SSH 金鑰輪替與安全設定：守護你的伺服器

在每天頻繁登入遠端伺服器的過程中，你是否遇過「金鑰外洩」或「忘記伺服器位址」的窘境？本文將手把手教你建立一套完整的 SSH 金鑰輪替與安全設定體系，讓遠端協作既安全又高效。

為什麼要做金鑰輪替？

風險情境：

• 員工離職但未及時停用其 SSH 金鑰
• 筆記型電腦遭竊，金鑰未啟用加密保護
• 金鑰在多個管道外洩（GitHub 公開倉庫、即時通訊工具傳輸）

輪替頻率建議：每 90 天輪換一次；如果團隊成員變動頻繁，可縮短至 30 天。

完整操作流程

第一步：產生新型金鑰（推薦 Ed25519）

# 產生 Ed25519 金鑰（更安全、更小）
ssh-keygen -t ed25519 -C "your-email@example.com"

# 設定強密碼保護私鑰
# 建議：12 字元以上，含大小寫+數字+符號

關鍵點：Ed25519 比 RSA 更安全且效能更好，金鑰長度僅 256 位元，但安全強度等效於 3072 位元 RSA。

第二步：部署公鑰到伺服器

# 自動部署（推薦）
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

# 手動方式（備用）
cat ~/.ssh/id_ed25519.pub | ssh user@server "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

第三步：設定 .ssh/config 檔案

# 新增 ~/.ssh/config
Host production
    HostName 192.168.1.100
    User deploy
    IdentityFile ~/.ssh/id_ed25519_prod
    IdentityFile ~/.ssh/id_ed25519_personal

Host staging
    HostName 10.0.0.50
    User deploy
    IdentityFile ~/.ssh/id_ed25519_staging
    ForwardAgent yes  # 注意：生產環境建議關閉

檢查清單：

• 每個伺服器對應獨立金鑰組
• 生產環境關閉 ForwardAgent
• 設定合理的檔案權限（600 私鑰，644 公鑰）

何時不應使用此方法？

1. 臨時測試環境：使用臨時金鑰，無需持久化設定
2. 公共伺服器：如 GitHub、雲端廠商控制台，使用 OAuth/雲端金鑰而非 SSH
3. 無伺服器權限：只能使用 API 金鑰或瀏覽器憑證

輪替檢查清單

每次輪替時執行：

步驟	指令
產生新金鑰	ssh-keygen -t ed25519 -C "rotated-$(date +%Y%m%d)"
驗證新金鑰可登入	ssh -i ~/.ssh/id_ed25519_new user@server "echo ok"
部署新公鑰	ssh-copy-id -i ~/.ssh/id_ed25519_new user@server
停用舊金鑰	從 authorized_keys 中移除舊公鑰
更新本地 config	更新 .ssh/config 指向新金鑰
記錄輪替日誌	保存輪替日期和伺服器清單

常見陷阱

• 忘記停用舊金鑰：輪替後舊金鑰仍可從舊裝置登入，必須明確移除
• 金鑰權限過寬：私鑰權限需 600，否則 SSH 會拒絕使用
• 混合使用 RSA 和 Ed25519：建議統一技術棧，避免相容性問題
• ForwardAgent 濫用：遠端伺服器可藉此存取其他主機，生產環境務必關閉

---

摘要：建立一套「產生→部署→驗證→輪替」的閉環流程，讓 SSH 安全不再是被動防禦，而是日常維運的主動標準。