SSH 密码爆破天天刷日志，改端口也防不住扫全端口的：密钥登录 + 关密码是根本

服务器日志里 sshd 的 failed password 天天刷屏，各种用户名轮番爆破。改了个不常用端口，清净了几天又来了——爆破者会扫全端口，改端口只能延迟被发现，防不住有耐心的。真正治本是禁用密码登录、只用密钥。

密钥登录的原理优势：密码可以被穷举（哪怕 8 位混合，爆破集群也能试），而密钥是 2048/4096 位 RSA 或 ed25519 的非对称对，爆破空间是天文数字，穷举不可行。而且爆破者连"猜"都无从猜起——他得拿到你的私钥才行。

配置步骤：

1. 生成密钥对（在本地电脑，别在服务器上生成）：

ssh-keygen -t ed25519 -C "你的备注"

ed25519 比 RSA 更短更安全，现代 OpenSSH 都支持。生成在 ~/.ssh/id_ed25519（私钥）和 id_ed25519.pub（公钥）。私钥永远不要离开你的电脑。

2. 把公钥装到服务器：

ssh-copy-id -i ~/.ssh/id_ed25519.pub 用户@服务器IP
# 或手动：把公钥内容追加到服务器 ~/.ssh/authorized_keys

3. 先验证密钥能登录，再关密码。 这一步顺序很重要，别把自己锁外面：

ssh 用户@服务器IP        # 用密钥成功登录后

确认能登录了，再改 sshd 配置：

# /etc/ssh/sshd_config
PasswordAuthentication no
PermitRootLogin prohibit-password   # 或 no，root 禁止密码登录
PubkeyAuthentication yes
KbdInteractiveAuthentication no

改完：

sudo sshd -t          # 语法检查
sudo systemctl restart sshd

重要：先开一个新的 SSH 会话确认能进，再关当前的，避免配置错了把自己锁外面。 稳妥做法是改完配置、重启 sshd 后，新开一个终端用密钥登录验证成功，再处理旧的。

如果已经不小心锁外面/改错了怎么办： 云服务器一般有控制台的 VNC/救援模式，进去改回配置；本地 VM 用宿主机 console。所以别在生产高峰乱改，改前留好后路。

关了密码之后还能提升：

• 换非标准端口 + 防火墙只放你信任的来源（云安全组限定来源 IP），双保险。
• fail2ban 仍然开着：虽然没密码可爆了，但还能挡掉扫端口的无效连接，减少日志噪音（注意别把自己 IP 也封了，配好白名单）。
• 禁止 root 直接登录，用普通用户登录再 su/sudo，日志里还能分清是谁操作的。

验证加固效果： 关掉密码后，从没装密钥的机器 ssh 用户@IP 应该直接被拒（Permission denied (publickey)），不再有 password 提示。日志里爆破条目会大幅减少。

几个别踩的坑：

• 私钥权限别太松：chmod 600 ~/.ssh/id_ed25519，太松 OpenSSH 会拒绝使用（"Permissions too open"）。
• 换机器要带私钥：密钥登录认的是私钥，换电脑记得把私钥拷过去（或用 ssh-agent 转发，别在服务器间裸传私钥）。
• 别用同一个密钥到处用还不设 passphrase：给私钥设个 passphrase，配合 ssh-agent 用起来也方便。

总结：防 SSH 爆破，改端口治标、密钥登录才是治本。本地生成 ed25519 密钥 → ssh-copy-id → 验证能登录后再关 PasswordAuthentication → 配合 fail2ban 白名单和来源 IP 限制。把"猜密码"这条路彻底堵死，爆破自然就没了意义。