Elastic Compute Service：使用OpenSSH/Xshell遠端連線Linux執行個體

適用範圍

• 執行個體作業系統為Linux。

• 執行個體已綁定固定公網IP或Elastic IP Address。

方式一：使用OpenSSH用戶端（命令列）

OpenSSH是macOS和新版Windows系統內建的標準SSH用戶端，通過命令列即可快速串連。

方式二：使用Xshell用戶端（僅適用於Windows）

Xshell是一款SSH用戶端工具，用於在Windows系統遠程登入和管理Linux伺服器。

應用於生產環境

在實際生產環境中，建議通過以下操作提升遠端連線安全。

• 主動驗證主機指紋，防範中間人攻擊

  在第一次串連到執行個體時，應先驗證執行個體的主機密鑰指紋，確認串連的是目標執行個體而非攻擊者的伺服器。

• 禁用密碼登入，強制使用金鑰組

  金鑰組認證遠比密碼認證安全，可降低暴力破解風險。操作如下：

  1. 為執行個體綁定金鑰組。

  2. 禁用密碼登入：登入執行個體，編輯/etc/ssh/sshd_config設定檔，找到PasswordAuthentication，修改為PasswordAuthentication no，重啟SSH服務生效配置。

• 修改預設SSH連接埠

  將預設22連接埠改為其他數值較大的非標準連接埠（如2222），可有效減少被惡意掃描。

  1. 允許存取新連接埠： 在執行個體所屬的安全性群組中添加入方向規則，允許存取新的連接埠（如2222）

  2. 修改SSH服務連接埠：登入執行個體，編輯/etc/ssh/sshd_config設定檔，將#Port 22修改為Port 2222。重啟SSH服務生效配置。

  3. 使用新連接埠串連： 此後使用ssh命令時，需通過-p指定ssh的服務連接埠，例如：ssh -p 2222 username@instance_ip。

• 僅授權可信的IP訪問執行個體

  修改安全性群組規則安全性群組規則，僅允許本機IP或其他受信任的IP訪問執行個體SSH服務，攔截未知主機訪問執行個體。

常見問題

• 如何配置安全性群組規則以允許存取22連接埠？

  在執行個體所在安全性群組添加如下安全性群組規則：

  授權策略	協議	訪問來源	訪問目的(本執行個體)
  允許	自訂 TCP	輸入本地用戶端的公網IP地址。 重要 若使用0.0.0.0/0，表示允許任意 IP 訪問遠程服務連接埠，存在安全風險，請謹慎使用。	SSH(22) 如果修改了執行個體的SSH服務的連接埠，需調整為實際連接埠。

• 如何驗證執行個體的主機密鑰指紋？

  首次串連執行個體時，會提示驗證主機密鑰指紋，確認方法如下：

  控制台

  1. 進入ECS控制台-執行個體，在左上方選擇地區與資源群組。

  2. 找到對應執行個體後，單擊 > 擷取執行個體系統日誌，然後找到BEGIN SSH HOST KEY FINGERPRINTS，會顯示所有主機指紋。

     

     請仔細核對本地用戶端提示的指紋（如上例中的 SHA256:******）是否與日誌中顯示的指紋完全一致。若不一致，則可能正在遭受中間人攻擊，需切換至安全網路環境後重試串連。

     若找不到BEGIN SSH HOST KEY FINGERPRINTS，需進入執行個體內查看主機指紋。

  執行個體內

  使用Workbench登入執行個體後執行以下命令，查看主機密鑰指紋：

  for f in /etc/ssh/ssh_host_*_key.pub; do ssh-keygen -l -f "$f"; done

  輸出樣本：

  1024 SHA256:9C******co root@Connect-Instance-Example (DSA)
  256 SHA256:u6******SU root@Connect-Instance-Example (ECDSA)
  256 SHA256:iQ******jg root@Connect-Instance-Example (ED25519)
  3072 SHA256:8R******64 root@Connect-Instance-Example (RSA)

  請仔細核對本地用戶端提示的指紋（如上例中的 SHA256:******）是否與日誌中顯示的指紋完全一致。若不一致，則可能正在遭受中間人攻擊，需切換至安全網路環境後重試串連。

• 如何通過SSH的config設定檔簡化串連命令？

  每次串連都輸入完整的ssh -i /path/to/key.pem username@instance_ip命令較為繁瑣。通過在本地建立和配置SSHconfig檔案，可以為伺服器設定別名，簡化串連命令。

  1. 找到或建立config檔案

     Windows 10/11

     config設定檔預設路徑為C:\Users\YourUsername\.ssh\config。若不存在，需手動建立。

     使用時，請替換YourUsername為當前Windows的使用者名稱。

     macOS

     config設定檔預設路徑為~/.ssh/config。若不存在，需手動建立。

  2. 編輯config檔案並添加執行個體資訊

     使用文字編輯器開啟config檔案，添加類似如下的配置。每一段Host配置對應一個伺服器執行個體。

     # 為Web伺服器配置一個別名 "web-server"
     Host web-server
         HostName        47.98.xxx.xxx
         User            root
         Port            22
         （可選）如果使用金鑰組登入，請指定私密金鑰路徑，使用密碼登入請忽略
         IdentityFile    /path/to/your/private_key.pem
     
     # 可以為其他伺服器添加更多配置
     Host other-server
         HostName        8.123.xxx.xxx
         User            ecs-user
         Port            2222
         IdentityFile    ~/.ssh/another_key.pem

     參數說明：

     • Host：伺服器的別名，可自訂。

     • HostName：執行個體的公網IP地址。

     • User：登入使用者名稱。

     • Port：SSH連接埠號碼（預設為22）。

     • IdentityFile：私密金鑰檔案的絕對路徑。

  3. 使用別名快速串連

     儲存config檔案後，可以直接使用別名來串連執行個體。

     # 直接使用別名串連，SSH會自動讀取config中的IP、使用者名稱和密鑰資訊
     ssh web-server

• 串連時出現Connection timed out或提示連線逾時？

  表示用戶端無法串連到伺服器。排查順序：

  1. 檢查公網IP是否正確。

  2. 檢查安全性群組是否允許存取連接埠。

  3. 檢查執行個體是否處於運行狀態。

  4. 使用ECS控制台-自助問題排查排查異常。

• 密碼輸入正確，但提示Permission denied, please try again

  表示伺服器拒絕了密碼。排查順序：

  1. 在控制台重設密碼後重試。

  2. 使用ECS控制台-自助問題排查排查異常。

• 使用金鑰組登入時提示Permission denied (publickey)？

  表示伺服器拒絕了密鑰。排查順序：

  1. 在控制台重新綁定金鑰組後重試。

  2. 檢查私密金鑰檔案路徑及是否與執行個體匹配。

  3. （macOS系統下）檢查私密金鑰檔案許可權是否為400或600。

  4. 使用ECS控制台-自助問題排查排查異常。

• 通過SSH命令登入執行個體時，提示WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!

  這是SSH的安全機制：在第一次串連執行個體後，會記住主機密鑰指紋，後續串連時若指紋不一致，會提示該錯誤。可能是由於執行過更換系統硬碟、更換作業系統、刪除了執行個體系統中的主機密鑰檔案等操作。

  解決辦法：驗證執行個體的主機密鑰指紋，若無誤，執行以下命令，刪除本地儲存的主機密鑰指紋。

  ssh-keygen -R <執行個體公網IP地址>