安装后启用 SSH
新装完系统要能远程管理，就得把 sshd 设成开机自启、放行防火墙里的 ssh 服务，并验证登录。RPM 系发行版单元名通常写 sshd，DEB 系写 ssh，名字不同但都是 OpenSSH 服务端。启用之后应立即按安全基线加固，而不是留到以后。
基本信息
| 服务单元 | RPM 系 sshd，DEB 系 ssh |
|---|---|
| 配置文件 | /etc/ssh/sshd_config 与 sshd_config.d/ |
| 防火墙 | firewall-cmd 或 ufw 放行 ssh |
| 监听验证 | ss -tlnp | grep :22 |
| 日志 | secure 或 auth.log，以及 journalctl -u sshd |
典型使用场景
- 物理机或虚机装完后开启远程管理通道
- 交付前确认新机器可以从运维网段登录
- 迁移后核对新主机的 SSH 服务与端口配置
- 排障登录不上：区分是服务未启动还是防火墙拦截
- 批量基线：统一开启服务并按加固要求收紧认证方式
启用与放行
启用与放行
systemctl enable --now sshd # 启用并立即启动（DEB 系为 ssh）
systemctl status sshd --no-pager | head -5
firewall-cmd --permanent --add-service=ssh && firewall-cmd --reload
ss -tlnp | grep ':22' # 确认正在监听
sshd -t && systemctl reload sshd # 改配置后先验语法再重载
last -n 5 # 核对最近登录记录登录不上怎么查
| 现象 | 可能原因 | 处理 |
|---|---|---|
| 连接被拒绝 | 服务未启动或端口未监听 | systemctl status 与 ss -tlnp 确认 |
| 连接超时 | 防火墙未放行或被上游拦截 | 检查 firewalld 与网络策略 |
| 提示密钥或口令错误 | 认证方式与已有凭据不匹配 | 核对 sshd_config 与 authorized_keys |
| 改了配置后连不上 | 配置错误导致服务未生效 | 用已登录会话回滚并 sshd -t 验证 |
远程环境修改 SSH 配置前，保留一条已登录会话用于试错；改完先 sshd -t 检查语法，再 reload，验证新连接成功后才断开旧会话。
启用只是第一步：建议同步落实禁用 root 直登、改用密钥认证、限制来源网段与失败锁定，这些组合起来才构成可交付的安全基线。
加固同步动作
- 禁用 root 直接登录，改用普通账号加提权
- 改用密钥认证并按需关闭口令认证
- 限制允许登录的账号与来源网段
- 开启登录失败锁定，配合日志告警
- 保留一条带外应急访问通道