# 实际观察这个过程
ssh -v host 2>&1 | grep -E 'Offering|Server accepts|Authentication succeeded'
# debug1: Offering public key: /home/lhx/.ssh/id_ed25519 ED25519 SHA256:xxx
# debug1: Server accepts key: /home/lhx/.ssh/id_ed25519 ED25519 SHA256:xxx
# debug1: Authentication succeeded (publickey).

# ✅ 推荐：ed25519（现代默认）
ssh-keygen -t ed25519 -C "lhx@laptop-2026"

# 需要兼容老系统（OpenSSH < 6.5）时用 RSA，且至少 3072 位
ssh-keygen -t rsa -b 4096 -C "lhx@laptop-2026"

# ── 常用操作 ──
ssh-keygen -t ed25519 -a 100 -C "lhx@laptop-2026" -f ~/.ssh/id_ed25519
ssh-keygen -l -f ~/.ssh/id_ed25519.pub          # 看指纹
# 256 SHA256:abc123... lhx@laptop-2026 (ED25519)
ssh-keygen -y -f ~/.ssh/id_ed25519 > id.pub     # ✅ 从私钥恢复公钥
ssh-keygen -p -f ~/.ssh/id_ed25519              # 改私钥的密码短语
ssh-keygen -t ed25519 -N '' -f ./deploy_key     # 无密码密钥（CI/自动化用）

# 为不同用途生成不同密钥（推荐做法）
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_github -C "github"
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_prod  -C "prod-servers"
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_ci    -C "ci-deploy" -N ''
# 好处：某个用途的密钥泄漏时，只需更换那一个

# ✅ 最简单：ssh-copy-id
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@host
ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 2222 user@host

# 手动方式（没有 ssh-copy-id 时）
cat ~/.ssh/id_ed25519.pub | ssh user@host \
  'mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys'

# 从 GitHub 拉某人的公钥（团队协作时方便）
curl -fsS https://github.com/username.keys >> ~/.ssh/authorized_keys
ssh-import-id gh:username                       # Ubuntu 上的工具

# 验证
ssh -o PreferredAuthentications=publickey -o PasswordAuthentication=no user@host 'echo OK'
#    ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ 强制只用公钥，确认密钥真的生效了

cat ~/.ssh/authorized_keys
# 基本格式：[选项] 算法 公钥 注释
ssh-ed25519 AAAAC3Nza... lhx@laptop

# ✅ 限制这个密钥只能执行特定命令（部署、备份场景的核心手段）
command="/usr/local/bin/deploy.sh",no-port-forwarding,no-agent-forwarding,no-pty,no-X11-forwarding ssh-ed25519 AAAA... ci-deploy
# 用这个密钥登录时，无论客户端敲什么命令，服务端都只执行 deploy.sh
# 原始命令存在 $SSH_ORIGINAL_COMMAND 环境变量里（脚本可以据此分派）

# ✅ 限制来源 IP
from="10.0.0.0/8,192.168.1.5" ssh-ed25519 AAAA... office-only

# ✅ 限制端口转发（只允许转发到特定目标）
permitopen="127.0.0.1:5432" ssh-ed25519 AAAA... db-tunnel-only

# 其他选项
restrict                     # ✅ 一次性禁用所有转发、pty、agent（然后按需 permit）
no-pty                       # 不分配伪终端（防止交互式 shell）
no-port-forwarding
no-agent-forwarding
no-X11-forwarding
expiry-time="20261231"       # 密钥过期时间（OpenSSH 8.2+）
environment="FOO=bar"        # 设置环境变量（需 sshd 开 PermitUserEnvironment）
tunnel="0"                   # 允许 tun 设备转发

# 服务端 ~deploy/.ssh/authorized_keys
restrict,command="/usr/local/bin/ci-deploy.sh",from="10.20.0.0/16" ssh-ed25519 AAAA... ci
#^^^^^^^^ 先全禁，command 限定动作，from 限定来源

# /usr/local/bin/ci-deploy.sh 里根据原始命令分派
#!/bin/bash
set -euo pipefail
case "$SSH_ORIGINAL_COMMAND" in
  "deploy "*)  exec /opt/scripts/deploy.sh "${SSH_ORIGINAL_COMMAND#deploy }" ;;
  "rollback")  exec /opt/scripts/rollback.sh ;;
  "status")    exec systemctl status myapp ;;
  *)           echo "不允许的命令: $SSH_ORIGINAL_COMMAND" >&2; exit 1 ;;
esac

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_ed25519           # 私钥
chmod 644 ~/.ssh/id_ed25519.pub       # 公钥
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/config
chmod 644 ~/.ssh/known_hosts
chmod go-w ~                          # ✅ 家目录不能被组/其他人写

# 客户端看到的现象（很有迷惑性：明明配了密钥却要输密码）
ssh -v host
# debug1: Authentications that can continue: publickey,password
# ... 然后要求输密码

# 服务端日志里才有真正的原因
sudo journalctl -u sshd | tail
# Authentication refused: bad ownership or modes for directory /home/lhx
# Authentication refused: bad ownership or modes for file /home/lhx/.ssh/authorized_keys

# 私钥权限太松时客户端会直接拒绝
ssh host
# @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
# @    WARNING: UNPROTECTED PRIVATE KEY FILE!          @
# Permissions 0644 for '/home/lhx/.ssh/id_ed25519' are too open.
chmod 600 ~/.ssh/id_ed25519           # 修复

# 一键修复所有权限
chmod 700 ~/.ssh && chmod 600 ~/.ssh/id_* ~/.ssh/authorized_keys 2>/dev/null
chmod 644 ~/.ssh/*.pub ~/.ssh/known_hosts 2>/dev/null
chmod go-w ~

eval "$(ssh-agent -s)"                    # 启动 agent（会设置两个环境变量）
# Agent pid 12345
echo $SSH_AUTH_SOCK                      # /tmp/ssh-XXXX/agent.12345  <- 通信用的 socket

ssh-add ~/.ssh/id_ed25519                # 加载私钥（此时输一次密码短语）
ssh-add -l                               # ✅ 列出已加载的密钥
ssh-add -L                               # 列出公钥内容
ssh-add -d ~/.ssh/id_ed25519             # 移除一个
ssh-add -D                               # 移除全部
ssh-add -t 3600 ~/.ssh/id_ed25519        # ✅ 1 小时后自动移除（更安全）
ssh-add -x / -X                          # 锁定 / 解锁 agent（需密码）

# macOS：存进 Keychain，重启后自动加载
ssh-add --apple-use-keychain ~/.ssh/id_ed25519

# Linux 上通常由桌面环境或 systemd 用户服务自动启动
systemctl --user status ssh-agent
# 或在 ~/.bashrc 里做惰性启动
[[ -z "$SSH_AUTH_SOCK" ]] && eval "$(ssh-agent -s)" >/dev/null

ssh -A user@jumphost                     # 把本地 agent「转发」给远程主机
# 好处：在跳板机上可以直接 ssh 到内网机器，不用把私钥拷到跳板机
# ⚠️ 风险：跳板机上的 root（或攻破跳板机的攻击者）能通过那个 socket
#         【用你的身份签名】，即冒充你登录任何你有权限的机器
#         虽然拿不到私钥本身，但等于临时借用了你的身份

# ✅ 更安全的替代：ProxyJump（-J），见 5.4
ssh -J user@jumphost user@target         # 认证在【本地】完成，跳板机只做 TCP 转发

ssh newhost
# The authenticity of host 'newhost (10.0.0.5)' can't be established.
# ED25519 key fingerprint is SHA256:abc123def456...
# This key is not known by any other names.
# Are you sure you want to continue connecting (yes/no/[fingerprint])?

# 严谨的做法是【通过可信渠道核对指纹】而不是直接敲 yes
# 在服务器上（通过云控制台/其他可信途径）执行：
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
# 256 SHA256:abc123def456... root@server (ED25519)
#            ^^^^^^^^^^^^^^^ 与客户端提示的比对，一致才敲 yes

# 也可以直接输入指纹来确认（OpenSSH 8.x+ 支持）
# Are you sure you want to continue connecting (yes/no/[fingerprint])? SHA256:abc123...

cat ~/.ssh/known_hosts
# |1|hash1=|hash2= ssh-ed25519 AAAAC3Nza...
# ^^^^^^^^^^^^^^^^ 主机名被哈希了（HashKnownHosts yes，Debian 系默认）
# 10.0.0.5 ssh-ed25519 AAAAC3Nza...       <- 未哈希的样子

ssh-keygen -F 10.0.0.5                    # ✅ 查找某主机的记录（哈希了也能查）
ssh-keygen -R 10.0.0.5                    # ✅ 移除某主机（重装服务器后用）
ssh-keygen -H                             # 把现有记录哈希化
ssh-keyscan -t ed25519 10.0.0.5           # 获取服务器的 host key
ssh-keyscan -H 10.0.0.5 >> ~/.ssh/known_hosts     # ⚠️ 批量添加（跳过了指纹核对！）

# 系统级的 known_hosts（对所有用户生效）
sudo ssh-keyscan -H host >> /etc/ssh/ssh_known_hosts

ssh host
# @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
# @    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
# @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
# IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
# Offending ECDSA key in /home/lhx/.ssh/known_hosts:42

# ✅ 正确处理流程
# ① 先通过【可信渠道】拿到服务器的真实指纹（云控制台、带外管理、同事确认）
# ② 与警告里显示的指纹比对
# ③ 一致 -> 删掉旧记录
ssh-keygen -R host
ssh host                                 # 重新确认新指纹

# ❌ 不要养成这个习惯（等于放弃了 MITM 防护）
ssh -o StrictHostKeyChecking=no host

# ── 一次性：创建 CA ──
ssh-keygen -t ed25519 -f host_ca -C 'Host CA'      # 主机 CA
ssh-keygen -t ed25519 -f user_ca -C 'User CA'      # 用户 CA

# ── 给主机签发证书 ──
ssh-keygen -s host_ca -I server01 -h -n server01.example.com,10.0.0.5 \
           -V +52w /etc/ssh/ssh_host_ed25519_key.pub
#          ^^ -h 表示这是主机证书  -n 是有效的主机名  -V 有效期
# 服务端 /etc/ssh/sshd_config：
#   HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub
# 客户端 ~/.ssh/known_hosts 里只需一行：
#   @cert-authority *.example.com ssh-ed25519 AAAA...（host_ca 的公钥）
# ✅ 之后所有 *.example.com 的机器都自动被信任，重装只需重新签发

# ── 给用户签发证书 ──
ssh-keygen -s user_ca -I 'lhx@company' -n lhx,deploy -V +8h ~/.ssh/id_ed25519.pub
#                                         ^^^^^^^^^^ 允许登录的用户名  ^^^^ 8 小时后过期
# 服务端 sshd_config：
#   TrustedUserCAKeys /etc/ssh/user_ca.pub
# ✅ 之后不用维护 authorized_keys，且证书自动过期（离职/泄漏的风险窗口很小）

ssh-keygen -L -f ~/.ssh/id_ed25519-cert.pub        # 查看证书内容与有效期

# ❌ 没有 config 时，每次都要写全
ssh -p 2222 -i ~/.ssh/id_ed25519_prod -o ServerAliveInterval=30 \
    -J bastion.example.com deploy@10.20.30.40

# ✅ 有了 config
ssh prod-web1

vim ~/.ssh/config          # 权限要 600

# 两个实用技巧
Host *
    Include ~/.ssh/config.d/*            # ✅ 按项目/客户拆分配置文件

Match host *.internal exec "nc -z bastion 22"
    ProxyJump bastion
# ✅ Match + exec：只在跳板机可达时才用它（在公司内网直连，在外网走跳板）

# 验证配置的实际生效值（排查配置没生效时用）
ssh -G prod-web1                         # ✅ 打印所有最终生效的选项
ssh -G prod-web1 | grep -E 'hostname|user|port|identityfile|proxyjump'

ssh -L 15432:10.0.1.20:5432 user@bastion
#      ^^^^^ ^^^^^^^^^^^^^^^^
#      本地端口  从【服务端】视角能访问到的目标地址:端口

# 之后本地连数据库
psql -h 127.0.0.1 -p 15432 -U dbuser mydb
mysql -h 127.0.0.1 -P 13306 -u root -p

# 常见用法
ssh -L 15432:127.0.0.1:5432 user@dbserver      # 目标就是 ssh 服务器自己
ssh -L 8080:internal-web:80 user@bastion       # 访问内网 Web
ssh -L 16379:redis.internal:6379 user@bastion  # Redis
ssh -NL 15432:127.0.0.1:5432 user@host         # ✅ -N 不执行远程命令（只做隧道）
ssh -fNL 15432:127.0.0.1:5432 user@host        # ✅ -f 转到后台
ssh -L 0.0.0.0:15432:db:5432 user@host         # ⚠️ 监听所有网卡（局域网其他人也能用）

# 在 config 里固化
Host prod-db
    HostName 10.0.1.20
    ProxyJump bastion
    LocalForward 15432 127.0.0.1:5432

ssh -R 9000:127.0.0.1:3000 user@remote
#      ^^^^ 【远程】监听的端口  ^^^^^^^^^^^^^^ 从【客户端】视角的目标

# 典型场景
# ① 让远程服务器回调你本地的开发服务（调试 webhook）
ssh -R 9000:localhost:3000 user@remote
# 远程执行 curl localhost:9000 会打到你本地的 3000

# ② 内网机器没有公网 IP，做反向隧道让外部能访问
# 在内网机器上执行（连到有公网 IP 的服务器）
ssh -fNR 2222:localhost:22 user@public-server
# 之后在 public-server 上：ssh -p 2222 localhost  就连回了内网机器

# ⚠️ 默认远程只监听 127.0.0.1，要让其他机器也能访问需要服务端配合
# 服务端 sshd_config: GatewayPorts yes（或 clientspecified）
ssh -R 0.0.0.0:9000:localhost:3000 user@remote

ssh -D 1080 user@bastion                 # 在本地开一个 SOCKS5 代理
ssh -fND 1080 user@bastion               # 后台运行

# 之后把流量指向它
curl --socks5-hostname 127.0.0.1:1080 https://internal.example.com
export ALL_PROXY=socks5h://127.0.0.1:1080     # h 表示【DNS 也走代理】（重要）
git config --global http.proxy socks5h://127.0.0.1:1080
# 浏览器设置 SOCKS5 代理 127.0.0.1:1080

# 用途：临时访问整个内网（不用为每个服务单独 -L）
# ⚠️ 注意 socks5 vs socks5h 的区别：
#    socks5  -> DNS 在本地解析（内网域名解析不了）
#    socks5h -> DNS 也通过代理解析  ✅

# ✅ 现代写法（OpenSSH 7.3+）
ssh -J user@bastion user@target
ssh -J user@bastion1,user@bastion2 user@target       # 多级跳板

# 等价的老写法
ssh -o ProxyCommand='ssh -W %h:%p user@bastion' user@target
ssh -o ProxyCommand='ssh user@bastion nc %h %p' user@target   # 更老（需要对端有 nc）

# config 里
Host target
    HostName 10.0.1.50
    ProxyJump bastion

# 有了 ProxyJump，这些都能直接用
scp -J user@bastion file user@target:/path/
rsync -av -e 'ssh -J user@bastion' /local/ user@target:/remote/
sftp -J user@bastion user@target

-N          # 不执行远程命令（纯隧道，不会给你 shell）
-f          # 后台运行（通常配 -N）
-T          # 不分配伪终端
-t          # 强制分配伪终端（远程命令需要交互时）
-q          # 静默
-v/-vv/-vvv # 调试输出

# 组合记忆
ssh -fNL 端口转发 host        # 后台跑一条本地转发隧道
ssh -fND 1080 host           # 后台跑一个 SOCKS 代理

# 管理后台隧道
ps aux | grep 'ssh -fN'
pkill -f 'ssh -fNL 15432'

# ✅ 更好的方式：用 autossh 自动重连
autossh -M 0 -fNL 15432:127.0.0.1:5432 user@host
#        ^^^^^ 不用监控端口，靠 ServerAliveInterval 检测断线

# 或者交给 systemd 管（生产上的隧道应该这样做）
# /etc/systemd/system/db-tunnel.service
# [Service]
# ExecStart=/usr/bin/ssh -NL 15432:127.0.0.1:5432 -o ServerAliveInterval=30 \
#           -o ExitOnForwardFailure=yes -i /etc/ssh/tunnel_key user@host
# Restart=always
# RestartSec=10

# ~/.ssh/config
Host *
    ControlMaster auto                   # 自动创建/复用主连接
    ControlPath ~/.ssh/cm-%r@%h:%p       # socket 文件路径（%r 用户 %h 主机 %p 端口）
    ControlPersist 10m                   # ✅ 主连接在最后一个会话退出后再保持 10 分钟

# 效果验证
time ssh host true          # real 0m0.6s     第一次（建主连接）
time ssh host true          # real 0m0.02s    第二次（复用）  ← 快 30 倍

# 管理主连接
ssh -O check host                        # 检查主连接是否存在
ssh -O exit host                         # ✅ 关闭主连接
ssh -O stop host                         # 停止接受新的复用请求
ls ~/.ssh/cm-*                           # 看有哪些主连接

# 手动建一条主连接
ssh -MNf -S ~/.ssh/cm-manual host        # -M 做 master，-S 指定 socket
ssh -S ~/.ssh/cm-manual host 'uptime'    # 复用它

# ⚠️ ① ControlPath 太长会失败（Unix socket 路径有 108 字符限制）
ControlPath ~/.ssh/cm-%C                 # ✅ %C 是 (本地主机,远端主机,端口,用户) 的哈希，很短

# ⚠️ ② 主连接断了，所有复用的会话会一起断
#      不稳定网络上配合 ServerAliveInterval 使用

# 先定位慢在哪一步
ssh -v host 2>&1 | ts -i '%.s'           # 每行前面加上距上一行的耗时（moreutils）
# 或者
time ssh -v host true 2>&1 | tail -30

# ── 原因① 服务端 DNS 反查（最常见）──
# sshd 默认可能对客户端 IP 做反向 DNS 解析，DNS 不通就要等超时
# 服务端 /etc/ssh/sshd_config:
UseDNS no                                # ✅ 关掉（现代版本默认已是 no）

# ── 原因② GSSAPI 认证尝试 ──
# 客户端会先尝试 Kerberos，环境里没有 KDC 就要等超时
# 客户端 ~/.ssh/config:
GSSAPIAuthentication no                  # ✅

# ── 原因③ 试了太多密钥 ──
ssh -v host 2>&1 | grep -c 'Offering public key'    # 试了几个
IdentitiesOnly yes                       # ✅ 只用指定的密钥
IdentityFile ~/.ssh/id_ed25519_prod

# ── 原因④ 服务端登录脚本慢 ──
# ~/.bashrc 或 /etc/profile.d/ 里有慢操作（网络请求、大量 shell 补全、conda 初始化）
time ssh host 'true'                     # 不启动 shell
time ssh host                            # 启动完整登录 shell（差值就是 profile 的耗时）
ssh host 'bash -x -l -c true' 2>&1 | ts -i '%.s' | sort -rn | head   # 找出慢在哪一行

# ── 原因⑤ MOTD / pam_motd 慢 ──
# Ubuntu 的 update-motd 会检查系统更新、云元数据，可能卡住
sudo chmod -x /etc/update-motd.d/*       # 禁掉
ssh -o LogLevel=QUIET host               # 或者客户端不显示

# ── 原因⑥ IPv6 优先但不通 ──
ssh -4 host                              # 强制 IPv4
# config: AddressFamily inet

# ── 原因⑦ 服务端 entropy 不足（老系统/虚拟机）──
cat /proc/sys/kernel/random/entropy_avail    # < 200 就可能有问题
sudo apt install haveged                     # 补熵（现代内核已很少遇到）

# 客户端侧（推荐）
ServerAliveInterval 30                   # 每 30 秒发一个「你还在吗」
ServerAliveCountMax 3                    # 3 次没回应就断开（即 90 秒判死）

# 服务端侧
# /etc/ssh/sshd_config
ClientAliveInterval 30
ClientAliveCountMax 3

# TCPKeepAlive 与上面的区别
TCPKeepAlive yes            # TCP 层的 keepalive，能被 NAT/防火墙识别，但间隔由内核决定（默认 2 小时）
ServerAliveInterval 30      # ✅ SSH 应用层的，走加密通道，间隔可控，更可靠

# 为什么需要：NAT 网关/云负载均衡通常会在【空闲 5~30 分钟】后清掉连接跟踪表项，
#            此时连接会「静默死亡」—— 你敲键盘没反应，也没有报错

# ── scp（简单但已不推荐）──
scp file user@host:/path/
scp -r dir user@host:/path/
scp -P 2222 -i ~/.ssh/key file user@host:/path/
scp user@host:/path/file ./                     # 拉取
scp -3 host1:/f host2:/f                        # 两台远程机之间（经过本地）
scp -C file host:/path                          # 压缩

# ⚠️ OpenSSH 9.0+ 默认改用 SFTP 协议实现 scp，有行为变化：
#    - 远程通配符展开的行为不同（老版本在远程 shell 展开，新版本不展开）
#    - 某些边界情况下的路径处理不同
scp -O file host:/path                          # -O 强制用老的 scp 协议
# ✅ 结论：新代码一律用 rsync 或 sftp

# ── rsync over ssh（推荐，见 12 篇）──
rsync -avP -e 'ssh -p 2222' /local/ user@host:/remote/
rsync -avP -e 'ssh -J bastion' /local/ user@target:/remote/
rsync -avP --rsync-path='sudo rsync' /local/ user@host:/root-only/

# ── sftp（交互式/批处理）──
sftp user@host
# get / put / ls / lls / cd / lcd / mkdir / rm / bye
sftp -b - user@host <<'EOF'
cd /upload
put local.tar.gz
chmod 644 local.tar.gz
EOF

# ── 通过 ssh 直接传流（不落中间文件，12 篇讲过）──
tar -czf - /data | ssh host 'tar -xzf - -C /restore'
ssh host 'cat /var/log/big.log' | gzip > local.log.gz
mysqldump db | ssh host 'mysql db'
dd if=/dev/sda bs=4M | ssh host 'dd of=/backup/disk.img bs=4M'

# ⚠️ sshd 配置改错会把自己锁在外面。铁律：
# ① 先测语法
sudo sshd -t                                    # ✅ 测试配置文件语法
sudo sshd -T                                    # 打印所有最终生效的配置值
sudo sshd -T | grep -iE 'permitrootlogin|passwordauth|port'

# ② 保留当前会话不要退出，用【新窗口】测试新连接
# ③ 或者加一个定时回滚的保险
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sudo sh -c 'sleep 600 && cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config && systemctl reload sshd' &
# 改完并确认新连接可用后，kill 掉这个保险任务

# ④ 用 reload 而不是 restart（reload 不会断开已有连接）
sudo systemctl reload sshd
# ⑤ 在【新终端】验证
ssh -v user@host 'echo OK'

sudo vim /etc/ssh/sshd_config

sudo apt install fail2ban
sudo tee /etc/fail2ban/jail.d/sshd.local > /dev/null <<'EOF'
[sshd]
enabled = true
port = 22
maxretry = 5
findtime = 600
bantime = 3600
bantime.increment = true          # 重犯者封更久
ignoreip = 127.0.0.1/8 10.0.0.0/8
EOF
sudo systemctl enable --now fail2ban

sudo fail2ban-client status sshd              # 查看状态与已封 IP
sudo fail2ban-client set sshd unbanip 1.2.3.4 # 解封
sudo fail2ban-client set sshd banip 1.2.3.4   # 手动封

# 查看攻击情况
sudo journalctl -u sshd | grep -c 'Failed password'
sudo lastb | head -20                          # 失败的登录尝试
sudo journalctl -u sshd | grep 'Failed password' | \
     grep -oP 'from \K[0-9.]+' | sort | uniq -c | sort -rn | head
#    ^^ 统计哪些 IP 在爆破

# ✅ 更彻底的方案：从根本上减少暴露面
# ① PasswordAuthentication no（爆破无从下手）
# ② ListenAddress 只绑内网 + 通过 VPN/跳板机访问
# ③ 云安全组只放行办公网 IP

# 登录成功/失败
sudo journalctl -u sshd --since today | grep -E 'Accepted|Failed'
# Accepted publickey for lhx from 10.0.0.9 port 51234 ssh2: ED25519 SHA256:abc...
#                                                            ^^^^^^^^^^^^^^^^^^^^
#          ✅ LogLevel VERBOSE 才会记录指纹 —— 能追溯到具体是哪个密钥

# 谁在线、历史登录
who -a
w
last -20
lastlog                                       # 每个用户最后登录时间
sudo lastb -20                                # 失败尝试

# 当前的 ssh 会话
sudo ss -tnp 'sport = :22'
ps -eo pid,user,tty,cmd | grep sshd

# 强制踢掉某个会话
sudo pkill -t pts/2                           # 按终端
sudo kill <sshd 子进程 PID>

# ── 为什么必须用 ──
# 网络断开 = ssh 会话中断 = 正在跑的任务被 SIGHUP 杀掉（13 篇 6.2）
# tmux 让会话【活在服务器上】，断线重连后一切照旧

tmux new -s work                  # 创建名为 work 的会话
tmux ls                           # 列出所有会话
tmux a -t work                    # attach 到会话（tmux a 连最近的）
tmux kill-session -t work
tmux new -s work -d 'long-task.sh'    # 后台创建并直接跑命令

# ── 核心快捷键（前缀键默认 Ctrl-B）──
# Ctrl-B d      detach（离开但会话继续跑）  ← 最重要
# Ctrl-B c      新建窗口
# Ctrl-B n / p  下一个 / 上一个窗口
# Ctrl-B 数字   切到指定窗口
# Ctrl-B ,      重命名窗口
# Ctrl-B w      窗口列表
# Ctrl-B %      左右分屏
# Ctrl-B "      上下分屏
# Ctrl-B 方向键 在窗格间移动
# Ctrl-B z      放大/还原当前窗格
# Ctrl-B x      关闭当前窗格
# Ctrl-B [      进入复制模式（可翻页、搜索，q 退出）
# Ctrl-B ?      查看所有快捷键

# ── 一份够用的 ~/.tmux.conf ──
cat > ~/.tmux.conf <<'EOF'
set -g mouse on                   # 鼠标可选择窗格、滚动
set -g history-limit 50000        # 回滚缓冲
set -g base-index 1               # 窗口从 1 开始编号
setw -g pane-base-index 1
set -sg escape-time 10            # 减少 Esc 延迟（vim 用户必调）
set -g default-terminal "screen-256color"
bind r source-file ~/.tmux.conf \; display "reloaded"
bind | split-window -h            # 更直观的分屏键
bind - split-window -v
EOF

# ── 断线自动重连的工作流 ──
ssh -t host 'tmux new -A -s main'
#        ^^ -t 强制分配 tty
#                     ^^ -A = attach 如果存在，否则创建（幂等，非常实用）
# 放进 config
Host prod
    RequestTTY yes
    RemoteCommand tmux new -A -s main

# ── mosh：比 tmux 更进一步（移动网络/高延迟场景）──
# 基于 UDP，能扛住 IP 变化和长时间断网，本地回显让输入不卡
mosh user@host
mosh --ssh='ssh -p 2222' user@host
# ⚠️ 需要服务端也装 mosh-server，且开放 UDP 60000-61000

~/                       755 或 750（关键：go-w，不能被组/其他人写）
~/.ssh/                  700
~/.ssh/id_*              600      （私钥）
~/.ssh/*.pub             644
~/.ssh/authorized_keys   600
~/.ssh/config            600
~/.ssh/known_hosts       644
/etc/ssh/sshd_config     600 root:root
/etc/ssh/ssh_host_*_key  600 root:root

# ① 客户端：确认用了哪个密钥、服务器接受了吗
ssh -vvv host 2>&1 | grep -E 'Offering|Server accepts|Authentications that can continue'

# ② 客户端：确认配置生效
ssh -G host | grep -E 'identityfile|user|port|hostname'

# ③ 服务端：看真正的拒绝原因（客户端看不到！）
sudo journalctl -u sshd -f
# Authentication refused: bad ownership or modes for directory /home/lhx   -> 权限问题
# Failed publickey for lhx from ... -> 公钥不匹配
# User lhx not allowed because not listed in AllowUsers -> 访问控制

# ④ 检查权限（最高频原因）
ls -ld ~ ~/.ssh ~/.ssh/authorized_keys
namei -l ~/.ssh/authorized_keys          # 03 篇的逐层权限检查

# ⑤ 确认公钥真的在服务端
ssh-keygen -lf ~/.ssh/id_ed25519.pub                    # 本地指纹
ssh host 'ssh-keygen -lf ~/.ssh/authorized_keys'        # 服务端的（对比）

# ⑥ 确认服务端配置
sudo sshd -T | grep -iE 'pubkeyauth|authorizedkeysfile|strictmodes|allowusers'