令时所在的用户。你可以给这个会话起个名字如阿里云生产服务器然后点击Connect。如果一切配置正确WindTerm将直接连接服务器无需输入密码。首次连接时会询问你是否信任主机密钥点击“Accept Save”即可。6. 强化安全禁用密码登录与更改SSH端口实现密钥一键登录后密码登录就变成了一个安全隐患入口。我们应该关闭它。同时修改默认的SSH端口22可以避开互联网上大量的自动化扫描和爆破攻击。警告在进行以下操作前请务必确保你的密钥登录已经100%测试成功并且保持一个可用的密码登录会话窗口打开以备出错时恢复。6.1 禁用SSH密码登录通过密钥登录到服务器然后编辑SSH服务端配置文件sudo vim /etc/ssh/sshd_config找到以下两行并将其值修改为no# 禁止使用密码认证 PasswordAuthentication no # 禁止空密码登录通常默认就是no PermitEmptyPasswords no # 如果你使用的是较新版本的OpenSSH可能还需要关注这个选项确保其为默认的 prohibit-password 或 no # PubkeyAuthentication yes # 这一行确保是 yes默认就是6.2 修改SSH默认端口在同一个/etc/ssh/sshd_config文件中找到#Port 22这一行。去掉开头的注释#并将22改为一个1024到65535之间、未被系统其他服务占用的端口号例如5922。Port 59226.3 应用配置并重启服务修改完成后保存文件并退出编辑器。然后重启SSH服务以使配置生效对于使用systemd的系统如CentOS 7, Ubuntu 16.04sudo systemctl restart sshd # 或者 sudo systemctl restart ssh对于使用SysV init的系统如CentOS 6sudo service sshd restart重启服务后立即用新的端口和密钥在WindTerm中测试连接而不要关闭当前的密码登录会话在WindTerm中新建或编辑会话将Port从22改为你设置的端口如5922然后尝试连接。如果连接成功说明配置正确。此时你再可以关闭旧的密码登录会话。重要注意事项防火墙修改端口后务必在云服务器的安全组阿里云/腾讯云控制台和服务器内部的防火墙如firewalld或ufw中放行你新设置的SSH端口同时可以考虑禁止22端口的入站流量。SELinux如果你使用的是CentOS/RHEL系统并启用了SELinux修改SSH端口后需要更新SELinux策略sudo semanage port -a -t ssh_port_t -p tcp 你的新端口号。连接命令以后在命令行中使用ssh连接时需要指定端口ssh -p 5922 userserver_ip。7. 常见问题与故障排查实录即使按照步骤操作你也可能会遇到一些问题。下面是我在多年运维中总结的常见“坑位”和解决方法。7.1 连接失败Permission denied (publickey)这是最常见的问题。意味着服务器拒绝了你的密钥认证。请按以下顺序排查私钥路径或密码短语错误在WindTerm会话设置中双击检查私钥文件路径是否正确密码短语是否输入无误注意大小写。用户名错误确认WindTerm中配置的用户名与服务器上存放公钥的~/.ssh/authorized_keys文件所属用户是同一个。服务器公钥未生效控制台绑定方式确认是否执行了重启阿里云或关机再开机腾讯云操作。手动上传方式登录服务器检查对应用户家目录下的~/.ssh/authorized_keys文件确认你的公钥已正确写入。可以使用cat ~/.ssh/authorized_keys命令查看。文件权限问题手动上传的致命坑登录服务器执行ls -la ~/.ssh/。必须确保.ssh目录权限为700(drwx------)authorized_keys文件权限为600(-rw-------)文件所有者是正确的用户。 如果不符使用chmod命令修正。服务器SSH配置未启用密钥登录检查服务器/etc/ssh/sshd_config确保PubkeyAuthentication yes这一行存在且未被注释。私钥格式问题WindTerm生成的私钥是OpenSSH格式。如果你是从其他工具如PuTTY的.ppk转换而来可能格式不对。确保使用WindTerm原生生成或使用ssh-keygen命令生成的密钥。7.2 连接超时或网络错误安全组/防火墙检查云服务器控制台的安全组规则是否允许你的本地IP地址访问服务器的SSH端口22或你修改后的端口。服务器未运行SSH服务在服务器上执行sudo systemctl status sshd查看服务状态。IP地址或端口错误仔细核对WindTerm会话中填写的IP和端口。7.3 修改端口后无法连接安全组未更新这是最可能的原因。在云控制台将安全组入站规则中的端口号从22更新为你设置的新端口。服务器防火墙未更新如果服务器内启用了firewalld或ufw需要添加新端口的规则。例如对于firewalldsudo firewall-cmd --permanent --add-port5922/tcp sudo firewall-cmd --reload。SELinux问题仅限RHEL/CentOS如前所述执行sudo semanage port -a -t ssh_port_t -p tcp 5922。7.4 首次连接后再次连接仍需密码这种情况通常是因为WindTerm没有正确缓存或使用私钥。检查会话配置确保认证方式已永久设置为Public Key并选择了正确的私钥文件。尝试删除WindTerm中该会话的配置重新创建一次。检查服务器上该用户的authorized_keys文件是否包含了多个公钥可能存在格式错误导致后续的公钥失效。8. 高级技巧与最佳实践掌握了基础配置后这些技巧能让你的SSH管理更高效、更安全。8.1 使用SSH Config文件管理多台服务器WindTerm支持读取本地的SSH配置文件通常是~/.ssh/config。你可以在此文件中为每台服务器定义别名、指定用户名、端口和私钥这样在WindTerm中只需输入别名即可连接。配置文件示例Host aliyun-prod # 自定义别名 HostName 123.123.123.123 # 服务器IP Port 5922 # SSH端口 User root # 用户名 IdentityFile ~/.ssh/my_aliyun_ed25519 # 私钥路径 ServerAliveInterval 60 # 每60秒发送保活包防止连接断开 Host txcloud-dev HostName 234.234.234.234 Port 22 User ubuntu IdentityFile ~/.ssh/my_tx_ed25519在WindTerm新建会话时在Host字段直接填写aliyun-prod它就会自动应用配置文件中的所有设置。8.2 为私钥添加代理ssh-agent以省去重复输入密码短语如果你为私钥设置了强密码短语每次连接都要输入会很麻烦。ssh-agent是一个密钥管理器可以将解密后的私钥缓存在内存中一段时间。启动代理在WindTerm的嵌入式Shell或你的系统终端中执行eval “$(ssh-agent -s)”。添加私钥执行ssh-add ~/.ssh/my_aliyun_ed25519然后输入一次密码短语。此后在密码短语缓存的有效期内使用该私钥的连接都不再需要输入密码。安全提示ssh-agent将私钥存储在内存中。在不使用电脑时记得锁定屏幕或执行ssh-add -D来清空代理中的所有密钥。8.3 定期轮换密钥出于安全最佳实践建议每半年或一年更换一次SSH密钥对特别是在团队成员变动时。在WindTerm中生成一套新的密钥对。将新公钥添加到服务器的authorized_keys文件中追加不要删除旧的。用新密钥测试登录成功。从authorized_keys文件中移除旧的公钥。最后在本地安全地删除旧的私钥文件。8.4 团队协作下的密钥管理在团队中不建议共享同一对私钥。最佳实践是每位成员生成自己的密钥对。将各自的公钥提交到版本控制系统如Git的一个特定仓库或通过其他安全渠道收集。在服务器上使用自动化工具如Ansible, Puppet或统一的部署脚本将所有成员的公钥批量写入服务器的authorized_keys文件或者为每个成员创建单独的用户账户并分别管理密钥。当成员离职时只需从列表中移除其公钥即可。配置完成后那种无需输入密码、瞬间安全连接上服务器的顺畅感会让你觉得之前的所有折腾都是值得的。它不仅提升了效率更重要的是为你的服务器筑起了一道坚固的防线。记住安全是一个持续的过程定期审查你的密钥、端口和安全组规则才能让这道防线始终稳固。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
