1. 为什么需要SCP安全认证？

在CentOS 7环境下使用SCP（Secure Copy Protocol）进行文件传输时，传统的密码认证方式存在明显安全隐患。每次传输都需要输入密码不仅效率低下，更重要的是密码可能在网络传输过程中被截获。我在实际运维工作中就遇到过因密码泄露导致服务器被入侵的案例。

SSH密钥认证相比密码认证有三个核心优势：

1. 非对称加密体系下，私钥永远不需要通过网络传输
2. 可设置密钥密码短语（passphrase）实现二次验证
3. 支持针对不同服务器使用不同密钥对，实现权限隔离

关键提示：生产环境中，禁用密码认证并强制使用密钥认证是Linux服务器安全基线的基本要求。修改/etc/ssh/sshd_config中的PasswordAuthentication no即可实现。

2. SSH密钥对的生成与管理

2.1 密钥生成实操

在CentOS 7上生成SSH密钥对的标准命令是：

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

参数解析：

• -t rsa：指定使用RSA算法（也可选ed25519）
• -b 4096：密钥长度，2048是最低要求，4096更安全
• -C：添加注释，通常用邮箱标识密钥所有者

执行后会提示输入保存路径（默认~/.ssh/id_rsa）和passphrase。我强烈建议设置passphrase，这样即使私钥文件泄露，没有passphrase也无法使用。

2.2 密钥文件权限管理

正确的文件权限对SSH密钥认证至关重要：

chmod 700 ~/.ssh chmod 600 ~/.ssh/id_rsa chmod 644 ~/.ssh/id_rsa.pub chmod 644 ~/.ssh/authorized_keys

权限错误是密钥认证失败的常见原因。我曾遇到因.ssh目录权限为755导致认证被拒绝的情况，SSH对权限的检查非常严格。

3. 配置SCP密钥认证

3.1 公钥分发到目标服务器

将公钥复制到目标服务器的标准方法：

ssh-copy-id -i ~/.ssh/id_rsa.pub user@remote_host

这个命令会自动：

1. 将公钥追加到目标服务器的~/.ssh/authorized_keys
2. 设置正确的文件权限

如果ssh-copy-id不可用，可以手动操作：

cat ~/.ssh/id_rsa.pub | ssh user@remote_host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

3.2 测试密钥认证

验证配置是否成功：

ssh -T user@remote_host

如果配置正确，应该不需要输入密码就能登录。如果失败，可以通过-v参数查看详细调试信息：

ssh -vT user@remote_host

常见问题排查：

1. 检查目标服务器sshd服务是否运行
2. 确认/etc/ssh/sshd_config中启用了PubkeyAuthentication
3. 检查日志/var/log/secure获取详细错误信息

4. SCP使用技巧与安全加固

4.1 基础SCP命令

使用密钥认证的SCP命令示例：

scp -i ~/.ssh/id_rsa local_file user@remote_host:/path/to/destination

常用参数：

• -P：指定非标准SSH端口
• -r：递归复制目录
• -C：启用压缩传输
• -l：限制带宽使用（单位Kbit/s）

4.2 安全最佳实践

1. 密钥轮换：每3-6个月更换一次密钥对，特别是人员变动时
2. 使用ssh-agent：避免反复输入passphrase

   eval "$(ssh-agent -s)" ssh-add ~/.ssh/id_rsa

3. 限制密钥使用：在公钥前添加命令限制，如：

   command="/usr/bin/rrsync /backup",no-agent-forwarding,no-port-forwarding,no-pty ssh-rsa AAAAB3...

4. 禁用root登录：修改sshd_config中的PermitRootLogin no

4.3 高级场景：跳板机配置

在企业环境中，通常需要通过跳板机访问内网服务器。配置~/.ssh/config文件可以简化操作：

Host jumpbox HostName jumpbox.example.com User your_username IdentityFile ~/.ssh/id_rsa_jumpbox Host internal_server HostName 192.168.1.100 User internal_user ProxyCommand ssh -W %h:%p jumpbox IdentityFile ~/.ssh/id_rsa_internal

这样就能直接使用scp file internal_server:/path通过跳板机传输文件。

5. 常见问题解决方案

5.1 "Permission denied (publickey)"错误

这是最常见的密钥认证问题，排查步骤：

1. 确认客户端私钥路径和权限正确
2. 检查目标服务器authorized_keys文件是否存在且包含正确公钥
3. 查看服务器端/var/log/secure日志
4. 确认selinux是否阻止了访问（可暂时setenforce 0测试）

5.2 SCP速度慢的优化

如果SCP传输速度不理想，可以尝试：

1. 启用压缩：添加-C参数
2. 更换加密算法：在/etc/ssh/sshd_config中添加：

   Ciphers aes128-ctr,aes192-ctr,aes256-ctr

3. 禁用DNS反向解析：添加UseDNS no

5.3 多密钥管理

当需要管理多台服务器的不同密钥时，推荐使用ssh-agent配合config文件管理。我的工作流程是：

1. 为每个环境（开发/测试/生产）创建独立密钥对
2. 使用ssh-add添加需要使用的密钥
3. 在config文件中为每个主机指定对应的密钥

6. 自动化脚本示例

以下是我常用的密钥部署脚本，适合批量初始化服务器：

#!/bin/bash # deploy_ssh_key.sh REMOTE_USER=$1 REMOTE_HOST=$2 KEY_FILE=${3:-~/.ssh/id_rsa.pub} if [ -z "$REMOTE_USER" ] || [ -z "$REMOTE_HOST" ]; then echo "Usage: $0 <user> <host> [key_file]" exit 1 fi echo "Deploying $KEY_FILE to $REMOTE_USER@$REMOTE_HOST..." ssh $REMOTE_USER@$REMOTE_HOST "mkdir -p ~/.ssh && chmod 700 ~/.ssh" cat $KEY_FILE | ssh $REMOTE_USER@$REMOTE_HOST "cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys" echo "Verifying connection..." ssh -o BatchMode=yes $REMOTE_USER@$REMOTE_HOST "echo 'Key authentication successful!'"

使用方式：

./deploy_ssh_key.sh username server_ip [custom_key.pub]

7. 密钥备份与恢复策略

密钥丢失会导致服务器访问中断，必须建立备份机制：

1. 加密备份：将.ssh目录打包并用gpg加密

   tar czvf - ~/.ssh | gpg -c > ssh_backup.tar.gz.gpg

2. 纸质备份：打印私钥的ASCII-armored格式（仅限安全环境）

   gpg --export-secret-keys --armor > private.key.asc

3. 硬件存储：使用YubiKey等硬件安全模块存储密钥

恢复步骤：

1. 解密备份文件

   gpg -d ssh_backup.tar.gz.gpg | tar xzvf -

2. 恢复文件权限
3. 测试密钥认证

8. 替代方案：证书认证

对于大型环境，可以考虑使用SSH证书认证（CA）：

1. 创建CA密钥：

   ssh-keygen -t rsa -b 4096 -f ssh_ca_key

2. 签署用户公钥：

   ssh-keygen -s ssh_ca_key -I user_id -n user1,user2 id_rsa.pub

3. 服务器配置信任CA：

   echo "@cert-authority * $(cat ssh_ca_key.pub)" >> /etc/ssh/ssh_known_hosts

证书认证的优势在于可以设置有效期和细粒度的权限控制，适合企业级部署。