从生成密钥、分发公钥到跳板机与 ProxyJump，给出可复用的配置写法。下面按“先判断、再动手、最后验证”的顺序展开，每一步都给出可核对的检查点。
涉及 SSH密钥、跳板机、堡垒机 的关键动作都写成了具体命令或配置项，可以照着走，也可以当检查表用。
用 ed25519，私钥设 600，建议加 passphrase 并用 ssh-agent 管理。
ssh-copy-id 最省事，多个公钥追加到 authorized_keys，不要互相覆盖。
~/.ssh/config 里用 ProxyJump 定义跳板，后续直接 ssh 别名，避免多层 -J 手写。
服务端禁密码登录、禁用 root 直连，AllowUsers 白名单，改端口降噪。
离职即删公钥，定期比对 authorized_keys 与人员名单。
| 环节 | 关键动作 |
|---|---|
| 生成与保护 | 用 ed25519，私钥设 600，建议加 passphrase 并用 ssh-agent 管理 |
| 分发公钥 | ssh-copy-id 最省事，多个公钥追加到 authorized_keys，不要互相覆盖 |
| 跳板机 | ~/.ssh/config 里用 ProxyJump 定义跳板，后续直接 ssh 别名，避免多层 -J 手写 |
| 权限收紧 | 服务端禁密码登录、禁用 root 直连，AllowUsers 白名单，改端口降噪 |
Q：按文中写法改完，怎么确认真的生效？
不要只看配置文件，用对应的验证命令或从外部视角复测一次；改完先小流量观察一段，再全量推进，出问题能马上回退。
Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。
Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。
回到这篇的 5 个环节：生成与保护、分发公钥、跳板机、权限收紧、审计与回收。把这几个动作写进检查表，下次遇到同类问题按顺序过一遍，比凭经验跳步骤稳。
相关阅读：软件包管理：yum/apt与编译安装取舍、用户与权限管理：sudo配置与最小权限、日志切割与清理：logrotate实战。
延伸阅读：SSH被爆破怎么办：日志特征与封禁策略、用户与权限管理：sudo配置与最小权限、防火墙配置：firewalld与iptables怎么选。
微信公众号
微信客服
