SSH 与日志

这一课你将能做到

1. 配置 SSH 密钥登录服务器，禁用密码登录，把被暴力破解的风险降到零
2. 用 scp/rsync 在本地与服务器之间安全传输文件和目录
3. 通过 /var/log/auth.log、journalctl、Spring Boot 应用日志定位「谁在什么时间登录/操作/报错」

为什么要学

SSH 是你进入服务器的唯一大门，也是黑客扫描器 24 小时撞库的头号目标。任何一台有公网 IP 的服务器，放行 SSH 密码登录后，/var/log/auth.log 里几小时内就会出现来自世界各地的暴力破解记录。密钥登录 + 禁用密码 + 改默认端口是服务器安全的最低配置。

日志则是事后追责与问题定位的唯一证据链：谁登录过（auth.log）、服务为什么挂（journalctl）、接口为什么 500（应用日志）。本站后端上线第一天，这三类日志就要全部跑通。

先建立图像

SSH 密钥认证的原理（非对称加密）：

本地电脑                          服务器
┌──────────────┐                 ┌──────────────────┐
│ 私钥 id_ed25519│  证明身份      │ 公钥存在：          │
│ （绝不外泄，    │ ───────────→  │ ~/.ssh/           │
│  可加密码短语）  │  挑战-应答     │  authorized_keys  │
└──────────────┘                 └──────────────────┘

过程：服务器发一段随机数据 → 本地用私钥签名 →
      服务器用公钥验证签名 → 通过则登录。
      私钥永远不离开你的电脑，网络上抓不到密码。

三类核心日志：
/var/log/auth.log      → 谁登录了、sudo 了、失败了（Ubuntu）
journalctl -u ssh      → SSH 服务本身的运行日志
/var/log/myapp/*.log   → Spring Boot 业务日志（自己配置的）

跟着做

步骤 1：生成密钥对（在本地电脑执行）

# Windows 用 PowerShell 或 Git Bash；Mac/Linux 直接用终端
ssh-keygen -t ed25519 -C "leebf@codeforge"
# 一路回车：默认存到 ~/.ssh/id_ed25519（私钥）和 id_ed25519.pub（公钥）
# 建议设置密码短语（passphrase），私钥丢了也不致立刻沦陷

ls ~/.ssh/
# id_ed25519  id_ed25519.pub

ed25519 是新一代算法，比 RSA 更短更快更安全。老系统不支持时用 ssh-keygen -t rsa -b 4096。

步骤 2：把公钥部署到服务器

# 方法一：一键部署（需要暂时还能用密码登录）
ssh-copy-id ubuntu@你的服务器IP

# 方法二：手动（云服务器控制台粘贴公钥的场景）
cat ~/.ssh/id_ed25519.pub
# 复制输出，登录服务器后：
mkdir -p ~/.ssh && chmod 700 ~/.ssh
echo "ssh-ed25519 AAAA... leebf@codeforge" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

权限是硬要求：.ssh 必须 700，authorized_keys 必须 600，否则 sshd 出于安全拒绝读取。

步骤 3：验证登录并加固 SSH 服务

# 先验证密钥能登录（新窗口验证，别关当前会话！）
ssh ubuntu@服务器IP

# 确认无误后，修改服务端配置
sudo nano /etc/ssh/sshd_config

关键配置项：

PasswordAuthentication no        # 禁用密码登录（防暴力破解）
PermitRootLogin no               # 禁止 root 直接登录
Port 2222                        # 改默认端口（减少扫描噪音，可选）
MaxAuthTries 3                   # 最多试错 3 次

# 检查配置语法再重启（写错会把自己锁外面）
sudo sshd -t
sudo systemctl restart ssh
# 防火墙放行新端口（如果改了端口）
sudo ufw allow 2222/tcp