SSH和SSL两个缩写放在一起总有一种“都是搞加密的”错觉。我在帮朋友排查服务器问题的时候十次有八次听到有人把“给网站配个SSL证书”说成“装一个SSH证书”搞得运维和开发面面相觑。其实SSH负责的是你以什么身份进到机器里操作SSL负责的是数据在网络上传输时被不被别人偷看。一个是入口的钥匙一个是路上的保险箱服务对象完全不同。这篇会把两者的原理、日常使用和常见坑梳理一遍适合天天和Linux服务器打交道但偶尔被连接问题卡住的后端、运维也适合只懂域名解析、正打算给站点上HTTPS的维护者。1. 先复盘SSH 和 SSL 各自在解决什么问题1.1 SSH你进入服务器的安全通道SSH全称Secure Shell1995年诞生用来替代telnet、rsh这些明文协议。telnet时代你用root登录一台服务器账号密码直接在网络上裸奔抓包就能看到所以就有了SSH。它默认跑在22端口通过非对称加密完成身份认证和会话密钥协商之后所有命令都是加密传输的。日常运维接触的ssh命令、scp、sftp、git里的gitgithub.com写法底层都是SSH。SSH最重要的特点是有主机密钥。第一次连接时你会看到一句提示The authenticity of host 192.168.1.1 cant be established.这是在让你确认对方的指纹防止中间人偷换身份。很多人直接输yes也没关系但真正的老手会在~/.ssh/known_hosts里对比指纹避免连接到一台冒牌机器上。1.2 SSL/TLS数据在互联网上运输的加密外套SSL全称Secure Sockets Layer网景公司1994年搞出来的后来标准化改名TLS但大家还是习惯说SSL。它工作在传输层之上、应用层之下给HTTP、SMTP、IMAP这些协议穿上一件加密外套。默认端口443也就是HTTPS。你看到浏览器地址栏的小锁头就是SSL证书在起作用。SSL/TLS通过证书完成服务器身份认证然后协商出对称密钥加密后续数据。它解决的是“中间人”问题——客户端怎么确认自己连的是真的服务器而不是某个被劫持出来的钓鱼站就是靠CA签名证书。这里有个容易混淆的点SSH也防中间人但它靠的是TOFUTrust on First Use第一次连接信任指纹之后如果指纹变了就警告SSL不同它靠第三方CA来背书证书不合法就拒绝连接。1.3 一张表分清两者维度SSHSSL/TLS中文全称安全外壳安全套接字层核心用途远程登录与命令执行、文件传输为HTTP等应用协议加密封装默认端口22443身份认证口令或密钥对基于CA签发的数字证书代表性命令ssh、scp、sftp、gitopenssl、curl、浏览器运行层次应用层传输层与会话层之间配置位置/etc/ssh/sshd_configNginx/Apache等Web服务器配置这里要额外说一下有人会在“网页打不开”时去检查SSH这是最典型的错位排查。SSH不能决定你的网站要不要证书反之SSL证书也不能让你多一个登录入口两者没有直接的依赖关系。1.4 为什么会共用“密钥”这个词SSH有ssh-keygen生成的公钥私钥SSL也有openssl生成的私钥和证书公钥所以大家以为一样。其实SSH密钥是文本形式的身份凭证SSL证书是一个包含公钥、签发主体、有效期、数字签名等信息的结构化文件。举个例子SSH公钥像你单位的进门卡识别了就能放行SSL证书像你的身份证不仅证明你是谁还盖了权威机构的章。两者可以并存于同一台服务器但没有任何互相转换关系。2. SSH 高频实操连接、密钥与进程保活2.1 用密钥登录从此告别密码我个人的建议是从一开始就用密钥登录别依赖密码。生成命令很简单ssh-keygen -t ed25519 -C your_comment -f ~/.ssh/id_ed25519现在推荐用ed25519而不是传统的RSA因为ed25519算法更安全且密钥更短OpenSSH 7.0以后默认支持。生成后会有两个文件私钥id_ed25519和公钥id_ed25519.pub。接下来把公钥放到服务器ssh-copy-id -i ~/.ssh/id_ed25519.pub userserver没有ssh-copy-id就手动执行mkdir -p ~/.ssh echo 公钥内容 ~/.ssh/authorized_keys chmod 700 ~/.ssh chmod 600 ~/.ssh/authorized_keys然后修改/etc/ssh/sshd_config里PasswordAuthentication noPubkeyAuthentication yes重启sshd。这一步做完再配合ssh-agent或者本地密钥就能免密登录。注意权限非常关键服务端的~/.ssh和authorized_keys权限太宽sshd会直接拒绝使用这个公钥甚至日志里会提示“Authentication refused: bad ownership or modes”。很多git配置SSH连不上公钥明明加了就是Permission denied (publickey)排查看一眼权限和路径基本能解决。2.2 git 使用 SSH 认证失败怎么办git仓库如果用SSH方式克隆认证失败通常有几种典型报错是gitgithub.com: Permission denied (publickey)。最常见的原因是本机生成的公钥没添加到GitHub/Gitee/GitLab后台或者添加的是旧公钥。在GitHub上把~/.ssh/id_ed25519.pub的内容粘到account keys里然后执行ssh -T gitgithub.com测试。如果是Windows要确认OpenSSH客户端跑起来了可以打开服务里的OpenSSH Authentication Agent并且把私钥add进去。另一种是known_hosts记录冲突报“REMOTE HOST IDENTIFICATION HAS CHANGED”说明对方主机指纹变了多数是因为重装过服务器或把多台机器的IP复用。处理方式ssh-keygen -R 主机名删掉旧记录重连。2.3 “SSH连接断开以后node服务停了”的根治方案这是新手最常问的问题。你在本地终端敲ssh userserver然后在服务器上执行node app.js启动服务看到输出一切正常但只要网络抖动或者关闭终端服务就跟着挂了。原因是前台进程的父进程是SSH会话连接断开时系统向会话控制的进程发送SIGHUP信号进程收到挂断信号就退出。解决办法按推荐排序systemd托管写一个/etc/systemd/system/myapp.service把启动命令放进去进程不再依赖SSH会话。tmux或screen在SSH里开一个tmux新会话在里面跑node app.js断开再重连tmux attach -t 0还能看到原来的进程。nohup 命令后面加nohup并重定向日志nohup node app.js app.log 21 然后一定要再执行exit正常退出而不是直接关窗口。注意nohup只适合临时测试遇到进程崩溃没人帮你拉起来。生产环境用systemd单元文件不光能开机自启还能在崩溃后自动重启。2.4 SSH连接报错“Connection closed”和“服务器拒绝密码”这些错误词一搜一大把其实对应两种完全不同的方向。Connection closed by remote host——服务器在你握手成功后就主动断开。可能原因服务器防火墙或TCP wrapper规则拦截客户端IP不在白名单sshd配置了MaxSessions限制服务器端SSH版本太旧不兼容还有一种是云厂商安全组把22端口限制连接过程被中间设备重置客户端甚至看不到握手输出。服务器拒绝了密码——一般是密码认证没开、PermitRootLogin no导致root不能登录、或者密码本身错误。推荐先看日志tail -f /var/log/auth.logCentOS上日志在/var/log/secure。可以看到failed password记录。如果是“Authentication refused”则是权限问题。另外很多人换了新机器用户名填错了也会反复失败试一下ssh userhost这里的user不是本地Windows的用户名而是服务器上的系统账号。2.5 Ubuntu、Kali、麒麟这些系统SSH起不来的排查套路Ubuntu默认没装openssh-server所以你ssh localhost能通外面连不进来。先执行sudo apt update sudo apt install -y openssh-server然后sudo systemctl enable --now ssh。Kali也是如此开了SSH还要enable开机自启不然重启就丢了。麒麟系统“能往外连不能被别人连”的情况基本就是外部访问22被防火墙丢弃或者本机没启动sshd。执行sudo systemctl status sshd看状态再sudo systemctl stop ufw/firewalld测试。很多国产服务器系统会把SSH服务名写成sshd有些写成ssh在systemctl里名字不一样先status ssh再status sshd总有一个是真的。虚拟机里的SSH连接关键是网络模式。VMware NAT模式的话宿主机可以直接访问虚拟机IP桥接模式要确保IP在同一网段如果一台虚拟机连另一台检查双方网卡和防火墙再说别上来就怪SSH。2.6 远程开发的利器VSCode SSHVSCode的remote-ssh插件可以说是现在最舒服的远程开发方式。在C:\Users\你的用户名\.ssh\config里配置好Host、HostName、User然后插件列表里选择“Connect to Host”输入主机名连上后直接Open Folder打开服务器上的项目目录本地随便改代码终端也自动变成服务器终端。这个过程中如果报“正在使用SCP将VSCode服务器复制到主机”然后卡住多半是网络带宽太低或者是服务器的HOME权限有问题。官方逻辑是连接后会把vscode-server二进制传到远端传完自动启动如果一直卡在传输阶段可以手动在服务器上执行rm -rf ~/.vscode-server清空重来或者检查磁盘空间是否满了。macOS下什么SSH客户端好用其实系统自带的Terminal一行ssh就用非要图形化可以使用Termius免费的ssh配置够用。MobaXterm适合Windows用户自带SCP、端口转发这些集成功能但要做好会话管理。3. SSL 证书生成、部署、续期与故障排查3.1 用 OpenSSL 生成自签名证书和 CSR开发环境调试HTTPS或者在内网给某个服务临时加密不需要找CA自签名证书就够了openssl req -x509 -newkey rsa:2048 -keyout example.key -out example.crt -days 365 -nodes参数里-nodes表示不加密私钥文件方便Nginx启动时不用输入密码。生成后是一个自签证书浏览器会报警告本地测试可以手动信任但这不能用于公网生产。如果要正式申请CA证书则需要生成CSRCertificate Signing Requestopenssl req -new -newkey rsa:2048 -keyout domain.key -out domain.csr签发的证书文件通常由CA提供拿到后要检查格式PEM格式文件以-----BEGIN CERTIFICATE-----开头Nginx直接支持。有些CA给你的是DER格式得先转换openssl x509 -in domain.der -inform DER -out domain.pem -outform PEM证书私钥的安全是底线私钥文件权限建议600传输时走加密通道千万不要直接贴在聊天窗口里。3.2 Nginx 换证书不生效问题可能出在这几个地方“nginx替换ssl证书不生效”绝对是高频问题。有次前端同事把新证书传上去reload完发现还是旧证书排查过程是这样的第一步nginx -t检查配置文件语法通过。 第二步curl -vI https://域名看到证书签发者还是旧CA。说明nginx确实没读新证书。 第三步发现同事改的是/etc/nginx/conf.d/default.conf但实际站点配置存在/etc/nginx/sites-enabled/example.conf里而且里面写死了ssl_certificate为绝对路径路径指向的文件还是旧的。所以替换证书时先确认当前生效的server块nginx -T可以导出全部配置搜索ssl_certificate路径看清楚配置文件里真正被include的是哪个文件。再确认文件权限证书目录最好root:root 644私钥400或600worker进程以nginx用户跑如果读不了私钥nginx启动会报错reload时虽然返回ok但实际是failed。还有CDN场景证书配置在源站时如果硬刷新浏览器没用curl看一下证书签发者还是旧的就是源站问题如果curl已经是新的但浏览器还是旧的去CDN控制台更新证书。这套排查顺序别搞反。最后别忘了证书链。很多CA证书会有中间证书只传了域名证书没传中间证书会导致某些客户端报“SSL_ERROR_UNKNOWN_CA”。办法是把域名证书和中间证书按顺序拼接上传Nginx里可以直接指定一个bundle文件。3.3 免费证书怎么一直“免费”下去免费证书性价比最高的是Lets Encrypt有效期90天配合acme.sh或certbot实现自动续期实践上属于“长久免费”。acme.sh的常见用法curl https://get.acme.sh | sh acme.sh --issue -d example.com --nginx acme.sh --install-cert -d example.com \ --key-file /etc/nginx/ssl/example.key \ --fullchain-file /etc/nginx/ssl/example.crt \ --reloadcmd systemctl reload nginx安装时指定reloadcmd每次续期成功后自动重载nginx这才是真正意义上的自动化。国内云厂商提供的免费证书有效期通常是一年到期需要手动重新申请或通过API续期比如阿里云SSL证书有免费的DV证书可以在证书管理控制台申请到期前提交新申请然后更新到Web服务器。这里有个坑很多人的证书续期脚本跑得挺欢但reloadcmd写的是nginx -s reload可能没权限调用或者Nginx路径不对结果证书文件更新了服务还在用旧证书。建议在脚本里加上日志输出续签完再curl检查一遍证书有效期写进cron用它来判断成功与否。3.4 MySQL 的 SSL 连接错误看这几个方向MySQL启用SSL后客户端报SSL连接错误先分场景。服务端要检查是否真的启用了SSLshow variables like %ssl%;看have_ssl的值如果为DISABLED就是没开启需要在my.cnf加上ssl_ca、ssl_cert、ssl_key配置并重启。客户端连接报SSL错误常见原因客户端没有指定CA证书路径导致无法校验服务器证书或服务器的自签名证书不受客户端信任还可能客户端版本太老不支持新的TLS版本。测试时可以先用--ssl-modeDISABLED连接确认数据库本身通不通再逐步开启。生产环境不要长期禁用建议把CA证书拷到客户端并指定mysql -h server --ssl-caca.pem --ssl-modeREQUIRED -u user -pMySQL 5.7以后默认自动开启SSL但证书是自动生成的客户端如果启用严格校验要确保证书链一致。这个报错和前面Nginx的SSL错误经常被一起问到其实一个在传输入口一个在应用后端排查思维完全不同。3.5 SSL握手失败这类报错意味着什么像“ssl handshake failed”“SSL_ERROR...”这类错误本质都是客户端和服务器在协商加密算法、证书信任关系时失败。常见原因有服务器协议和加密套件不支持客户端时间不对证书有效期校验失败服务器证书与域名不匹配握手过程中被网络设备主动切断。有个很隐蔽的原因是服务器时间不对。客户端通过证书有效期判断信任服务器时间差几分钟证书看起来就是过期或尚未生效直接握手失败。所以看到SSL相关错误别忘先date看看系统时间这在虚拟机里特别常见。4. 常见问题速查表与避坑心得4.1 一张表对照查现象可能原因推荐排查动作SSH连接超时防火墙/安全组没开22sshd没启动检查systemctl status sshd再查网络出口SSH密钥登录失败公钥未加入authorized_keys或权限错chmod 700 .ssh chmod 600 authorized_keysgit认证失败公钥没加到代码平台/ssh-agent没带私钥ssh -T gitgithub.com定位SSH断开后进程终止SIGHUP信号用systemd/tmux/nohupNginx证书不生效改错配置文件或缓存/CDNnginx -T确认路径curl -v看证书SSL握手失败时间不对/证书链不全/协议不匹配检查系统时间补全中间证书MySQL SSL连接错误客户端未指定CA或不信任证书--ssl-ca指定或临时--ssl-modeDISABLEDVSCode SSH卡传输vscode-server目录损坏rm -rf ~/.vscode-server后重连这张表贴在公司内部wiki里每次遇到问题先对号入座能省不少时间。4.2 大前提先把方向和时序理清楚很多人一报错就慌SSH和SSL混在一起试。我个人的排查习惯是直接看报错关键词。英文报错里出现“Host key”“Permission denied (publickey)”“Connection closed”就往SSH方向查出现“certificate”“SSL”“handshake失败”就往SSL方向查。再一个就是看日志SSH问题看/var/log/auth.logSSL问题看Nginx错误日志和系统日志别靠猜。日志能看到的信息远比终端输出详细。比如Nginx配置了SSL证书但启动失败错误日志里会明确说“cannot load certificate”还是“permissions”比你在浏览器里看到的500错误直观得多。4.3 配置 SSH 监听 IPv6 的小实例现在IPv6普及越来越广有时需要让SSH支持IPv6。默认情况下OpenSSH监听在所有可用地址包括IPv6但如果sshd_config写了ListenAddress 0.0.0.0就只会监听IPv4。改成ListenAddress ::或同时ListenAddress 0.0.0.0 ListenAddress ::重启服务后测试ssh -6 user2001:db8::1如果连接失败多半是云厂商安全组或本地防火墙没放行IPv6的22端口。这个检查和IPv4完全一样只是协议栈不同别忽略防火墙对ip6tables的配置。4.4 关于“组策略中开启SSL或RDP安全层协议”Windows远程桌面在安全工具或合规检查时可能会提示“建议在组策略中开启SSL或者RDP安全层协议”。这是指在Windows组策略编辑器里计算机配置-管理模板-Windows组件-远程桌面服务-远程桌面会话主机-安全设置“远程连接要求使用网络级别的身份验证”以及配置“使用SSL加密”。如果服务器允许远程桌面我建议开启它能挡住不少暴力扫描。注意这里面的SSL指的是RDP的传输加密层跟Web证书不是一回事但安全思路一致——能加密的一律加密。4.5 经验谈我在实际运维中最大的体会是SSH和SSL是两个独立的系统但经常在同一台机器上“同时出事”。比如你改了SSL证书顺便重启了Nginx结果发现SSH也连不上了其实大概率只是重启Nginx不影响sshd别被联动假象骗了。真遇到这种情况先确认22端口、sshd服务、防火墙三层再回过来找证书。另一个技巧是任何时候改配置之前先备份改完立即测试尤其是sshd_config这种文件写错一行可能把自己锁在门外。建议写个自动备份脚本每次改动前cp一份带日期的副本或者用配置管理工具统一管理容错率会高很多。最后再分享个小细节判断SSH连接是否走密钥可以在服务器上看/var/log/auth.log里“Accepted publickey for user”这一行如果有说明公钥登录成功如果是“Accepted password”则说明走的是密码。想强制密钥的话一定要确认密钥能用再关密码否则遇到密钥失效就真的进不了门了。SSH和SSL平时都是默默工作的东西但只要掌握了这份排查思路遇到问题就不会再抓瞎。
