如何禁用密码登录SSH？
全面指南：如何禁用SSH密码登录以增强服务器安全
在当今数字化时代，服务器安全是每个系统管理员和开发者的首要任务。SSH（Secure Shell）作为远程管理服务器的标准协议，其安全性直接关系到整个系统的安危。默认情况下，SSH允许使用密码进行身份验证，但这往往成为安全链条中最薄弱的一环。本文将深入探讨如何禁用SSH密码登录，转而采用更安全的密钥认证方式，并提供详细步骤、注意事项及故障排除方法，帮助您大幅提升服务器的安全防护水平。
为什么需要禁用SSH密码登录？
在深入操作之前，理解禁用密码登录的必要性至关重要。密码登录面临多种安全威胁：
- 暴力破解攻击：黑客使用自动化工具尝试大量用户名和密码组合，弱密码极易被攻破。
- 密码泄露风险：密码可能在传输中被截获，或因用户在其他平台重复使用而泄露。
- 管理不便：强密码策略要求复杂密码，难以记忆，且定期更换增加管理负担。
相比之下，SSH密钥认证使用非对称加密技术，包含公钥和私钥。公钥存储在服务器上，私钥保留在客户端且可设置密码保护。即使公钥被泄露，没有私钥也无法登录，从而提供更高级别的安全保障。
准备工作：生成SSH密钥对
在禁用密码登录前，必须确保您拥有可用的SSH密钥对并能成功登录。以下是生成密钥对的步骤：
- 在本地终端运行：
ssh-keygen -t rsa -b 4096 -C "your_email@example.com" - 按提示选择密钥保存路径（默认为~/.ssh/id_rsa）和设置私钥密码（可选但推荐）。
- 生成后，将公钥（如id_rsa.pub）上传到服务器：
ssh-copy-id user@your_server_ip - 测试密钥登录：
ssh user@your_server_ip，确认无需密码即可登录。
重要提示：务必在开启新会话测试密钥登录成功前，保持现有SSH连接，以防配置错误导致锁定。
分步指南：禁用SSH密码登录
完成密钥测试后，即可开始配置SSH服务器以禁用密码认证。
步骤1：编辑SSH服务器配置文件
通过SSH连接到服务器，使用文本编辑器打开sshd_config文件：
sudo nano /etc/ssh/sshd_config步骤2：修改关键配置参数
找到并确保以下参数设置如下：
PubkeyAuthentication yes– 启用公钥认证PasswordAuthentication no– 禁用密码认证ChallengeResponseAuthentication no– 禁用挑战响应认证PermitEmptyPasswords no– 禁止空密码
若某些行被注释（以#开头），请取消注释并修改值。建议同时设置UsePAM no以完全禁用PAM模块的密码认证。
步骤3：应用配置并重启SSH服务
保存文件后，检查配置语法是否正确：
sudo sshd -t若无错误输出，则重启SSH服务使更改生效：
sudo systemctl restart sshd # 对于Systemd系统
# 或 sudo service ssh restart # 对于SysVinit系统验证与故障排除
重启服务后，切勿关闭当前SSH会话。打开新的终端窗口，尝试使用密钥登录服务器。成功后，再尝试使用密码登录（如ssh -o PreferredAuthentications=password user@server），此时应被拒绝。
常见问题与解决方案：
- 无法密钥登录：检查~/.ssh/authorized_keys文件权限（应为600），及父目录权限（应为700）。
- 服务重启失败：运行
sudo sshd -t检查语法错误，常见于参数拼写错误。 - 紧急恢复：若被锁定，通过服务器控制台（如AWS EC2的实例连接、DigitalOcean的控制台访问）直接登录，恢复密码设置或检查密钥。
额外安全加固建议
禁用密码登录后，可进一步强化SSH安全：
- 更改默认SSH端口：修改
Port为1024-65535间的非标准端口，减少自动化攻击扫描。 - 使用fail2ban：安装并配置fail2ban，自动封锁多次登录失败的IP地址。
- 限制root登录：设置
PermitRootLogin no，强制使用普通用户登录后再切换。 - 限制用户和IP：通过
AllowUsers或AllowGroups指定允许登录的用户，结合防火墙限制源IP。
总结
禁用SSH密码登录是服务器安全基础却关键的一步。通过切换至密钥认证，您不仅消除了暴力破解的主要风险，还提升了身份验证的可靠性。本文提供的逐步指南旨在帮助您安全、顺利地完成此过渡。请记住，安全是一个持续的过程，结合多因素认证、定期更新密钥和监控日志，才能构建深度防御体系。立即行动，为您服务器的第一道防线加上坚固的锁！
