Rocky Linux 配置 SSH 密钥登录（Win11 + SecureCRT）完整指南

为什么密钥登录比密码登录更安全？#

打个比方：密码登录就像你家门锁用一把钥匙，但这把钥匙的“齿形”（密码）可能被偷看、被猜、被暴力试出来。而密钥登录就像你随身带了一张加密的门禁卡，卡里有“私钥”和“公钥”一对。公钥可以随便发，相当于锁；私钥必须保密，相当于卡。锁和卡匹配才能开门。就算有人捡到公钥，没你的私钥也进不来。更关键的是，私钥比密码长得多（几百上千个字符随机生成），根本没法靠猜或暴力破解。而且密钥登录过程中不发送私钥本身，只发送加密签名，不怕被截获。

Rocky Linux 设置 SSH 密钥登录（客户端 Win11 + SecureCRT）#

第一步：在 Win11 上用 SecureCRT 生成密钥对#

打开 SecureCRT，菜单栏点 Tools（工具） → Create Public Key…（创建公钥）
密钥类型选 RSA（默认），密钥长度建议 2048 或 4096（越长越安全，但连接稍慢），点下一步
会让你设置一个 Passphrase（密码短语）：这个相当于给私钥再加一层锁，可选。如果设了，每次用私钥登录还要输这个短语。为了演示，可以先空着，生产环境建议设置。
选择保存私钥的位置，文件名默认是 Identity（后缀可能没有，或 .pub 是公钥）。注意：生成两个文件，一个私钥（无扩展名或 .key），一个公钥（.pub）。记住私钥放哪，别泄露。
完成后会显示公钥内容，先复制下来备用。

第二步：把公钥上传到 Rocky Linux 服务器#

假设你已经有服务器密码登录的能力（暂时），用 SecureCRT 或任何方式登录到 Rocky Linux，然后执行：

1
mkdir -p ~/.ssh
2
chmod 700 ~/.ssh
3
vi ~/.ssh/authorized_keys

把刚才复制的公钥内容粘贴进去（注意：是一整行，别断行，开头是 ssh-rsa AAAA... 结尾可能是 == user@host）。保存退出。

然后设置权限：

1
chmod 600 ~/.ssh/authorized_keys

第三步：修改 SSH 配置，允许密钥登录（默认通常已开启）#

编辑 /etc/ssh/sshd_config（需要 root 权限）：

1
sudo vi /etc/ssh/sshd_config

确认或修改以下配置：

1
PubkeyAuthentication yes          # 允许公钥认证
2
AuthorizedKeysFile .ssh/authorized_keys   # 指定公钥存放文件（默认即可）
3
PasswordAuthentication yes         # 暂时保持 yes，等你确认密钥能登录后再改 no

改完保存，重启 SSH 服务：

1
sudo systemctl restart sshd

第四步：在 SecureCRT 里配置使用私钥登录#

SecureCRT 新建或编辑你的会话（Session），在 Connection → SSH2 分类下。
Authentication（认证） 部分，勾选 PublicKey，然后点旁边的 Properties…（属性）。
在 PublicKey 属性窗口里，点 Use identity file（使用身份文件），浏览选择你之前保存的私钥文件（不是 .pub 那个）。
如果你生成密钥时设置了 Passphrase，这里会让你输入一次，SecureCRT 会记住（会话期间）。
确定保存会话配置，然后连接。如果能直接登录（或只提示输入 Passphrase），说明密钥登录成功。

第五步（可选）：彻底禁用密码登录#

确认密钥登录没问题后，为了安全，可以把密码登录关掉：

再次编辑 /etc/ssh/sshd_config，找到：

1
PasswordAuthentication yes

改成：

1
PasswordAuthentication no

保存，重启 sshd：

1
sudo systemctl restart sshd

从此，别人只能用密钥才能登录，暴力猜密码的路子彻底断了。

小结：核心就是“生成密钥对 → 公钥放服务器 → 客户端用私钥连”。用 SecureCRT 生成和配置都很图形化，操作一次就熟了。

音乐

音乐