在 CentOS 系统中开启 SSH 连接服务指南-HCRM博客

精通CentOS SSH配置：安全远程管理的基石

在Linux服务器管理中,安全可靠的远程访问是高效运维的生命线，CentOS作为企业级系统的首选，其内置的OpenSSH服务为我们提供了强大的远程连接能力，掌握其配置方法，不仅能提升工作效率，更是服务器安全防护的第一道闸门。

核心组件：OpenSSH守护进程

CentOS默认集成了OpenSSH套件,包含服务端(openssh-server)和客户端工具，实现远程连接的核心在于sshd守护进程。

服务启停与自启管理

sudo systemctl start sshd    # 立即启动
sudo systemctl enable sshd   # 开机自启
sudo systemctl stop sshd     # 停止服务
sudo systemctl restart sshd  # 重启应用配置

确保sshd随系统启动至关重要，避免服务器重启后失联。

防火墙策略：开放关键通道

firewalld作为CentOS的默认防火墙，精确控制着网络流量，允许SSH连接必须显式放行。

永久添加SSH端口规则

sudo firewall-cmd --permanent --add-service=ssh  # 放行默认22端口
sudo firewall-cmd --reload  # 重载规则生效

自定义端口的安全放行（如使用2222）
```
sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload
```
更改默认端口能有效规避自动化扫描攻击。

核心配置文件：/etc/ssh/sshd_config

/etc/ssh/sshd_config是SSH服务的行为中枢，任何修改后必须重启sshd生效，修改前务必备份！

基础访问控制
- Port 22：定义监听端口，多端口可写多行。
- ListenAddress 0.0.0.0：监听所有IPv4地址，指定IP可限制访问源。
- PermitRootLogin prohibit-password： 强烈建议禁止root直接密码登录，优先使用密钥认证。
- AllowUsers user1 user2@192.168.1.*：精确控制允许登录的用户及来源IP（可选）。
- DenyUsers baduser：显式拒绝特定用户。
认证方式强化：拥抱密钥登录
- PasswordAuthentication no： 关键安全措施！禁用密码登录，强制使用密钥，极大提升安全性。
- PubkeyAuthentication yes：启用公钥认证（默认开启）。
- AuthorizedKeysFile .ssh/authorized_keys：用户公钥存储位置。
其他重要安全与功能选项
- Protocol 2：仅使用更安全的SSH协议版本2。
- LoginGraceTime 60：登录超时时间（秒）。
- MaxAuthTries 3：允许的最大认证尝试次数。
- ClientAliveInterval 300 与 ClientAliveCountMax 3：管理连接超时与保持。
- X11Forwarding no：禁用X11转发（除非必需）。

密钥认证：安全登录的黄金法则

密钥对登录是专业运维的标配,彻底规避密码爆破风险。

客户端生成密钥对（Windows可用PuTTYgen）
```
ssh-keygen -t rsa -b 4096  # 或 -t ed25519
```
生成私钥（妥善保管！）和公钥（id_rsa.pub或id_ed25519.pub）。

服务器部署公钥

# 在服务器上操作用户账户：
mkdir -p ~/.ssh
chmod 700 ~/.ssh
cat >> ~/.ssh/authorized_keys  # 粘贴公钥内容
chmod 600 ~/.ssh/authorized_keys

客户端使用密钥连接

ssh -i /path/to/private_key user@server_ip -p port

连接实践与排障

标准连接命令：

ssh username@server_ip_address -p port_number

常见连接问题诊断：
1. 服务状态：systemctl status sshd
2. 防火墙规则：sudo firewall-cmd --list-all
3. 端口监听：sudo ss -tulnp | grep ssh
4. 服务端日志：sudo tail -f /var/log/secure 或 /var/log/auth.log，观察连接尝试记录。
5. 客户端调试：ssh -vvv user@host 输出详细调试信息。