Linux Server
SSH Config
Advanced

文章目录

前言：接续上一篇的进阶教程

这是接续上一篇内容的进阶教程。当你的手里从一台 VPS 变成了两台、三台,甚至拥有了不同服务商（AWS、Oracle、搬瓦工）的机器时,记忆那一堆毫无规律的 IP 地址和各不相同的端口号（特别是 NAT 机器）就是一场噩梦。

这篇博客将教你如何优雅地管理”云端后宫”。

💡 提示：在开始之前,请确保您已经完成了上一篇教程中的SSH密钥生成和免密登录配置。

⚠️ 注意：本教程适用于Windows PowerShell环境,Linux/macOS用户操作类似,但路径可能不同。

一、原理解析：一把钥匙能不能开多扇门？

很多新手在买第二台 VPS 时会纠结：**”我需要重新生成一对新的公钥和私钥吗？”**

答案是：不需要（但在某些高安场景下建议区分）。

这里涉及一点计算机密码学原理：

  • 私钥 (Private Key)：保存在你本地电脑里的核心机密。你可以把它理解为你的生物指纹。
  • 公钥 (Public Key)：是根据私钥计算出来的一串字符。你可以把它理解为指纹锁的存储数据。

通信原理是这样的：

当你发起连接时,你的电脑（客户端）会用私钥对一段数据签名,发给服务器。服务器用它手里存着的公钥（authorized_keys）去验证这个签名。如果解密成功,证明你确实拥有那个私钥,验证通过。

结论：

你完全可以把你的”指纹数据”（公钥）录入到世界各地无数台 VPS 的”指纹锁”里。只要你手里的”手指”（私钥）不丢,你就能打开所有录入了你公钥的服务器。

所以,管理多台 VPS 的第一步：把上一篇教程里生成的同一个 id_rsa.pub 内容,粘贴到所有 VPS 的 ~/.ssh/authorized_keys 文件中。

💡 密钥复用原理：SSH公钥认证基于非对称加密算法,一个私钥可以对应多个公钥部署,这是SSH协议的标准特性。

二、核心实战：配置 SSH Config 文件

Windows 的 PowerShell 和 Linux/Mac 的终端一样,都遵循 OpenSSH 的标准。我们可以通过创建一个配置文件,把复杂的 IP 和端口”起个外号”。

1. 找到或创建 Config 文件

这个文件位于你用户目录的 .ssh 文件夹下。

  • 路径：C:\Users\你的用户名\.ssh\config
  • 注意：这个文件没有后缀名（不是 .txt）,文件名就叫 config。

你可以在 PowerShell 中直接用记事本打开（如果文件不存在,系统会提示创建）：

1
notepad $env:USERPROFILE\.ssh\config

💡 提示：如果你使用的是 Git Bash 或 WSL,路径为 ~/.ssh/config。

2. 编写配置（抄作业时间）

在打开的记事本中,按照以下格式输入你的 VPS 信息。假设你有两台机器：一台是标准的美国 VPS,一台是端口特殊的 NAT 机器。

1
2
3
4
5
6
7
8
9
10
11
12
13
# 第一台机器：美国主力机
Host us-server
    HostName 192.168.1.100
    User root
    Port 22
    IdentityFile ~/.ssh/id_rsa

# 第二台机器：日本NAT小鸡
Host jp-nat
    HostName 203.0.113.5
    User root
    Port 35002
    IdentityFile ~/.ssh/id_rsa

参数详解：

  • Host: 最重要的部分。这是你给服务器起的”外号”（别名）。你想叫它 vps1、myblog 或者 gfw 都可以。
  • HostName: 服务器真实的 IP 地址或域名。
  • User: 登录用户名（通常是 root,有些云厂商如 AWS 可能是 ubuntu 或 ec2-user）。
  • Port: 端口号。如果是默认的 22 其实可以不写,但为了保险建议写上。
  • IdentityFile: 指定使用哪个私钥。如果你所有机器都用同一个私钥,这行其实也可以省略（默认就是读 id_rsa）,但显式写出来逻辑更清晰。

⚠️ 注意：配置文件中的缩进必须使用空格,不能使用 Tab 键,否则可能导致配置无法生效。

3. 保存并测试

保存文件并关闭记事本。

现在,回到 PowerShell,见证奇迹的时刻。你不再需要输入 IP,只需要输入你设置的 Host 别名：

1
ssh us-server

或者

1
ssh jp-nat

系统会自动去 config 文件里查找 jp-nat 对应的 IP 是多少,端口是多少,用哪个私钥,然后自动发起连接。

🎉 恭喜你！ 现在你可以用简短的别名连接任何服务器了。

三、进阶思考：这和 DNS 原理很像？

不仅是像,这本质上就是一种本地化的命名服务。

在互联网通信原理中,DNS（域名系统）的作用是把好记的域名（如 google.com）解析成难记的 IP 地址（如 142.250.x.x）。

你在电脑上配置的 ~/.ssh/config 文件,其实就是你的私人 SSH 电话本。

  • 你不需要记忆数字（IP）。
  • 你不需要记忆门牌号（Port）。
  • 你只需要呼叫名字（Host）。

这种设计模式在计算机科学中非常常见,它体现了**”抽象”和”封装”**的核心思想：将复杂的底层细节隐藏起来,提供简洁易用的接口。

四、安全小贴士

既然我们提到了”密钥循环利用”：

1. 私钥保护是底线

因为你的私钥（id_rsa）现在能打开你名下所有的服务器,所以绝对不能泄露这个文件。如果你的笔记本电脑经常借给别人用,建议给私钥加上密码（Passphrase,在生成密钥时设置）。

⚠️ 重要警告：如果你的私钥泄露,攻击者将能够访问你所有配置了该公钥的服务器。务必妥善保管！

2. 鸡蛋不要放在一个篮子里

虽然复用密钥很方便,但对于生产环境（比如存有重要客户数据的服务器）和测试环境（随便折腾的廉价 VPS）,建议生成两对不同的密钥分开管理。你只需要在 config 文件里的 IdentityFile 字段指定不同的私钥路径即可。

示例配置：

1
2
3
4
5
6
7
8
9
10
11
12
13
# 生产环境服务器
Host production
    HostName prod.example.com
    User deploy
    Port 22
    IdentityFile ~/.ssh/id_rsa_prod

# 测试环境服务器
Host test
    HostName test.example.com
    User deploy
    Port 22
    IdentityFile ~/.ssh/id_rsa_test

3. 定期轮换密钥

出于安全考虑,建议定期（如每6-12个月）更换SSH密钥对,特别是在怀疑私钥可能泄露的情况下。

总结

现在你已经掌握了：

  1. 密钥复用：用同一个公钥部署到多台机器。
  2. Config 管理：用 Host 别名替代复杂的 IP 连接命令。

下次再买新的 VPS,只需要两步：

  1. 把公钥扔进去。
  2. 在 config 文件加一段配置。

从此告别小本本记 IP 的日子！

常见问题

Q1: SSH Config 配置不生效怎么办？

A: 检查以下几点：

  1. 确认文件路径正确：C:\Users\你的用户名\.ssh\config
  2. 确认文件权限正确：Windows下通常不需要特殊权限,但确保文件不是只读的
  3. 检查配置文件语法：使用 ssh -F ~/.ssh/config -T hostname 测试配置
  4. 确认缩进使用空格而非 Tab 键

Q2: 如何在多台电脑上使用相同的配置？

A: 有两种方法：

  1. 复制配置文件：将 config 文件复制到其他电脑的 .ssh 目录中
  2. 使用云同步：将 .ssh 目录同步到云盘（如 OneDrive、Dropbox）,但要注意安全风险

Q3: 如何为不同的服务器设置不同的私钥密码？

A: 每个私钥文件都可以在生成时设置独立的 Passphrase。SSH Agent 可以帮你管理多个密钥：

1
2
3
4
5
6
# 启动 SSH Agent
ssh-agent bash

# 添加多个私钥
ssh-add ~/.ssh/id_rsa
ssh-add ~/.ssh/id_rsa_prod

Q4: Config 文件支持通配符吗？

A: 支持！你可以使用通配符来批量配置相似的服务器：

1
2
3
4
5
# 所有以 dev- 开头的服务器
Host dev-*
    User developer
    Port 22
    IdentityFile ~/.ssh/id_rsa_dev

这样 ssh dev-web、ssh dev-db 都会使用相同的配置。

Q5: 如何查看当前使用的配置？

A: 使用 -v 参数可以查看详细的调试信息：

1
ssh -v us-server

输出会显示SSH客户端使用的配置文件和匹配的配置项。

进阶技巧

使用 SSH Config 的更多功能

SSH Config 文件支持很多高级配置选项：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
Host myserver
    HostName example.com
    User root
    Port 22
    IdentityFile ~/.ssh/id_rsa
    
    # 保持连接活跃
    ServerAliveInterval 60
    ServerAliveCountMax 3
    
    # 压缩传输
    Compression yes
    
    # 跳板机配置
    ProxyJump jumpserver

使用 ProxyJump 实现跳板机

如果你需要通过跳板机访问内网服务器：

1
2
3
4
5
6
7
8
9
10
11
# 跳板机
Host jumpserver
    HostName jump.example.com
    User jumpuser
    Port 22

# 内网服务器
Host internal
    HostName 192.168.1.100
    User internaluser
    ProxyJump jumpserver

现在 ssh internal 会自动通过跳板机连接到内网服务器。

参考资料

Happy Hacking! 🚀

如果你在配置过程中遇到任何问题,欢迎在评论区留言讨论！