SSH：变更、排障与恢复自检
密钥轮换、授权撤销与恢复
维护SSH 双端身份与受限跳板前先保存客户端配置、两端主机公钥与用户授权，恢复后以主机校验、用户认证和转发目标验收。具体配置见配套示例。
分阶段轮换密钥
密钥轮换采用新旧公钥短期并存的切换计划，先分发新公钥并验证受控账户，再逐步移除旧授权；主机密钥轮换与用户密钥轮换是两份清单。保留受限应急通道，撤销后核查代理、备份和自动任务中是否还有旧身份。不要以一次登录成功证明所有作业已切换。
审计登录与远程退出
登录审计记录账户、来源、密钥指纹、时间与结果，避免记录私钥或口令。远程命令退出码与连接本身的失败要区分，自动化应明确超时、标准错误和重试边界。连接中断时远程任务可能继续执行，因此重连前先检查任务身份，避免重复操作。
练习与参考解答
练习：作业A已用新用户密钥成功，作业B仍只有旧密钥，主机密钥没有变化。可否立即删除全部旧授权？列出撤销前要核对的两个对象。
参考解答
不可，A成功不证明B已切换。核对每个自动任务实际使用的IdentityFile/代理身份及服务端对应授权公钥，按任务清单逐项验收后撤销旧授权；另保留已批准应急路径。用户密钥轮换不应顺便删除未变化的主机信任绑定。
主机校验、认证与转发排障
本节沿主机校验、用户认证和转发目标定位失败层；先确认客户端配置、两端主机公钥与用户授权，与配套示例逐项对照，再选择最小修复。
主机密钥变化告警
主机密钥变化应停止自动重试，核验资产是否重装、IP是否复用、DNS是否异常，再由可信负责人确认新指纹。不要把StrictHostKeyChecking=no作为修复。保留旧记录用于调查，确认合法轮换后仅更新对应主机和端口的记录。
认证拒绝与终端干扰
Permission denied先核对账户、实际提供的公钥及服务端拒绝证据，再查文件归属与认证方式。网络可达不等于身份获准。若会话莫名收到Ctrl+C，还需排查本地终端和输入工具；历史Windows翻译软件案例是输入链问题，不能据此修改服务端认证或网络超时。
练习与参考解答
练习：同一端口上第一次报主机密钥变化，另一次在可信主机校验通过后报Permission denied (publickey)。两次分别查什么？应记录哪两个不同的指纹？
参考解答
第一次先停下核验目标资产及主机公钥，第二次查实际账户、客户端提供的用户公钥和服务端拒绝理由。分别记录服务器主机密钥指纹与用户认证公钥指纹，不能混用；网络可达不等于账户获准，也不应用删除known_hosts修复用户认证失败。
主机密钥变化的核验与复盘
以下演练将SSH 双端身份与受限跳板的变更、失败证据和恢复验收串起来；先熟悉配套示例中的客户端配置、两端主机公钥与用户授权。演练未执行。
故障场景与影响
自动化连接提示主机密钥变化，但目标账户的公钥授权并未修改。
先记录首次异常时间、受影响对象和最近变更，区分个别对象失败与整条管理链路异常。以下是排查演练，不是已发生事故的实测记录。
按证据定位原因
- 核对 HostName、Port、ProxyJump 与实际连接目标，排除别名或 DNS 指向变化。
- 保留旧 known_hosts 条目和观察到的指纹，通过独立资产或控制台渠道确认主机身份及轮换记录。
- 主机身份核验通过后，再检查用户公钥、服务端账户授权和认证日志；两条验证链分别记录。
恢复步骤与验收
确认是合法轮换后仅更新对应主机端口的可信绑定；如果身份不能核实则停止连接并调查。不得关闭严格主机检查或清空全部 known_hosts 绕过异常。
验收：新绑定可以认证预期主机，错误主机仍被拒绝；目标用户权限和跳板转发限制均符合原设计。保存轮换责任人和指纹来源。
将触发条件、直接原因、修复动作、恢复证据和后续检查写入同一份复盘，明确每项后续工作的负责人。机制参考：官方说明。
机制自检
自检：根据上面的场景画出故障链，标出每一项证据来自哪个对象、发生在哪个时间。说明恢复动作改变了什么，以及为什么其他原本允许或拒绝的操作仍符合预期。
参考解答与误区
问题一：同一主机名分别通过 22 和 2222 端口连接，能否只核验一个 known_hosts 条目？
答案：不能直接复用。先确认两个端口对应的实际 SSH 实例，再分别记录对应主机/端口的可信公钥。非默认端口通常写为 [host]:2222；不得把另一实例的密钥当作轮换依据。
问题二：有ProxyJump是否可把目标私钥放跳板？
答案：不需要。客户端可通过转发验证目标主机并用本地私钥认证；跳板与目标使用独立Host配置，各自核验主机身份。
问题三：ForwardAgent没复制私钥，是否没有风险？
答案：仍有风险。远端可能使用代理完成签名，滥用授权能力。默认关闭，必须使用时限制生命周期、目标并要求确认。
验收与未验证项
验收应覆盖正常操作、预期拒绝和恢复后的再次操作，并记录实际版本、身份、配置及结果。本文示例未执行；配置审阅与离线推演不能替代真实环境的连通、权限和恢复验证。
版本、来源与进一步阅读
核对日期：2026-10-17。教学版本族：OpenSSH9.x语义，以V_9_9_P2固定手册为版本依据。固定源码用于重现字段，动态官方网页用于补充说明，不称为2026最新版本。具体字段与语义以本节所列一手资料及目标版本手册为准。
继续阅读
- 应用实践
- 知识专题