安全外殼（SSH）是用於替代Telnet、FTP等明文傳輸協定的網路協定，通過公開密鑰加密和SSL安全網路實現數據傳輸保護。該協定採用客戶端-伺服器架構，支持密碼認證、公鑰認證和證書認證等多重驗證機制，默認使用22連線埠建立加密通信通道。
協定核心功能包括遠程終端會話管理、安全檔案傳輸（SCP/SFTP）以及TCP/IP隧道連線埠轉發，可套用於Linux/Windows跨平台伺服器運維、雲計算環境管理等場景。技術實現層面採用非對稱加密建立會話密鑰，結合SHA系列散列算法保障數據完整性。
基本介紹
- 加密類型：非對稱與對稱加密結合
- 默認連線埠：TCP 22
- 認證方式：密碼/公鑰/證書
- 主要功能：遠程Shell/檔案傳輸/隧道
- 常用工具：OpenSSH/PuTTY/Xshell
- 套用場景：伺服器管理/系統運維
技術原理,功能特性,配置套用,安全機制,發展現狀,
技術原理
協定棧採用分層架構設計，包含傳輸層協定、用戶認證協定和連線協定三層結構。客戶端與服務端通過Diffie-Hellman算法協商會話密鑰，建立AES等對稱加密通道，會話期間所有數據均通過HMAC-SHA1進行完整性校驗。
密鑰交換過程包含六個階段：協定版本協商、算法協商、密鑰交換、服務認證、用戶認證和會話通道建立。2025年主流實現方案支持ed25519橢圓曲線算法，相較傳統RSA算法具備更強的安全性和更快的運算速度。
功能特性
基礎功能包含三類核心服務：
- 遠程登錄：通過ssh命令建立加密終端會話，支持命令執行與互動式操作
- 檔案傳輸：集成SCP協定實現命令行檔案傳輸，SFTP協定提供類FTP互動界面
- 連線埠轉發：本地轉發將遠程連線埠映射至本地，遠程轉發實現區域網路穿透
擴展功能涵蓋X11圖形界面轉發、多路復用會話保持、代理跳板機等高級套用。Windows系統自2025年起通過PowerShell 7.3版本支持SSH遠程處理功能，要求目標計算機安裝SSH客戶端和服務端（如OpenSSH）。
配置套用
服務端部署需完成以下步驟：
- 安裝OpenSSH-server軟體包
- 修改/etc/ssh/sshd_config配置檔案
- 設定監聽地址、禁用root登錄等安全參數
- 配置防火牆放行指定連線埠
典型客戶端連線命令為：
ssh -p 2222 [email protected]
密鑰認證體系構建流程包括：
- 使用ssh-keygen生成RSA/ECDSA密鑰對
- 通過ssh-copy-id上傳公鑰至服務端
- 配置客戶端config檔案實現別名快捷登錄
安全機制
協定防護體系包含三重保障：
- 加密算法：傳輸層使用AES-256-GCM，密鑰交換採用ECDH
- 主機驗證：首次連線時校驗伺服器公鑰指紋
- 訪問控制：通過AllowUsers/AllowGroups限制訪問許可權
安全強化措施建議：
- 修改默認22連線埠降低掃描風險
- 禁用SSHv1協定與弱加密算法套件
- 啟用雙因素認證增強身份驗證
- 配置fail2ban阻止暴力破解嘗試
發展現狀
截至2025年，OpenSSH 9.6版本成為主流實現方案，新增量子安全加密算法支持。微軟在Windows Server 2025中深度集成SSH服務，支持JEA（Just Enough Administration）許可權管控模型。行業套用方面，85%的雲計算平台將SSH作為標準遠程管理協定。
