什麼是基于 SSH 密鑰的認證？
衆所周知，Secure Shell，又稱 SSH，是允許你通過無安全網絡（例如 Internet）和遠端系統之間安全通路/通信的加密網絡協定。無論何時使用 SSH 在無安全網絡上發送資料，它都會在源系統上自動地被加密，并且在目的系統上解密。SSH 提供了四種加密方式，基于密碼認證，基于密鑰認證，基于主機認證和鍵盤認證。最常用的認證方式是基于密碼認證和基于密鑰認證。
在基于密碼認證中，你需要的僅僅是遠端系統上使用者的密碼。如果你知道遠端使用者的密碼，你可以使用 ssh [email protected] 通路各自的系統。另一方面，在基于密鑰認證中，為了通過 SSH 通信，你需要生成 SSH 密鑰對，并且為遠端系統上傳 SSH 公鑰。每個 SSH 密鑰對由私鑰與公鑰組成。私鑰應該儲存在客戶系統上，公鑰應該上傳給遠端系統。你不應該将私鑰透露給任何人。希望你已經對 SSH 和它的認證方式有了基本的概念。
這篇教程，我們将讨論如何在 Linux 上配置基于密鑰認證的 SSH。
在 Linux 上配置基于密鑰認證的 SSH
為友善示範，我将使用 Arch Linux 為本地系統，Ubuntu 18.04 LTS 為遠端系統。
本地系統詳情：
OS: Arch Linux Desktop
IP address: 192.168.225.37/24
遠端系統詳情：
OS: Ubuntu 18.04 LTS Server
IP address: 192.168.225.22/24
本地系統配置
就像我之前所說，在基于密鑰認證的方法中，想要通過 SSH 通路遠端系統，需要将公鑰上傳到遠端系統。公鑰通常會被儲存在遠端系統的一個 ~/.ssh/authorized_keys 檔案中。
注意事項：不要使用 root 使用者生成密鑰對，這樣隻有 root 使用者才可以使用。使用普通使用者建立密鑰對。
現在，讓我們在本地系統上建立一個 SSH 密鑰對。隻需要在用戶端系統上運作下面的指令。
$ ssh-keygen
上面的指令将會建立一個 2048 位的 RSA 密鑰對。你需要輸入兩次密碼。更重要的是，記住你的密碼。後面将會用到它。
樣例輸出：
如果你已經建立了密鑰對，你将看到以下資訊。輸入 y 就會覆寫已存在的密鑰。
/home/username/.ssh/id_rsa already exists.
Overwrite (y/n)?
請注意密碼是可選的。如果你輸入了密碼，那麼每次通過 SSH 通路遠端系統時都要求輸入密碼，除非你使用了 SSH 代理儲存了密碼。如果你不想要密碼（雖然不安全），簡單地敲兩次回車。不過，我建議你使用密碼。從安全的角度來看，使用無密碼的 ssh 密鑰對不是什麼好主意。這種方式應該限定在特殊的情況下使用，例如，沒有使用者介入的服務通路遠端系統。（例如，用 rsync 遠端備份……）
如果你已經在個人檔案 ~/.ssh/id_rsa 中有了無密碼的密鑰，但想要更新為帶密碼的密鑰。使用下面的指令：
$ ssh-keygen -p -f ~/.ssh/id_rsa
樣例輸出：
Enter new passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved with the new passphrase.
現在，我們已經在本地系統上建立了密鑰對。接下來，使用下面的指令将 SSH 公鑰拷貝到你的遠端 SSH 服務端上。
$ ssh-copy-id [email protected]
在這裡，我把本地（Arch Linux）系統上的公鑰拷貝到了遠端系統（Ubuntu 18.04 LTS）上。從技術上講，上面的指令會把本地系統 ~/.ssh/id_rsa.pub 檔案中的内容拷貝到遠端系統 ~/.ssh/authorized_keys 中。明白了嗎？非常棒。
輸入 yes 來繼續連接配接你的遠端 SSH 服務端。接着，輸入遠端系統使用者 sk 的密碼。
如果你已經拷貝了密鑰，但想要替換為新的密碼，使用 -f 選項覆寫已有的密鑰。
$ ssh-copy-id -f [email protected]
我們現在已經成功地将本地系統的 SSH 公鑰添加進了遠端系統。現在，讓我們在遠端系統上完全禁用掉基于密碼認證的方式。因為我們已經配置了密鑰認證，是以不再需要密碼認證了。
在遠端系統上禁用基于密碼認證的 SSH
你需要在 root 使用者或者 sudo 執行下面的指令。
禁用基于密碼的認證，你需要在遠端系統的終端裡編輯 /etc/ssh/sshd_config 配置檔案：
$ sudo vi /etc/ssh/sshd_config
找到下面這一行，去掉注釋然後将值設為 no：
PasswordAuthentication no
重新開機 ssh 服務讓它生效。
$ sudo systemctl restart sshd
從本地系統通路遠端系統
在本地系統上使用指令 SSH 你的遠端服務端：
$ ssh [email protected]
輸入密碼。
樣例輸出：
現在，你就能 SSH 你的遠端系統了。如你所見，我們已經使用之前 ssh-keygen 建立的密碼登入進了遠端系統的賬戶，而不是使用目前賬戶實際的密碼。
如果你試圖從其它用戶端系統 ssh（遠端系統），你将會得到這條錯誤資訊。比如，我試圖通過指令從 CentOS SSH 通路 Ubuntu 系統：
樣例輸出：
如你所見，除了 CentOS（LCTT 譯注：根據上文，這裡應該是 Arch）系統外，我不能通過其它任何系統 SSH 通路我的遠端系統 Ubuntu 18.04。
為 SSH 服務端添加更多用戶端系統的密鑰
這點非常重要。就像我說過的那樣，除非你配置過（在之前的例子中，是 Ubuntu），否則你不能通過 SSH 通路到遠端系統。如果我希望給更多用戶端予以權限去通路遠端 SSH 服務端，我應該怎麼做？很簡單。你需要在所有的用戶端系統上生成 SSH 密鑰對并且手動拷貝 ssh 公鑰到想要通過 ssh 通路的遠端服務端上。
在用戶端系統上建立 SSH 密鑰對，運作：
$ ssh-keygen
輸入兩次密碼。現在，ssh 密鑰對已經生成了。你需要手動把公鑰（不是私鑰）拷貝到遠端服務端上。
使用以下指令檢視公鑰：
$ cat ~/.ssh/id_rsa.pub
應該會輸出類似下面的資訊：
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCt3a9tIeK5rPx9p74/KjEVXa6/OODyRp0QLS/sLp8W6iTxFL+UgALZlupVNgFjvRR5luJ9dLHWwc+d4umavAWz708e6Na9ftEPQtC28rTFsHwmyLKvLkzcGkC5+A0NdbiDZLaK3K3wgq1jzYYKT5k+IaNS6vtrx5LDObcPNPEBDt4vTixQ7GZHrDUUk5586IKeFfwMCWguHveTN7ykmo2EyL2rV7TmYq+eY2ZqqcsoK0fzXMK7iifGXVmuqTkAmZLGZK8a3bPb6VZd7KFum3Ezbu4BXZGp7FVhnOMgau2kYeOH/ItKPzpCAn+dg3NAAziCCxnII9b4nSSGz3mMY4Y7 [email protected]
拷貝所有内容（通過 USB 驅動器或者其它任何媒體），然後去你的遠端服務端的終端，像下面那樣，在 $HOME 下建立檔案夾叫做 .ssh。你需要以 root 身份執行指令（注：不一定需要 root）。
$ mkdir -p ~/.ssh
現在，将前幾步建立的用戶端系統的公鑰添加進檔案中。
echo {Your_public_key_contents_here} >> ~/.ssh/authorized_keys
在遠端系統上重新開機 ssh 服務。現在，你可以在新的用戶端上 SSH 遠端服務端了。
如果覺得手動添加 ssh 公鑰有些困難，在遠端系統上暫時性啟用密碼認證，使用 ssh-copy-id 指令從本地系統上拷貝密鑰，最後禁用密碼認證。