SSH作為遠程管理黃金標準，正確配置可彌補網絡固有漏洞。16大技巧將SSH從「連接工具」升級為「運維自動化基礎設施」。

核心技巧精選

1. 多跳穿透自動化

# ~/.ssh/config
Host db
  HostName db.internal.example.com
  ProxyCommand ssh gateway netcat -q 600 %h %p

單命令ssh db自動經由gateway雙重認證直達目標，需預配公鑰+Agent Forwarding。

2. 用戶名映射消除輸入

Host www* mail
  HostName %h.example.com
  User simon

本地用戶smylers直接ssh www2以simon身份登錄，PuTTY可保存會話。

3. 主機別名與通配符分組

Host dev intranet backup
  HostName %h.internal.example.com
Host www* mail
  HostName %h.example.com

語義化命名替代IP/完整域名，通配符批量管理同域集群。

4. 省略主機名後綴

配合HostName %h.example.com模式，ssh www1自動展開為www1.example.com，消除重複輸入。

5-16. 進階技巧概覽

• ControlMaster多路復用：單TCP連接承載多會話，極速二次連接
• SSH Agent轉發鏈：本地金鑰安全授權遠程跳轉，私鑰不落盤
• 端口轉發三式：本地/遠程/動態（SOCKS代理），打通內網服務訪問
• 強制命令執行：command="..."限制金鑰僅能執行特定腳本
• 撤銷/輪換自動化：ssh-keygen -R清理known_hosts，證書基認證替代公鑰分發
• 堡壘機/跳板機審計：強制錄屏/命令日誌/實時監控/四眼原則
• 配置即代碼：Ansible/Puppet/Chef管理ssh_config/authorized_keys，版本控制/審計/回滾
• 硬件安全模塊（HSM）/智能卡存儲私鑰：私鑰不可導出，物理隔離
• Post-Quantum算法預研：OpenSSH 9.0+支持NTRU Prime/hybrid KEM，提前佈局

安全基線清單

1. 禁用密碼認證，強制公鑰/證書
2. 禁用SSH v1，僅允許v2
3. 修改默認端口（非安全但減少噪音掃描）
4. 限制登錄用戶/組（AllowUsers/DenyGroups）
5. 設置ClientAliveInterval/CountDown防止空閒佔用
6. 審計日誌中央化（syslog/ELK/Splunk），保留≥1年

SSH配置管理應納入基礎設施即代碼（IaC）體系，每一次手工修改都是技術債。