SSH 协议 是什么？
SSH 协议（Secure Shell Protocol）是一种网络协议，用于安全地在不安全的网络中进行数据通信。它主要用于远程登录、命令执行、文件传输等场景。相比 Telnet 等早期协议，SSH 协议通过加密手段保障了通信的机密性与完整性，是现代运维和开发中不可或缺的工具。
核心概念
SSH 协议 主要由客户端和服务端组成，客户端通过认证连接到服务端，之后所有的通信都通过加密通道进行。其核心特性包括：
- 加密通信：所有传输的数据都被加密，防止中间人窃听。
- 身份认证：支持密码、公钥等多种认证方式。
- 端口转发：允许通过 SSH 隧道转发本地或远程端口。
- 协议版本：目前主流使用的是 SSH-2 协议，SSH-1 已被淘汰。
类比来看，SSH 协议就像一条加密隧道，把原本明文传输的命令和数据包裹起来，确保它们在公网上传输时不会被“偷看”或“篡改”。
常用方法
以下是一些常用的 SSH 协议 操作命令，按使用频率排序：
| 命令 | 用途 | 示例 |
|---|---|---|
ssh user@host |
连接到远程主机 | ssh root@192.168.1.100 |
ssh -p port user@host |
指定端口连接 | ssh -p 2222 user@example.com |
ssh -i keyfile user@host |
使用私钥登录 | ssh -i ~/.ssh/id_rsa user@host |
ssh user@host command |
在远程主机上执行命令 | ssh user@host "ls -l" |
scp source user@host:dest |
安全复制文件 | scp local_file user@host:/remote/path |
ssh -L localport:desthost:destport user@host |
本地端口转发 | ssh -L 8080:localhost:80 user@host |
ssh -R remoteport:desthost:destport user@host |
远程端口转发 | ssh -R 3306:localhost:3306 user@host |
ssh -N -f -L localport:desthost:destport user@host |
建立后台隧道，不执行命令 | ssh -N -f -L 3000:localhost:80 user@host |
详细说明
连接远程服务器
ssh root@192.168.1.100
ssh：启动 SSH 客户端root：登录用户名192.168.1.100：目标服务器的 IP 地址
执行该命令后，系统会提示输入密码（或使用密钥认证）。输入正确后，即可进入远程服务器的 shell 环境。
使用密钥登录
ssh -i ~/.ssh/id_rsa user@host
-i ~/.ssh/id_rsa：指定私钥文件路径user@host：登录用户和主机
这种方式无需每次输入密码，适合自动化脚本和频繁连接的场景。
在远程主机上执行命令
ssh user@host "ls -l /home/user"
ssh user@host：连接远程主机"ls -l /home/user"：在远程主机上执行的命令
适用于执行简单命令，比如查看文件列表、重启服务等。
进阶特性
SSH 协议 提供了多个高级功能，以下是一些重要的进阶用法和其应用场景：
| 特性 | 说明 | 示例 |
|---|---|---|
| 端口转发 | 通过 SSH 隧道转发本地或远程端口 | ssh -L 3000:localhost:80 user@host |
| 代理跳板 | 使用一台中转主机连接另一台主机 | ssh -o ProxyCommand="ssh user@gateway nc %h %p" targetuser@targethost |
| 脚本化连接 | 配置 SSH 自动登录，减少输入 | 在 ~/.ssh/config 中配置主机别名 |
| 多跳连接 | 通过多台主机连接到目标主机 | ssh -J jumpuser@gateway user@targethost |
| X11 转发 | 允许运行远程图形界面程序 | ssh -X user@host |
端口转发示例
ssh -L 3000:localhost:80 user@host
此命令常用于访问远程服务器上运行的 Web 服务，而无需开放防火墙。
代理跳板示例
ssh -o ProxyCommand="ssh -W %h:%p user@gateway" targetuser@targethost
-o ProxyCommand：指定连接中转命令user@gateway：跳板机地址targetuser@targethost：目标主机
适用于需要通过跳板机访问内网主机的场景。
实战应用
场景一：自动化部署脚本连接服务器
#!/bin/bash
ssh -i /path/to/private/key user@server << EOF
cd /var/www/myapp
git pull origin main
npm install
npm run build
systemctl restart myapp
EOF
<< EOF：开始多行命令输入- 所有命令在远程服务器上执行
- 适合 CI/CD 中自动化部署的场景
场景二：通过 SSH 隧道访问内网数据库
ssh -L 3306:localhost:3306 user@gateway
- 本地 3306 端口将被转发到 gateway 主机的 3306 端口
- 通过本地连接
localhost:3306即可访问内网数据库
场景三：使用 SSH 配置文件简化连接
~/.ssh/config 文件示例：
Host myserver
HostName 192.168.1.100
User root
Port 2222
IdentityFile ~/.ssh/id_rsa
之后只需执行：
ssh myserver
即可自动加载配置信息，简化连接流程。
常见问题
Q1：SSH 登录时提示“Permission denied”怎么解决？
A1：检查用户名、IP 地址、端口是否正确，确认私钥权限为 600，文件权限为 700，确保服务端 SSH 服务正常运行。
Q2：如何设置免密登录？
A2：在本地生成 SSH 密钥对，将公钥写入远程服务器的 ~/.ssh/authorized_keys 文件，并设置正确的权限。
Q3：SSH 协议 支持哪些认证方式？
A3：主要包括密码认证、公钥认证（SSH keys）、键盘交互认证和 GSSAPI 认证。
Q4：如何通过 SSH 隧道访问 HTTPS 服务？
A4：可以使用 ssh -D 选项创建动态端口转发，例如：
ssh -D 8080 user@host
然后在本地浏览器中设置 socks 代理为 localhost:8080，即可通过 SSH 隧道访问远程网络资源。
总结
SSH 协议 是保障远程操作安全性的关键技术，掌握其基础和进阶用法能显著提升开发与运维效率。