服务器怎么创建秘钥对？Linux生成SSH密钥详细步骤

服务器创建密钥对是保障远程登录安全的核心手段，其本质是利用非对称加密算法生成一对相互关联的密钥，其中公钥存放在服务器端，私钥由用户本地保管，以此实现“无密码登录”且极大提升防暴力破解能力。相比传统的密码认证，密钥对认证不仅更安全，还能有效规避弱口令风险，是服务器运维管理的标准操作规范。

核心原理与安全优势

在深入操作步骤之前，理解密钥对的运作机制至关重要，密钥对由公钥和私钥组成,二者一一对应。

1. 私钥：相当于家门钥匙，必须严格保密,绝不在网络中传输。
2. 公钥：相当于家门锁芯，放置在服务器指定位置,可以公开。

当客户端发起连接请求时，服务器会利用公钥加密一段随机字符串发送给客户端，客户端使用私钥解密后发回服务器，服务器验证解密正确性即可确认身份。这一过程无需传输密码，即使网络被监听,私钥也不会泄露。

创建前的环境准备

在执行服务器怎么创建秘钥对的具体操作前，需确保环境配置正确,这是保障后续流程顺畅的基础。

1. 客户端工具：Linux或MacOS系统可直接使用终端；Windows系统建议使用PowerShell或安装GitBash，也可以使用PuTTY、Xshell等SSH客户端工具。
2. 服务端权限：必须拥有服务器的root权限或具备sudo权限的普通用户账号。
3. 网络连通性：确保客户端与服务器之间的22端口（SSH默认端口）网络通畅。

服务器端创建密钥对详细步骤

这是最常用且最推荐的方法，直接在服务器端生成私钥与公钥，然后将私钥下载至本地。这种方式确保了私钥在生成初期未经过不安全的网络传输。

登录服务器终端
使用SSH工具登录到目标服务器,输入密码完成登录。

执行生成命令
输入以下命令启动密钥生成程序：
ssh-keygen-trsa-b4096-C"[email protected]"

• -trsa：指定使用RSA算法,兼容性最好。
• -b4096：指定密钥长度为4096位,安全性更高。
• -C：添加注释,通常用于标识密钥用途或所有者。

配置密钥存储路径
系统会提示输入保存路径，默认为~/.ssh/id_rsa。

• 建议操作：直接按回车键使用默认路径,避免后续配置出错。
• 自定义路径：若需管理多组密钥，可输入自定义路径，如~/.ssh/my_server_key。

设置密钥口令
系统会提示输入口令。

• 高安全场景：输入复杂的口令，即使私钥被盗,攻击者仍需破解口令才能使用。
• 自动化运维场景：若用于脚本自动化登录，可留空直接按两次回车，实现免交互登录,但需确保服务器硬盘安全。

查看生成结果
进入.ssh目录查看文件：
ls-l~/.ssh/
你会看到两个文件：

• id_rsa：私钥文件,权限应为600。
• id_rsa.pub：公钥文件,权限应为644。

配置公钥与SSH服务

生成密钥对后，必须将公钥“安装”到授权列表中,并调整SSH配置以启用密钥认证。

部署公钥至授权文件
执行以下命令，将公钥内容追加到authorized_keys文件中：
cat~/.ssh/id_rsa.pub>>~/.ssh/authorized_keys
这一步是核心环节，authorized_keys文件是SSH服务验证客户端身份的依据。

设置文件权限
权限设置错误是导致密钥登录失败的常见原因，必须严格执行以下命令：
chmod700~/.ssh
chmod600~/.ssh/authorized_keys
SSH服务对权限极其敏感，若权限过于开放（如777）,服务会拒绝读取密钥文件。

修改SSH服务配置
编辑SSH配置文件/etc/ssh/sshd_config,确保以下参数设置正确：

• PubkeyAuthenticationyes：启用公钥认证。
• PasswordAuthenticationno：建议关闭密码认证，强制使用密钥登录（需确认密钥登录成功后再修改此项，防止被锁在外面）。
• AuthorizedKeysFile.ssh/authorized_keys：指定授权文件路径。

修改完成后，重启SSH服务使配置生效：
systemctlrestartsshd或servicesshdrestart

客户端私钥管理与登录验证

服务器端配置完成后，需将生成的私钥文件（id_rsa）安全地下载到本地客户端。

私钥的安全传输
使用SFTP工具（如FileZilla、WinSCP）将服务器上的id_rsa文件下载至本地。下载完成后，务必删除服务器端的私钥文件，仅保留公钥，遵循“私钥不出服务器”的二次防护原则，除非你需要在多客户端登录。

本地登录验证

• Linux/Mac终端：执行ssh-i/本地路径/id_rsauser@server_ip，若设置了口令,需输入口令。
• WindowsPuTTY：需使用PuTTYgen工具将下载的id_rsa转换为.ppk格式,再加载到PuTTY的Auth配置中进行连接。

验证成功标志
成功登录后，终端提示符会变更为服务器用户界面，若配置了禁用密码登录，尝试用密码登录应显示“Permissiondenied”。

独立见解与专业建议

在实际的运维工作中，关于服务器怎么创建秘钥对以及后续管理，存在许多容易被忽视的细节，以下是基于E-E-A-T原则的专业建议：

1. 算法选择策略：虽然RSA-4096目前仍是主流，但在高性能或极高安全需求场景下，建议使用ED25519算法，它具有更短的密钥长度、更快的签名速度，且安全性不输给长位RSA，生成命令为：ssh-keygen-ted25519。
2. 私钥生命周期管理：密钥对不应“一劳永逸”，建议每半年或一年轮换一次密钥对，对于离职员工的密钥，必须立即从authorized_keys中删除对应公钥。
3. 避免使用空口令私钥：在CI/CD流水线中，为了方便常使用无口令私钥，这实际上是一个巨大的安全隐患，建议使用ssh-agent来管理有口令的私钥,既保证安全又实现自动化。

相关问答

创建密钥对后，SSH登录提示“Permissiondenied(publickey)”怎么办？
这是最常见的报错,通常由以下三个原因导致：

1. 权限问题：检查服务器端.ssh目录是否为700，authorized_keys文件是否为600。
2. SELinux拦截：在CentOS等系统中，恢复文件安全上下文可解决，执行命令restorecon-R-v~/.ssh。
3. 错误：检查authorized_keys是否完整,确保没有多余的换行符或缺失字符。

是否可以在本地电脑生成密钥对，再上传公钥到服务器？
完全可以，且这也是一种常用方法。
操作流程为：在本地执行ssh-keygen生成密钥对，然后使用ssh-copy-iduser@server_ip命令将本地公钥自动上传至服务器的authorized_keys文件中，这种方法省去了手动下载私钥的步骤,适合从单一控制机管理多台服务器的场景。

如果您在配置过程中遇到其他疑难杂症,欢迎在评论区留言交流。