SSH客户端安全配置需禁用自动主机密钥信任、强制指定密钥与用户、启用强加密算法（如chacha20-poly1305）、设置心跳保活（ServerAliveInterval 60）、隔离多环境密钥并禁用ssh-agent自动加载，以防范中间人攻击、密钥滥用和凭据泄露。
SSH客户端配置本身不直接决定服务器安全，但它直接影响你连接服务器时的行为是否可控、可审计、可防御。强化客户端配置，本质是减少人为失误、规避中间人攻击、防止密钥滥用，并为后续服务端加固打下基础。
禁用自动主机密钥信任
首次连接未知服务器时，OpenSSH默认会提示“Are you sure you want to continue connecting?”并自动将主机密钥存入~/.ssh/known_hosts。这看似方便，实则埋下中间人攻击隐患。
- 在~/.ssh/config中添加：
StrictHostKeyChecking yes
HashKnownHosts yes - 配合使用ssh-hostkeys提前获取并核对目标服务器的SHA256指纹（如
ssh-hostkeys example.com），再手动写入known_hosts，实现首次连接即验证。 - 避免使用
-o StrictHostKeyChecking=no跳过检查——这是自动化脚本中最常见的高危操作。
强制指定密钥与用户，杜绝凭据泄露
不加约束的ssh user@host命令可能意外加载错误密钥、暴露用户名、甚至触发密码回退（当密钥失败时）。
- 在~/.ssh/config中为每个服务器定义独立区块：
Host prod-server
HostName 192.168.10.5
User ops
IdentityFile ~/.ssh/id_ed25519_prod
IdentitiesOnly yes - IdentitiesOnly yes确保只用此处指定密钥，不从ssh-agent中轮询其他私钥——防止一个密钥泄露牵连多个系统。
- 避免在命令行中明文写用户名或端口（如
ssh -p 2222 admin@x.x.x.x），全部收归config管理，降低信息泄漏风险。
启用强加密与连接保活机制
老旧客户端默认启用弱算法（如CBC模式、SHA-1签名），且空闲断连后易被重放或劫持。
- 在~/.ssh/config全局段（或Host段）中添加：
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
KexAlgorithms curve25519-sha256,ecdh-sha2-nistp521
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com - 设置连接保活：
ServerAliveInterval 60
ServerAliveCountMax 3
客户端每60秒发一次心跳，连续3次无响应即断开，防止僵死连接被复用。
隔离敏感环境，避免密钥混用
同一套私钥用于生产、测试、CI/CD等多环境，等于把所有门锁用同一把钥匙——一旦某处失守，全盘沦陷。
- 为不同环境生成独立密钥：
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519-prod -C "prod-access"ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519-dev -C "dev-access" - 配合~/.ssh/config严格绑定：
Host dev-box
IdentityFile ~/.ssh/id_ed25519-dev
Host prod-db
IdentityFile ~/.ssh/id_ed25519-prod - 禁用ssh-agent自动加载（或仅加载特定密钥），避免误触高权限环境。
