很多人装完SSH客户端，第一件事是连上服务器，第二件事就再也没有了。配置项的默认值陪着自己用了三年，直到某次交接、某台机器出事，才发现当初那些看着挺安全的设置，其实一直在帮倒忙。下面这几条，是反复被踩的坑。
误区一：改了端口号，就等于做好了防护
- 改默认端口能减少扫描噪音，但它不是认证，也不是授权，更挡不住知道端口的人。
- 真正的第一道门是认证方式：关掉密码登录、只留密钥或证书，比换端口有效得多。
- 更稳的做法是再加一层网络边界：安全组只放行固定来源IP，公网端口不对全网开放。
误区二：换成密钥登录就万事大吉
密钥登录确实是SSH客户端安全配置建议里的核心一条，但很多人只做了一半：
- 私钥没设口令。文件被拷走就等于账号被交出去，建议给私钥加上passphrase，再配合ssh-agent免去反复输入。
- 权限放得太松。Linux下~/.ssh目录应为700，私钥600，authorized_keys也是600；权限不对时服务端会直接拒绝，很多人误以为是密钥本身有问题。
- 公钥到处复制。同一把密钥发给十台机器、五个人，等于没有追溯能力。按人按机器生成，离职或换机时才能精确吊销。
误区三：把密码保存在客户端里是“效率优化”
保存密码本身没错，错的是保存方式：
- 会话文件如果明文存密码，任何能读到这台电脑文件的人都能拿走。至少要开启客户端的主密码加密。
- 更彻底的做法是根本不在客户端存服务器密码，改用密钥登录，客户端只记主机和用户名。
- 共享电脑、临时借用的机器上，宁可每次输入，也别勾选记住。
误区四：主机指纹弹窗，一律点“接受”
第一次连接弹出的指纹确认，是防中间人的唯一机会。
- 正确的动作是先跟管理员核对指纹，或从可信渠道拿到已知指纹再比对。
- 点过一次接受之后，指纹就被记住了；如果哪天提示指纹变更，先别急着删记录，先确认服务器是否重装或换了机器。
- 团队里可以维护一份主机指纹清单，新人接手时直接用，省去反复核对。
误区五：会话超时、空闲断开是折腾人
- 长时间挂着的会话，人离开工位就是敞开的门。设置15到30分钟空闲断开，成本极低。
- 客户端一侧也应开启锁屏或主密码保护，笔记本合盖不等于会话关闭。
- 跳板机、堡垒机上的会话同理，别为了少按几次键盘把窗口一直留着。
误区六：日志和审计是“以后再说”的事
- 连接日志、命令记录在排查故障和复盘事故时是唯一凭据，事后补是补不回来的。
- 客户端侧至少打开会话日志开关，重要操作留本地记录；服务端侧开启认证日志，关注失败次数和来源IP异常。
- 多标签、多会话并行时，日志文件名带上主机和时间，比事后翻聊天记录靠谱。
误区七：配置一次，管一辈子
- 客户端版本、加密算法、默认协议都会随更新变化，老版本可能还在用已被淘汰的算法。
- 建议每半年过一遍：认证方式、密钥有效期、已授权的公钥列表、会话存密情况。
- 人员变动是触发器：有人离职、有人换岗，当天就该清理对应密钥和会话。
一份可以照着做的顺序
如果只能改五件事，按这个顺序来：
- 关闭密码登录，改为密钥或证书认证，并给私钥加口令。
- 打开客户端主密码，清理会话里明文保存的服务器密码。
- 首次连接核对主机指纹，建立团队指纹清单。
- 设置空闲超时与锁屏，减少长时间挂起的会话。
- 打开会话日志，每半年做一次配置与密钥的清理。
安全配置不是把客户端调成最难用的样子，而是把几个真正起作用的开关拧对。上面这些误区之所以常见，是因为它们看起来都像“小方便”，代价却要在很久以后才显现。