SSH 配置证书登录
SSHd 配置采取了一些安全措施，比如：修改端口、禁止 root 远程登录（这里）、启动 fail2ban 防止恶意登录（这里），等等。目前看这些措施基本满足了日常的维护管理需求。
通常还会采取证书登录方式，禁止密码鉴权登录。不过以往考虑到密码方式更方便，因此没有动力去修改。时间就这么过去了……
最近登录服务器检查日志， 惊讶地发现 fail2ban 每日的日志居然有十几M之多，全是各类奇葩以各种方式尝试登录 SSH。虽然 fail2ban 工作得很好，但是万一出现了 bug 呢？ 万一哪个变态就是锲而不舍、经年累月地尝试登录呢？应该下狠手，让老铁们彻底绝望，因此决定禁止密码方式登录，要求采用证书登录。
配置不复杂，涉及客户端生成证书密钥，以及将公钥上传到服务器等。主要参考 Linode 的两篇配置文档（这里和这里）。 以下是详细步骤：
生成证书
客户端也是 Linux 系统，因此相当简单：
ssh-keygen -b 4096
该命令在当前用户的 .ssh 目录下创建了两个文件： id_rsa 以及 id_rsa.pub 。
其中 “id_rsa.pub” 是当前用户的公钥文件，将其上传到服务器上，然后添加进 ~/.ssh/authorized_keys 文件中：
cat id_rsa.pub >> ~/.ssh/authorized_keys
添加完成后，服务器上的 id_rsa.pub 文件不用再保留，删除即可。要注意，authorized_keys 文件应该设置为别人不允许访问，确保足够的安全性。例如设置文件权限为600：
chmod 600 authorized_keys
当 SSH 客户端登录时， SSHd 默认读取该用户的 authorized_keys 信息进行证书鉴权。
修改 /etc/ssh/sshd_config 文件
PasswordAuthentication no
然后重启 sshd 即可：
sudo systemctl restart sshd
之后，客户端如果采用密码鉴权方式登录，或者粗暴破解，将被无情拒绝。
如果有多个客户端需要登录服务器，则需要各自生成证书，并将公钥上传到服务器，并添加到 authorized_keys 文件中即可。
