如何在Linux中执行远程命令 Linux ssh命令安全连接指南-linux运维-PHP中文网

如何在Linux中执行远程命令 Linux ssh命令安全连接指南

P粉602998670

发布： 2025-08-30 08:46:01

原创

953人浏览过

最核心的远程命令执行方式是SSH，通过加密通道确保通信安全。使用ssh user@host 'command'可执行非交互式命令，结合SSH密钥认证（如ssh-keygen生成密钥、ssh-copy-id上传公钥）可大幅提升安全性。建议禁用密码登录、更改默认端口、限制允许用户，并配合Fail2Ban和防火墙规则强化防护。执行时注意环境变量、变量传递及伪终端需求，用-t或-v等选项处理交互和调试问题。

如何在linux中执行远程命令 linux ssh命令安全连接指南

在Linux中执行远程命令，最核心、最安全的方式无疑是使用SSH（Secure Shell）。它不仅能让你在远程服务器上运行指令，还能确保整个通信过程加密，不被窃听。简单来说，就是通过一个加密的通道，把你的指令安全地送到远端机器，再把结果安全地传回来。

解决方案

要在Linux中执行远程命令，基本语法非常直观：

ssh [用户名]@[远程主机IP或域名] '[要执行的命令]'

登录后复制

。

举个例子，如果你想查看远程服务器上

/var/log

登录后复制

目录的内容，并且你的用户名是

user

登录后复制

，远程服务器IP是

192.168.1.100

登录后复制

，你可以这样操作：

ssh user@192.168.1.100 'ls -l /var/log'

登录后复制

系统会提示你输入密码（如果使用的是密码认证），或者直接执行（如果配置了密钥认证）。

如果你需要执行多条命令，可以用分号

登录后复制

或

&&

登录后复制

连接起来。

&&

登录后复制

表示前一条命令成功后才执行后一条。

ssh user@192.168.1.100 'cd /tmp && mkdir my_new_dir && echo "Hello" > my_new_dir/test.txt'

登录后复制

这会在

/tmp

登录后复制

下创建一个新目录

my_new_dir

登录后复制

，并往里面写入一个文件。但要注意，如果远程命令需要交互式输入，或者需要持续运行（比如启动一个服务），这种单行执行的方式就不太合适了。通常，它更适用于那些一次性、非交互式的任务。

SSH密钥认证如何保障远程连接安全？

我个人是坚决反对还在用密码登录SSH的，那简直是给自己挖坑。密码再复杂，也架不住暴力破解和字典攻击，更别说那些被泄露的密码。SSH密钥认证才是王道，它基于非对称加密，安全性高出不止一个量级。

原理很简单：你本地有一对密钥，一个私钥（自己保管，绝不能泄露），一个公钥（可以公开）。你把公钥放到远程服务器的

~/.ssh/authorized_keys

登录后复制

文件里。当你尝试连接时，远程服务器会用你的公钥加密一段数据，然后发送给你。你的本地SSH客户端用对应的私钥解密这段数据，如果成功，就证明你是合法的，连接随即建立。整个过程，私钥从未离开你的机器，极大地降低了被盗用的风险。

操作步骤：

生成密钥对： 在你的本地机器上，打开终端，输入：
```
ssh-keygen -t rsa -b 4096
```
登录后复制
```
-t rsa
```
登录后复制
指定加密算法为RSA，
```
-b 4096
```
登录后复制
指定密钥长度为4096位，这能提供非常高的安全性。一路回车即可，或者设置一个复杂的密码保护你的私钥（强烈推荐，这相当于给你的私钥再加了一把锁）。这会在
```
~/.ssh/
```
登录后复制
目录下生成
```
id_rsa
```
登录后复制
（私钥）和
```
id_rsa.pub
```
登录后复制
（公钥）。
上传公钥到远程服务器： 最方便的方式是使用
```
ssh-copy-id
```
登录后复制
命令：
```
ssh-copy-id user@remote_host_ip
```
登录后复制
它会自动把你的公钥添加到远程服务器的
```
~/.ssh/authorized_keys
```
登录后复制
文件中。如果远程服务器上没有这个文件或目录，它也会帮你创建。如果没有
```
ssh-copy-id
```
登录后复制
，你也可以手动复制：
```
cat ~/.ssh/id_rsa.pub | ssh user@remote_host_ip "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys"
```
登录后复制
（注意：
```
cat >>
```
登录后复制
是追加，不是覆盖）
禁用密码认证（可选但强烈推荐）： 在远程服务器上，编辑SSH配置文件
```
/etc/ssh/sshd_config
```
登录后复制
。找到并修改以下行：
```
PasswordAuthentication no
PermitRootLogin no  # 顺便把root登录也禁了，安全第一
```
登录后复制
修改后，重启SSH服务：
```
sudo systemctl restart sshd  # 或者 service sshd restart
```
登录后复制
重要提示： 在禁用密码认证前，请务必确保你的密钥认证已经成功配置并且可以登录，否则你可能会把自己锁在服务器外面！

行者AI
行者AI绘图创作，唤醒新的灵感，创造更多可能

100

查看详情

优化SSH服务器配置，提升远程访问安全性

除了密钥认证，对SSH服务器的配置进行一些调整，能显著提升整体安全性。这就像给你的房子多加几道锁，虽然麻烦点，但心里踏实。

更改默认端口： SSH默认使用22端口，这是所有扫描器首要攻击的目标。将其更改为一个不常用的高位端口（例如22222），可以有效减少自动化攻击的尝试。编辑
```
/etc/ssh/sshd_config
```
登录后复制
：
```
Port 22222
```
登录后复制
然后重启SSH服务。记住，以后连接时需要指定新端口：
```
ssh -p 22222 user@remote_host_ip
```
登录后复制
。
限制允许登录的用户： 如果你知道只有特定用户需要SSH访问，可以明确指定允许哪些用户登录。在
```
/etc/ssh/sshd_config
```
登录后复制
中添加或修改：
```
AllowUsers user1 user2
```
登录后复制
这样，只有
```
user1
```
登录后复制
和
```
user2
```
登录后复制
可以通过SSH登录，其他用户（包括root）都将被拒绝。这比禁用root登录更进一步，实现了白名单机制。
使用Fail2Ban等入侵防御工具： 即使你做了很多安全措施，总有人会尝试暴力破解。Fail2Ban是一个非常实用的工具，它会监控SSH日志，一旦发现某个IP地址在短时间内多次尝试登录失败，就会自动将该IP地址加入防火墙黑名单，阻止其进一步尝试。安装和配置Fail2Ban通常很简单，在大多数发行版中都可以通过包管理器安装。
配置防火墙规则： 确保你的服务器防火墙（如
```
ufw
```
登录后复制
或
```
firewalld
```
登录后复制
）只允许SSH端口（无论是默认的22还是你自定义的端口）的入站连接。限制源IP地址范围也是个好主意，如果你的访问IP是固定的，只允许你的IP连接SSH端口，这能极大缩小攻击面。例如，使用
```
ufw
```
登录后复制
：
```
sudo ufw allow 22222/tcp  # 允许新端口
sudo ufw enable
```
登录后复制
或者更严格地限制来源IP：
```
sudo ufw allow from your_static_ip to any port 22222
```
登录后复制

远程命令执行中的常见挑战与高级技巧

在实际操作中，远程执行命令会遇到一些细节问题，掌握一些高级技巧能让你的工作更顺畅。

环境变量问题： 当你通过SSH执行远程命令时，远程会话的环境变量可能与你直接登录时不同。例如，
```
PATH
```
登录后复制
变量可能不包含你想要执行的命令所在的目录。 解决方案：
- 使用命令的绝对路径：
```
ssh user@host '/usr/local/bin/my_script.sh'
```
  登录后复制
- 在命令前设置环境变量：
```
ssh user@host 'export PATH=$PATH:/usr/local/bin && my_script.sh'
```
  登录后复制
传递本地变量到远程命令： 如果你想在远程命令中使用本地脚本的变量，直接在单引号内引用是行不通的，因为单引号会阻止本地变量的展开。 解决方案：
- 使用双引号，但要小心内部的特殊字符转义：
```
LOCAL_VAR="Hello World"
ssh user@host "echo \"$LOCAL_VAR\""
```
  登录后复制
- 更健壮的方式是使用
```
here-string
```
  登录后复制
  或
```
here-document
```
  登录后复制
  ：
```
LOCAL_VAR="Hello World"
ssh user@host "bash -s" <<< "echo '$LOCAL_VAR' from remote"
```
  登录后复制
  或者对于多行脚本：
```
ssh user@host 'bash -s' << 'EOF'
echo "This is a multi-line script."
echo "The current directory is: $(pwd)"
EOF
```
  登录后复制
  注意
```
EOF
```
  登录后复制
  前的单引号
```
'EOF'
```
  登录后复制
  可以防止本地变量展开，确保脚本原封不动地发送过去。
非交互式命令与伪终端： 有些命令在没有交互式终端时会表现异常或拒绝运行。SSH默认在执行单条命令时不会分配伪终端。 解决方案： 使用
```
-t
```
登录后复制
选项强制SSH分配一个伪终端：
```
ssh -t user@host 'sudo apt update'
```
登录后复制
这在需要
```
sudo
```
登录后复制
密码或者需要某些交互式行为时特别有用。
调试连接问题： 如果SSH连接失败，或者远程命令没有按预期执行，
```
ssh -v
```
登录后复制
选项是你的好帮手。它会输出详细的调试信息，帮助你定位问题所在。
```
ssh -v user@host 'ls'
```
登录后复制
输出会告诉你SSH客户端尝试了哪些认证方式，连接到了哪个IP和端口，以及其他潜在的问题。