# 生成 Ed25519 密钥（推荐）
ssh-keygen -t ed25519 -C "[email protected]"

# Ed25519（推荐 - 256 bit，速度快，安全性高）
ssh-keygen -t ed25519 -C "comment" -f ~/.ssh/id_ed25519

# RSA 4096（兼容性最好，适合老系统）
ssh-keygen -t rsa -b 4096 -C "comment" -f ~/.ssh/id_rsa

# ECDSA（折中选择）
ssh-keygen -t ecdsa -b 256 -C "comment" -f ~/.ssh/id_ecdsa

# 无交互式生成密钥（适合自动化脚本）
ssh-keygen -t ed25519 \
    -f /home/deploy/.ssh/id_ed25519 \
    -N "strong-passphrase-here" \
    -C "deploy@ci-server" \
    -q

# 查看公钥内容
cat ~/.ssh/id_ed25519.pub

# 示例输出：
# ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIGxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx user@host

# 公钥结构：
# [算法类型] [Base64编码的密钥数据] [注释]

# 私钥文件内容（仅供参考，切勿分享）
cat ~/.ssh/id_ed25519

# 结构：
# -----BEGIN OPENSSH PRIVATE KEY-----
# [Base64 编码的私钥数据]
# -----END OPENSSH PRIVATE KEY-----

# .ssh 目录：仅所有者可访问（700）
chmod 700 ~/.ssh

# 私钥文件：仅所有者可读写（600）
chmod 600 ~/.ssh/id_ed25519
chmod 600 ~/.ssh/id_rsa

# 公钥文件：所有人可读（644）
chmod 644 ~/.ssh/id_ed25519.pub
chmod 644 ~/.ssh/id_rsa.pub

# authorized_keys 文件
chmod 600 ~/.ssh/authorized_keys

# known_hosts 文件
chmod 644 ~/.ssh/known_hosts

# config 文件
chmod 600 ~/.ssh/config

# 查看当前权限
ls -la ~/.ssh/

# 最简单的连接方式
ssh user@hostname

# 指定端口
ssh -p 2222 user@hostname

# 使用 IP 地址
ssh [email protected]

# 使用 IPv6
ssh user@2001:db8::1

# 使用 -v 查看详细连接过程
ssh -v user@hostname

# 执行单条命令（不进入交互 Shell）
ssh user@host "uname -a && uptime"

# 执行多条命令
ssh user@host << 'EOF'
    cd /var/log
    tail -n 20 syslog
    df -h
EOF

# 后台运行长时间命令
ssh user@host "nohup /opt/scripts/backup.sh > /tmp/backup.log 2>&1 &"

# 不打开 Shell（仅做端口转发）
ssh -N -L 8080:localhost:80 user@host

# 保持连接（配合 -f 后台运行）
ssh -fN -L 8080:localhost:80 user@host

# 在服务器上查看主机密钥指纹
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
# 输出：256 SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx root@server (ED25519)

ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub
# 输出：4096 SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx root@server (RSA)

# 查看已知主机
cat ~/.ssh/known_hosts

# 删除特定主机的密钥（主机密钥变更时需要）
ssh-keygen -R 192.168.1.100

# 删除所有已知主机（谨慎使用）
rm ~/.ssh/known_hosts

# 安全地处理主机密钥变更
# 1. 通过带外渠道确认新密钥
# 2. 删除旧密钥
ssh-keygen -R 192.168.1.100
# 3. 重新连接并接受新密钥
ssh [email protected]

# ~/.ssh/config

# 全局默认设置
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes
    IdentityFile ~/.ssh/id_ed25519

# 生产服务器
Host production
    HostName 203.0.113.10
    User admin
    Port 2222
    IdentityFile ~/.ssh/id_prod

# 开发服务器
Host dev
    HostName 192.168.1.50
    User developer
    ForwardAgent yes

# 跳板机 + 内网服务器
Host bastion
    HostName bastion.example.com
    User jumpuser
    IdentityFile ~/.ssh/id_bastion

Host internal-*
    User internaluser
    ProxyJump bastion
    IdentityFile ~/.ssh/id_internal

Host internal-web
    HostName 10.0.0.10

Host internal-db
    HostName 10.0.0.20
    Port 5432

# 使用别名连接（等同于完整的 ssh 命令）
ssh production
# 等同于：ssh -p 2222 -i ~/.ssh/id_prod [email protected]

ssh dev
ssh internal-web
ssh internal-db

# 精确匹配
Host myserver

# 通配符匹配
Host *.example.com          # 匹配所有 example.com 子域名
Host 192.168.1.*            # 匹配 192.168.1.0/24 网段
Host web-*                  # 匹配 web- 开头的名称

# 多个模式
Host web-* db-* cache-*

# 全局匹配（必须放在最后）
Host *

# 启动 ssh-agent
eval "$(ssh-agent -s)"
# 输出：Agent pid 12345

# 添加密钥到 agent
ssh-add ~/.ssh/id_ed25519
# 输入密码短语

# 查看已加载的密钥
ssh-add -l

# 删除所有已加载的密钥
ssh-add -D

# 删除特定密钥
ssh-add -d ~/.ssh/id_ed25519.pub

# 自动启动 ssh-agent（避免重复启动）
if [ -z "$SSH_AUTH_SOCK" ]; then
    eval "$(ssh-agent -s)" > /dev/null 2>&1
fi

# 检查是否在使用桌面环境的 agent
echo $SSH_AUTH_SOCK
# GNOME: /run/user/1000/keyring/ssh
# KDE: /tmp/ssh-xxxxx/agent.pid

# 如果需要使用独立的 agent，设置环境变量
export SSH_AUTH_SOCK=~/.ssh/ssh_agent.sock

# 单条命令
ssh user@host "ps aux | grep nginx"

# 多条命令
ssh user@host "cd /var/log && ls -la && tail -5 syslog"

# 交互式脚本
ssh -t user@host "sudo bash -c 'apt update && apt upgrade -y'"

# 将本地脚本传到远程执行
ssh user@host 'bash -s' < local_script.sh

# 执行需要 sudo 的命令（使用 -t 分配终端）
ssh -t user@host "sudo systemctl restart nginx"

# scp 基本用法
scp localfile.txt user@host:/remote/path/
scp user@host:/remote/file.txt ./

# 目录传输
scp -r localdir/ user@host:/remote/path/

# rsync over SSH（推荐，支持增量传输）
rsync -avz -e ssh localdir/ user@host:/remote/path/

# 限速传输（避免占满带宽）
rsync -avz --bwlimit=1000 -e ssh largefile user@host:/tmp/

# ~/.ssh/config
Host *
    ControlMaster auto
    ControlPath ~/.ssh/sockets/%r@%h-%p
    ControlPersist 600

# 创建 socket 目录
mkdir -p ~/.ssh/sockets

# 第一次连接：正常建立（约 1-2 秒）
ssh user@host
# 连接建立完成

# 第二次连接：复用已有连接（几乎瞬时）
ssh user@host
# 立即进入

# 查看已有连接
ssh -O check user@host

# 关闭已有连接
ssh -O exit user@host

# ~/.ssh/config
Host *
    # 启用连接复用
    ControlMaster auto
    ControlPath ~/.ssh/sockets/%r@%h-%p
    ControlPersist 600

    # 跳过 DNS 反向解析
    AddressFamily inet

    # 禁用 GSSAPI
    GSSAPIAuthentication no

    # 保持连接
    ServerAliveInterval 60
    ServerAliveCountMax 3

    # 使用压缩（带宽有限时）
    Compression yes

# /etc/ssh/sshd_config

# 禁用 DNS 反向解析（显著加速登录）
UseDNS no

# 禁用 GSSAPI（除非你使用 Kerberos）
GSSAPIAuthentication no

# 一键修复所有 SSH 权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/config ~/.ssh/id_* ~/.ssh/authorized_keys
chmod 644 ~/.ssh/id_*.pub ~/.ssh/known_hosts