SSH 完整配置指南（Debian / Ubuntu）

1.1 检查 SSH 是否运行#

1
sudo systemctl status ssh

输出解读：

1
● ssh.service - OpenSSH server
2
   Loaded: loaded (/lib/systemd/system/ssh.service; enabled; vendor preset: enabled)
3
   Active: active (running) since Mon 2026-07-13 02:55:39 UTC; 5min ago

如果显示 inactive（未运行）：

1
# 安装 OpenSSH 服务端（Debian 默认已装）
2
sudo apt update
3
sudo apt install openssh-server
4

5
# 启动并设置开机自启
6
sudo systemctl enable ssh --now
7

8
# 再次检查
9
sudo systemctl status ssh

2.1 为什么不能用 root 登录？#

• root 是超级管理员，权限过大，误操作会直接毁掉系统
• root 用户名是公开的，黑客扫描时第一个尝试的就是 root + 弱密码
• 日志审计困难，所有 root 操作混在一起，无法区分是谁干的

2.2 创建用户#

1
sudo adduser qtfy

交互过程：

1
Adding user 'qtfy' ...
2
Adding new group 'qtfy' (1000) ...
3
Adding new user 'qtfy' (1000) with group 'qtfy' ...
4
Creating home directory '/home/qtfy' ...
5
Copying files from '/etc/skel' ...
6
New password:                    ← 输入密码（不显示字符）
7
Retype new password:             ← 再次输入确认
8
passwd: password updated successfully
9

10
Changing the user information for qtfy
11
Full Name []:                    ← 按回车跳过
12
Room Number []:                  ← 按回车跳过
13
Work Phone []:                   ← 按回车跳过
14
Home Phone []:                   ← 按回车跳过
15
Other []:                        ← 按回车跳过
16

17
Is the information correct? [Y/n]  ← 按回车确认（默认 Y）

命令详解：

adduser 自动做了什么：

• 创建用户账户 /etc/passwd
• 创建用户组 /etc/group
• 创建家目录 /home/qtfy
• 从 /etc/skel 复制默认配置文件（如 .bashrc）
• 设置密码

2.3 赋予 sudo 权限#

1
sudo usermod -aG sudo qtfy

参数详解：

验证 sudo 权限：

1
su - qtfy          # 切换到 qtfy 用户
2
sudo whoami        # 测试 sudo
3
# 输出：root（表示 sudo 生效）
4
exit               # 返回 root

3.1 打开配置文件#

1
sudo nano /etc/ssh/sshd_config

sshd_config 是 SSH 服务端（daemon）的配置文件。还有一个 ssh_config 是客户端配置，不要搞混。

3.2 关键配置项详解#

1
# 找到这行（默认被注释）
2
#Port 22
3

4
# 修改为（1024-65535 之间任意未占用端口）
5
Port 2222

1
# 找到这行
2
#PermitRootLogin prohibit-password
3

4
# 修改为
5
PermitRootLogin no

1
PasswordAuthentication yes

1
PubkeyAuthentication yes

1
AllowUsers qtfy

1
AllowUsers qtfy alice bob

1
MaxAuthTries 3

1
ClientAliveInterval 60
2
ClientAliveCountMax 3

3.3 配置示例（推荐的安全配置）#

1
# 基础设置
2
Port 2222
3
ListenAddress 0.0.0.0
4

5
# 认证设置
6
PermitRootLogin no
7
PasswordAuthentication yes        # 初始阶段用 yes，密钥配好后改 no
8
PubkeyAuthentication yes
9
MaxAuthTries 3
10

11
# 可选：只允许特定用户
12
AllowUsers qtfy
13

14
# 会话保持
15
ClientAliveInterval 60
16
ClientAliveCountMax 3
17

18
# 禁用不安全的算法（可选，高级）
19
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
20
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com
21
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org

3.4 保存并重启 SSH#

1
# 检查配置文件语法是否正确（重要！）
2
sudo sshd -t
3
# 无输出 = 语法正确
4

5
# 重启 SSH 服务
6
sudo systemctl restart ssh
7

8
# 确认重启后状态正常
9
sudo systemctl status ssh

4.1 服务器本地防火墙（ufw）#

1
# 安装 ufw（Debian 默认可能没装）
2
sudo apt install ufw
3

4
# 默认策略：拒绝所有入站，允许所有出站
5
sudo ufw default deny incoming
6
sudo ufw default allow outgoing
7

8
# 放行 SSH 端口（如果你改成了 2222）
9
sudo ufw allow 2222/tcp
10

11
# 如果还开了其他服务（如 HTTP）
12
sudo ufw allow 80/tcp
13
sudo ufw allow 443/tcp
14

15
# 启用防火墙
16
sudo ufw enable
17

18
# 查看状态
19
sudo ufw status verbose

ufw 常用命令：

4.2 腾讯云安全组（必须！）#

这是云服务商层面的防火墙，优先级高于 ufw。如果安全组没放行，ufw 放行了也连不上。

配置路径：

腾讯云控制台 → 云服务器 CVM → 实例详情 → 安全组 → 入站规则 → 添加规则

5.1 Windows（PowerShell / CMD）#

1
# 基础连接
2
ssh -p 2222 qtfy@你的服务器公网IP
3

4
# 示例
5
ssh -p 2222 qtfy@123.456.78.90

首次连接提示：

1
The authenticity of host '[123.456.78.90]:2222' can't be established.
2
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxx.
3
Are you sure you want to continue connecting (yes/no/[fingerprint])?

输入 yes 回车。这是把服务器的公钥指纹保存到本地 ~/.ssh/known_hosts。

5.2 macOS / Linux#

1
ssh -p 2222 qtfy@你的服务器公网IP

5.3 常用 SSH 客户端参数#

6.1 客户端生成密钥对#

Windows（PowerShell）：

1
ssh-keygen -t ed25519 -C "qtfy@example.com"

macOS / Linux：

1
ssh-keygen -t ed25519 -C "qtfy@example.com"

交互过程：

1
Generating public/private ed25519 key pair.
2
Enter file in which to save the key (/home/qtfy/.ssh/id_ed25519):  ← 按回车用默认路径
3
Enter passphrase (empty for no passphrase):                         ← 可选：设置密码保护私钥
4
Enter same passphrase again:
5

6
Your identification has been saved in /home/qtfy/.ssh/id_ed25519
7
Your public key has been saved in /home/qtfy/.ssh/id_ed25519.pub

密钥类型选择：

私钥密码（passphrase）的权衡：

• 不设密码：方便，但私钥文件泄露 = 服务器直接沦陷
• 设密码：每次使用私钥都要输密码，但更安全。可用 ssh-agent 缓存密码

6.2 把公钥传到服务器#

方法一：ssh-copy-id（推荐）

1
ssh-copy-id -p 2222 -i ~/.ssh/id_ed25519.pub qtfy@你的服务器公网IP

输入一次密码后，公钥自动复制到服务器的 ~/.ssh/authorized_keys。

方法二：手动复制

1
# 本地电脑：复制公钥内容
2
cat ~/.ssh/id_ed25519.pub
3
# 复制输出的那一长串
4

5
# 服务器上（用密码登录后）
6
mkdir -p ~/.ssh
7
chmod 700 ~/.ssh
8
echo "粘贴公钥内容" >> ~/.ssh/authorized_keys
9
chmod 600 ~/.ssh/authorized_keys

6.3 测试密钥登录#

1
ssh -p 2222 qtfy@你的服务器公网IP

如果不需要输密码直接登录成功，密钥配置完成。

6.4 关闭密码登录（密钥确认可用后再执行！）#

1
sudo nano /etc/ssh/sshd_config

修改：

1
PasswordAuthentication no
2
ChallengeResponseAuthentication no

重启：

1
sudo systemctl restart ssh

6.5 使用 ssh-agent（避免每次输私钥密码）#

1
# 启动 ssh-agent
2
eval "$(ssh-agent -s)"
3

4
# 添加私钥（如果设了 passphrase，这里输一次）
5
ssh-add ~/.ssh/id_ed25519
6

7
# 现在连接不需要再输密码
8
ssh -p 2222 qtfy@你的服务器公网IP

Windows 自动启动 ssh-agent：

PowerShell 管理员运行：

1
# 确保 ssh-agent 服务自动启动
2
Get-Service ssh-agent | Set-Service -StartupType Automatic
3
Start-Service ssh-agent
4
ssh-add $env:USERPROFILE\.ssh\id_ed25519

7.1 SSH 配置文件（客户端）#

在本地电脑创建 ~/.ssh/config（Windows 是 %USERPROFILE%\.ssh\config）：

1
Host myserver
2
    HostName 123.456.78.90
3
    User qtfy
4
    Port 2222
5
    IdentityFile ~/.ssh/id_ed25519
6
    ServerAliveInterval 60
7
    ServerAliveCountMax 3

然后简化为：

1
ssh myserver

7.2 禁止空密码登录#

1
PermitEmptyPasswords no

7.3 设置登录欢迎信息#

1
sudo nano /etc/ssh/sshd_config

添加：

1
Banner /etc/ssh/banner

创建 banner 文件：

1
sudo nano /etc/ssh/banner
2
# 写入：
3
# =========================================
4
#  Authorized access only!
5
#  All activity may be monitored.
6
# =========================================

7.4 记录详细日志#

1
# 在 sshd_config 中
2
LogLevel VERBOSE

查看登录日志：

1
sudo tail -f /var/log/auth.log

7.5 使用 fail2ban（自动封禁暴力破解 IP）#

1
sudo apt install fail2ban
2

3
sudo systemctl enable fail2ban --now
4

5
# 查看被禁 IP
6
sudo fail2ban-client status sshd

8.1 连接被拒绝（Connection refused）#

1
ssh: connect to host 123.456.78.90 port 2222: Connection refused

排查步骤：

1. 检查 SSH 服务是否运行：sudo systemctl status ssh
2. 检查端口是否监听：sudo ss -tlnp | grep ssh
3. 检查配置文件语法：sudo sshd -t
4. 检查 ufw 是否放行：sudo ufw status
5. 检查腾讯云安全组！（最常见原因）

8.2 权限拒绝（Permission denied）#

1
Permission denied (publickey,password).

排查步骤：

1. 用户名是否正确？（不是 root，是你创建的普通用户）
2. 密码是否正确？
3. 如果用了密钥：私钥路径是否正确？ssh -v 查看详细日志
4. 服务器端 ~/.ssh/authorized_keys 权限是否为 600？
5. 服务器端 ~/.ssh 目录权限是否为 700？

8.3 连接超时（Connection timed out）#

1. 检查服务器是否开机
2. 检查公网 IP 是否正确
3. 检查安全组是否放行对应端口
4. 检查本地网络是否允许出站到该端口（公司/学校网络可能限制）

8.4 被锁在服务器外（配置错误导致）#

救急方法：

1. 登录腾讯云控制台
2. 找到你的服务器 → 点击「登录」→ 使用 VNC/控制台登录
3. 用 root 密码登录（控制台不受 SSH 配置限制）
4. 修复 /etc/ssh/sshd_config
5. sudo systemctl restart ssh

9.1 Windows 10 / 11（推荐：内置 OpenSSH）#

Windows 10（1809 及以上）和 Windows 11 已内置 OpenSSH 客户端，但默认可能未启用。

方法一：图形界面安装

1. 打开「设置」→「应用」→「可选功能」
2. 点击「添加功能」
3. 搜索「OpenSSH 客户端」
4. 勾选并点击「安装」
5. 等待安装完成

方法二：PowerShell 命令安装（管理员）

1
# 检查是否已安装
2
Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH.Client*'
3

4
# 如果 State 显示为 NotPresent，则执行安装
5
Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0
6

7
# 安装完成后验证
8
ssh -V

验证安装成功：

1
ssh -V
2
# 应输出类似：OpenSSH_for_Windows_8.1p1, LibreSSL 3.0.2

9.2 Windows 7 / 8 / 旧版 Windows 10#

这些系统没有内置 OpenSSH，可使用以下替代方案：

方案一：Git for Windows（推荐，自带 Git Bash 和 ssh）

1. 访问 https://git-scm.com/download/win
2. 下载并安装 Git for Windows
3. 安装过程中保持默认选项即可
4. 安装完成后，右键桌面选择「Git Bash Here」
5. 在 Git Bash 中输入：ssh -V

方案二：PuTTY（经典 SSH 客户端）

1. 访问 PuTTY 官网
2. 下载 putty-64bit-0.xx-installer.msi
3. 安装后打开 PuTTY
4. 在 Host Name 输入服务器 IP
5. 在 Port 输入 2222（或你设置的端口）
6. Connection type 选择 SSH
7. 点击 Open 连接

PuTTY 使用密钥的方法：

1. 打开 PuTTYgen（随 PuTTY 安装）
2. 点击 Generate 生成密钥对
3. 保存私钥（.ppk 文件）
4. 将公钥内容复制到服务器的 ~/.ssh/authorized_keys
5. 在 PuTTY 中 → Connection → SSH → Auth → Private key file
6. 选择你的 .ppk 私钥文件

方案三：MobaXterm（功能强大的终端工具）

1. 访问 MobaXterm 官网
2. 下载免费版（Home Edition）
3. 安装后打开，点击 Session → SSH
4. 输入 Remote host 和 Port
5. 点击 OK 连接

9.3 Windows 上使用 SSH 的注意事项#

• Windows 的 SSH 配置文件路径：%USERPROFILE%\.ssh\config（例如 C:\Users\你的用户名\.ssh\config）
• 首次连接时的 known_hosts 保存在：%USERPROFILE%\.ssh\known_hosts
• 如果提示 “WARNING: UNPROTECTED PRIVATE KEY FILE”，需要右键私钥文件 → 属性 → 安全 → 高级 → 禁用继承 → 删除所有用户，然后只添加当前用户并赋予完全控制权限
• PowerShell 中使用 ssh 时，参数与 Linux/macOS 完全一致

10.1 为什么需要删除用户？#

• 员工离职，需要清理其服务器账户
• 测试账号不再需要
• 发现异常账户，需要立即禁用或删除
• 系统维护，清理无用账户减少攻击面

10.2 查看系统中所有用户#

1
# 查看所有普通用户（UID >= 1000）
2
awk -F: '$3 >= 1000 {print $1}' /etc/passwd
3

4
# 查看所有用户及其 UID、GID、家目录
5
cat /etc/passwd
6

7
# 查看当前在线用户
8
who
9
w
10

11
# 查看用户最近登录记录
12
last

10.3 删除用户（保留家目录）#

1
# 使用 deluser（Debian/Ubuntu 推荐，更友好）
2
sudo deluser qtfy
3

4
# 或使用 userdel（通用命令）
5
sudo userdel qtfy

效果： 删除用户账户和组，但保留 /home/qtfy 目录

10.4 删除用户及其家目录#

1
# deluser 加 --remove-home 参数
2
sudo deluser --remove-home qtfy
3

4
# userdel 加 -r 参数
5
sudo userdel -r qtfy

效果： 删除用户账户、组、家目录 /home/qtfy，以及邮件池

10.5 彻底清理用户所有痕迹#

1
# 1. 先强制终止该用户的所有进程
2
sudo pkill -u qtfy
3
sudo killall -u qtfy
4

5
# 2. 删除用户及其家目录
6
sudo deluser --remove-home qtfy
7

8
# 3. 手动检查并删除其他相关文件（如有）
9
sudo rm -rf /var/spool/mail/qtfy       # 邮件池（deluser --remove-home 已处理）
10
sudo rm -rf /var/www/html/qtfy         # 如有该用户的网站目录
11
sudo rm -rf /tmp/qtfy*                 # 临时文件
12

13
# 4. 从 sudo 权限中移除（如之前加入过）
14
sudo gpasswd -d qtfy sudo
15

16
# 5. 检查 crontab 任务
17
sudo crontab -u qtfy -l    # 查看该用户的定时任务
18
sudo crontab -u qtfy -r    # 删除该用户的定时任务

10.6 临时禁用用户（不解删除）#

1
# 方法一：锁定密码（用户无法登录，但数据保留）
2
sudo passwd -l qtfy
3

4
# 解锁
5
sudo passwd -u qtfy
6

7
# 方法二：设置账户过期日期为昨天（立即失效）
8
sudo usermod --expiredate 1 qtfy
9

10
# 恢复账户
11
sudo usermod --expiredate "" qtfy
12

13
# 方法三：将用户的 shell 改为 nologin（无法登录但数据保留）
14
sudo usermod -s /usr/sbin/nologin qtfy
15

16
# 恢复（假设原 shell 是 bash）
17
sudo usermod -s /bin/bash qtfy

10.7 删除用户时的注意事项#

服务器端#

1
# 检查 SSH 状态
2
sudo systemctl status ssh
3

4
# 创建用户
5
sudo adduser qtfy
6
sudo usermod -aG sudo qtfy
7

8
# 编辑 SSH 配置
9
sudo nano /etc/ssh/sshd_config
10

11
# 关键配置项
12
Port 2222
13
PermitRootLogin no
14
PasswordAuthentication yes
15
PubkeyAuthentication yes
16
AllowUsers qtfy
17

18
# 测试配置语法
19
sudo sshd -t
20

21
# 重启 SSH
22
sudo systemctl restart ssh
23

24
# 防火墙
25
sudo ufw allow 2222/tcp
26
sudo ufw enable
27
sudo ufw status
28

29
# 查看登录日志
30
sudo tail -f /var/log/auth.log
31

32
# 查看所有用户
33
awk -F: '$3 >= 1000 {print $1}' /etc/passwd
34

35
# 删除用户（保留家目录）
36
sudo deluser qtfy
37

38
# 删除用户及家目录
39
sudo deluser --remove-home qtfy
40

41
# 锁定用户
42
sudo passwd -l qtfy
43

44
# 强制终止用户进程
45
sudo pkill -u qtfy

客户端#

1
# 生成密钥
2
ssh-keygen -t ed25519 -C "qtfy@example.com"
3

4
# 复制公钥到服务器
5
ssh-copy-id -p 2222 qtfy@IP
6

7
# 连接
8
ssh -p 2222 qtfy@IP
9

10
# 详细模式（排错）
11
ssh -v -p 2222 qtfy@IP
12

13
# 使用配置文件后简化连接
14
ssh myserver

Windows 安装 SSH#

1
# 检查 OpenSSH 客户端是否安装
2
Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH.Client*'
3

4
# 安装 OpenSSH 客户端（PowerShell 管理员）
5
Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0
6

7
# 验证
8
ssh -V

文档版本： 2026-07-30
适用系统： Debian 11+ / Ubuntu 20.04+
适用平台： 腾讯云 CVM / 任何支持 SSH 的 Linux 服务器