1. 为什么要在Linux Mint上启用SSH如果你刚接触Linux Mint或者从Windows/macOS转过来可能会觉得“远程登录”这个概念有点遥远。但相信我一旦你开始管理服务器、需要从另一台电脑访问家里的Mint主机或者只是想在一个更舒服的电脑上调试另一台机器的代码SSHSecure Shell就会成为你离不开的工具。它就像一个加密的、功能强大的远程控制台让你能安全地在网络上任何地方操作你的Linux Mint系统。Linux Mint作为一个基于Ubuntu的、对新手极其友好的发行版默认为了安全起见并没有开启SSH服务。这就像你家的大门出厂时是锁着的需要你亲自用钥匙打开。今天要做的就是找到这把“钥匙”并把它配置好。整个过程其实非常简单核心就是安装一个软件包、启动一个服务再做一些安全加固。但细节决定成败比如防火墙规则、密钥登录配置这些才是让SSH既好用又安全的关键。网上很多教程只给命令不说为什么我们这次不仅要“知其然”更要“知其所以然”顺便把那些常见的坑一并填平。2. 安装与启用SSH服务端不止是apt install安装SSH服务端是整个流程的第一步也是最基础的一步。在Linux Mint以及绝大多数基于Debian/Ubuntu的系统上我们通常安装的是OpenSSH Server这是最流行、最标准的实现。2.1 更新系统与安装OpenSSH Server在安装任何新软件之前更新本地软件包列表是一个好习惯。这能确保你安装的是仓库中最新的稳定版本。打开终端Terminal你可以通过菜单找到它或者使用快捷键Ctrl Alt T。首先更新软件包列表sudo apt update这里的sudo是“superuser do”的缩写它允许普通用户以管理员root权限执行命令。apt update并不会升级任何已安装的软件它只是从配置的软件源服务器下载最新的软件包列表信息。接下来安装OpenSSH服务器sudo apt install openssh-server执行这个命令后apt包管理器会自动处理所有依赖关系。你会看到一个需要下载的软件包列表和所需磁盘空间的提示按Y然后回车确认即可。安装完成后SSH服务sshd即SSH Daemon默认是不会自动启动的。这一点和有些服务不同。我们需要手动启动它并设置为开机自启。2.2 启动服务与设置开机自启启动SSH服务sudo systemctl start ssh在较新的Linux Mint版本中服务名就是ssh。如果你在非常老的系统上可能会遇到服务名为sshd的情况但ssh通常是通用的别名。检查服务是否正在运行sudo systemctl status ssh这个命令会输出服务的详细状态。如果看到绿色的“active (running)”字样并且下面没有红色的错误信息就说明服务已经成功启动。按q键可以退出状态查看。仅仅启动还不够我们还需要让它在每次系统启动时自动运行sudo systemctl enable ssh这个命令会在系统启动流程中创建一个符号链接告诉系统“开机后请自动启动ssh服务”。它现在不会立即重启服务只是配置了自启。注意有些教程会让你用service命令比如sudo service ssh start。在大多数现代系统上service命令其实是systemctl的一个兼容性封装底层调用的还是systemctl。我个人更习惯直接使用systemctl因为它功能更统一、信息更详细。2.3 验证SSH服务是否在监听服务启动了但它真的在“听”吗我们需要确认SSH守护进程是否在监听标准的22号端口。使用netstat命令可能需要安装net-tools包sudo netstat -tlnp | grep :22或者使用更现代的ss命令sudo ss -tlnp | grep :22这两个命令都会列出所有正在监听-l的TCP-t端口并显示对应的进程名-p。通过grep :22过滤后你应该能看到一行输出显示0.0.0.0:22或:::22IPv6并且进程名是sshd。这证明SSH服务已经在22端口上等待连接了。至此最基本的SSH服务就安装并运行起来了。理论上同一网络内的另一台电脑已经可以通过ssh 你的用户名你的Mint主机IP地址来连接了。但先别急我们得把“门”修得更结实一些。3. 防火墙配置为SSH打开一扇安全的门Linux Mint默认安装了UFWUncomplicated Firewall这是一个对用户非常友好的iptables前端。如果你的系统没有启用防火墙那么SSH端口是直接暴露的。启用防火墙并正确配置规则是保护系统的第一道防线。3.1 检查UFW状态首先查看防火墙当前状态sudo ufw status如果输出是Status: inactive说明防火墙未启用。如果已经启用它会列出当前的规则。3.2 为SSH添加允许规则我们需要明确地允许SSH流量通过防火墙。UFW预定义了一些应用配置文件其中就包括ssh。sudo ufw allow ssh这条命令等价于sudo ufw allow 22/tcp因为它使用了/etc/ufw/applications.d/目录下openssh-server文件中定义的端口22。执行后你可以再次检查状态sudo ufw status numberednumbered参数会给规则加上编号方便后续管理。你应该能看到一条类似这样的规则[ 1] 22/tcp ALLOW IN Anywhere3.3 启用防火墙与理解规则顺序如果你之前没有启用防火墙现在可以启用它sudo ufw enable系统会提示你“命令可能会中断现有的ssh连接”输入y确认。这里有个非常重要的细节为什么在已经允许SSH的情况下启用防火墙还可能中断现有连接这是因为UFW的默认策略。当你运行sudo ufw enable时UFW会先清空所有现有连接的状态跟踪表然后应用新的规则集。如果你在启用防火墙时正通过SSH连接在这台机器上操作那么这条连接的状态记录会被清除。当服务器收到你这个连接的下一个数据包时由于找不到对应的状态记录它会将其视为一个新的连接从而需要匹配入站规则。而UFW的默认入站策略default deny incoming是拒绝所有入站连接除非有明确允许的规则。虽然我们有allow ssh规则但它只对新建立的连接有效。对于那个“状态被清空”的旧连接它看起来像一个已建立的连接但UFW可能无法正确处理导致连接卡住或断开。实操心得因此最安全的做法是在物理控制台前或者通过VNC等不会被防火墙影响的本地连接执行启用防火墙的操作。如果你必须远程操作一个折中的办法是先设置好允许SSH的规则然后启用防火墙并做好连接可能会断开的心理准备快速重连一次通常就能恢复。3.4 修改默认SSH端口可选但推荐将SSH服务从默认的22端口移走是减少自动化攻击脚本骚扰的有效手段。成千上万的机器在互联网上不断扫描22端口尝试弱密码。换一个端口能立刻让你清净很多。编辑SSH服务器配置文件sudo nano /etc/ssh/sshd_config找到#Port 22这一行大概在第13行左右。去掉开头的#号取消注释并将22改为一个你喜欢的端口号例如2222。Port 2222端口号选择建议选择一个1024到65535之间的数字避免使用像80、443、21等知名服务端口。也不要使用像2222、22222这样太常见的替代端口。保存并退出在nano中按CtrlX然后按Y确认再回车。重要修改端口后必须同步更新防火墙规则先添加新端口的允许规则sudo ufw allow 2222/tcp然后务必删除旧的22端口规则如果你不再需要它。用sudo ufw status numbered查看22端口规则的编号假设是1sudo ufw delete 1重启SSH服务使配置生效sudo systemctl restart ssh最后在重启服务前务必确保你当前的SSH连接窗口不要关闭最好新开一个终端窗口用新端口测试连接成功后再关闭旧会话。命令格式变为ssh -p 2222 你的用户名你的Mint主机IP地址4. 配置SSH密钥登录告别密码拥抱安全与便捷密码登录有被暴力破解的风险而SSH密钥对公钥和私钥提供了更安全、更便捷的登录方式。其原理是非对称加密你将公钥放在服务器上私钥留在本地客户端。连接时服务器用公钥加密一个挑战只有拥有对应私钥的客户端能解密并回应从而证明身份。4.1 在客户端生成密钥对在你的个人电脑比如你的Windows/Mac/Laptop上操作而不是Mint服务器上。ssh-keygen -t ed25519 -C your_emailexample.com-t ed25519: 指定密钥类型为Ed25519它比传统的RSA更安全、更快、密钥更短。如果你的老系统不支持可以用-t rsa -b 4096。-C: 添加一个注释通常用邮箱方便标识这个密钥的归属。接下来会提示你“Enter file in which to save the key”: 直接回车使用默认路径~/.ssh/id_ed25519。“Enter passphrase”:强烈建议设置一个密码短语。这为你的私钥加了一层保护即使私钥文件被盗没有密码也无法使用。输入一个你能记住的强密码。完成后会在~/.ssh/目录下生成两个文件id_ed25519: 私钥文件必须像保护密码一样保护它绝不能泄露。id_ed25519.pub: 公钥文件可以放心地交给任何服务器。4.2 将公钥部署到Linux Mint服务器有多种方法将公钥内容复制到服务器最常用的是ssh-copy-id命令但它需要服务器当前仍允许密码登录我们下一步就会禁用它。在你的客户端电脑上执行ssh-copy-id -p 2222 你的用户名你的Mint主机IP地址(-p 2222是如果你修改了SSH端口的话需要加上的) 它会提示你输入服务器上对应用户的密码。输入正确后它会自动将你的公钥内容追加到服务器上该用户家目录下的~/.ssh/authorized_keys文件中。如果ssh-copy-id不可用可以手动操作在客户端查看公钥内容cat ~/.ssh/id_ed25519.pub全选复制。登录到Mint服务器ssh -p 2222 userhost。在服务器上确保~/.ssh目录存在且权限正确mkdir -p ~/.ssh chmod 700 ~/.ssh将复制的公钥内容追加到authorized_keys文件echo “粘贴你的公钥内容” ~/.ssh/authorized_keys设置authorized_keys文件的权限chmod 600 ~/.ssh/authorized_keys权限非常重要如果~/.ssh或authorized_keys文件的权限过于开放如群组或其他用户可写SSH服务器出于安全考虑会拒绝使用密钥登录。4.3 测试密钥登录并禁用密码登录部署好公钥后新开一个终端窗口尝试用密钥登录ssh -p 2222 你的用户名你的Mint主机IP地址如果之前设置了私钥密码短语这时会提示你输入而不是服务器用户的密码。登录成功后说明密钥配置正确。现在可以安全地禁用密码登录了。再次编辑服务器的/etc/ssh/sshd_config文件sudo nano /etc/ssh/sshd_config找到以下行并进行修改PasswordAuthentication no PubkeyAuthentication yesPasswordAuthentication no: 彻底关闭密码认证。从此不知道你私钥的人无法通过任何方式用密码登录。PubkeyAuthentication yes: 确保公钥认证是开启的默认就是yes。还有一个相关的强大选项是ChallengeResponseAuthentication也将其设为no。保存文件并重启SSH服务sudo systemctl restart ssh再次强调执行重启前请确保你至少有一个通过密钥认证成功的活跃SSH会话以防配置错误导致自己锁在门外。在这个测试会话里执行重启命令是安全的。5. 高级安全加固与日常管理完成以上步骤你的SSH服务已经相当安全了。但如果你想让服务器面向公网或者有更高的安全需求还可以做更多。5.1 使用Fail2Ban抵御暴力破解即使改了端口、禁了密码攻击者依然会扫描和尝试。Fail2Ban会监控系统日志如/var/log/auth.log当发现同一个IP在短时间内有多次失败的登录尝试时自动将其IP加入防火墙黑名单一段时间。安装Fail2Bansudo apt install fail2ban它安装后就会自动运行并启用一个基础的jail监控策略。针对SSH的配置通常位于/etc/fail2ban/jail.local如果不存在可以复制默认配置sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local sudo nano /etc/fail2ban/jail.local找到[sshd]部分你可以调整一些参数例如[sshd] enabled true port 2222 # 如果你修改了SSH端口这里一定要改 maxretry 5 # 最大重试次数 bantime 3600 # 禁止时间秒这里是一小时 findtime 600 # 在多少秒内达到maxretry则封禁保存后重启Fail2Ban服务sudo systemctl restart fail2ban你可以查看状态来监控被封禁的IPsudo fail2ban-client status sshd5.2 限制root用户直接登录即使禁用了密码登录允许root用户直接通过SSH密钥登录也存在风险。最佳实践是禁止root直接登录先用普通用户登录再通过sudo提权。在/etc/ssh/sshd_config中设置PermitRootLogin no这能有效减少攻击面。5.3 使用非标准端口与防火墙白名单除了修改端口你还可以结合防火墙实现只允许特定IP地址访问SSH端口这在家用或办公室固定IP的环境下非常安全。假设你的办公IP是123.123.123.123删除之前的通用允许规则添加一条针对性的规则sudo ufw delete allow 2222/tcp # 删除旧的通用规则 sudo ufw allow from 123.123.123.123 to any port 2222 proto tcp这样只有来自这个IP的流量才能连接到你的2222端口其他所有地址的请求都会被防火墙直接拒绝连SSH服务本身都接收不到。5.4 SSH服务管理与日志查看查看SSH服务状态sudo systemctl status ssh查看SSH服务日志sudo journalctl -u ssh -f-f表示实时跟踪日志输出。这里可以看到所有的登录尝试成功或失败是排查连接问题的重要依据。重启SSH服务sudo systemctl restart ssh在修改了sshd_config后必须执行。重新加载配置sudo systemctl reload ssh如果只是调整了一些不涉及网络监听的参数可以用reload它不会中断现有连接更友好。6. 客户端连接实践与故障排查服务器端配置好了我们来聊聊客户端怎么连以及连不上时怎么办。6.1 从不同客户端连接Linux/macOS 终端直接使用ssh命令如ssh -p 2222 userhost.ip。WindowsWindows 10/11 自带的OpenSSH客户端在PowerShell或CMD中命令同上。可能需要先在“设置-应用-可选功能”中添加“OpenSSH客户端”。PuTTY经典图形化工具。在“Host Name”填IP在“Connection - SSH - Auth”中指定私钥文件.ppk格式需要用PuTTYgen工具将你的id_ed25519转换一下在“Connection - Data”中填用户名。Windows Terminal配合自带的SSH很好用。VS Code Remote - SSH强大的开发利器。安装Remote-SSH扩展后点击左下角绿色图标选择“Connect to Host...”然后输入ssh -p 2222 userhost.ip格式的命令即可。VS Code能很好地处理密钥和密码短语。6.2 常见连接问题与排查思路问题Connection refused可能原因1服务没运行。在服务器上检查sudo systemctl status ssh。可能原因2防火墙阻止。在服务器上检查sudo ufw status确认端口规则正确。可以临时sudo ufw disable测试测试后记得重新启用。可能原因3端口错误。确认客户端命令中的端口号与服务器sshd_config中的Port设置一致。可能原因4IP地址错误。在服务器上用ip addr或hostname -I查看正确IP。问题Permission denied (publickey)可能原因1客户端私钥路径或权限问题。确保ssh命令能找到私钥默认~/.ssh/id_ed25519并且权限是600 (chmod 600 ~/.ssh/id_ed25519)。可能原因2服务器上公钥未正确部署。检查服务器上~/.ssh/authorized_keys文件内容、权限必须600和所有者。可能原因3sshd_config中PubkeyAuthentication被设为no。可能原因4尝试用密码登录但已禁用。确认你是否在尝试使用密钥登录。问题连接超时可能原因1网络不通。用ping命令测试服务器IP是否可达。可能原因2中间网络设备如路由器未做端口转发。如果你从外网连接内网的Mint主机需要在路由器上设置端口转发将公网IP的某个端口转发到Mint主机的内网IP和SSH端口如2222。通用排查命令在客户端使用-vverbose参数获取详细输出信息量巨大ssh -v -p 2222 userhost.ip。使用-vvv可以获得最详细的信息。在服务器端实时查看SSH登录日志sudo tail -f /var/log/auth.log。任何连接尝试都会在这里留下记录。7. 维护与最佳实践总结启用SSH只是开始持续的维护才能保证长期的安全与稳定。定期更新保持系统和OpenSSH软件包更新是修补安全漏洞最基本的方法。sudo apt update sudo apt upgrade审计授权密钥定期检查~/.ssh/authorized_keys文件移除不再使用或来源不明的公钥。关注日志偶尔看一眼/var/log/auth.log或使用journalctl -u ssh了解是否有异常登录尝试。Fail2Ban的日志在/var/log/fail2ban.log。备份配置在对/etc/ssh/sshd_config进行重大修改前先备份一份sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak。考虑使用证书认证对于拥有大量服务器和用户的企业环境SSH证书认证由内部CA签发比分发公钥更易于管理。但对于个人或小团队密钥对已经足够。不要完全依赖安全通过隐匿改端口能防住大部分自动化脚本但决心坚定的攻击者还是会进行全端口扫描。因此密钥认证、Fail2Ban、防火墙白名单这些层层叠加的防御措施才是根本。从我自己的使用经验来看在Linux Mint上配置SSH最关键的其实就三步安装启动服务、配置防火墙、改用密钥登录并禁用密码。做完这些安全性就有了质的飞跃。过程中最容易出错的点是文件权限.ssh目录700authorized_keys文件600和修改端口后忘了更新防火墙规则。只要按照流程一步一步来并在每次可能影响现有连接的操作如重启服务、启用防火墙前留好“后路”整个过程就会非常顺利。现在你的Linux Mint已经准备好安全地接受远程访问了。
![[光学原理与应用-521]：对光的错误理解与纠偏](http://pic.xiahunao.cn/yaotu/[光学原理与应用-521]：对光的错误理解与纠偏)
