幕雪

vscoderemotessh免密登录VS Code远程开发高效安全指南

什么是VS Code Remote SSH免密登录？

VS Code Remote SSH免密登录，顾名思义，是指在使用Visual Studio Code (VS Code) 的Remote – SSH扩展连接远程服务器进行开发时，无需每次输入密码即可直接建立连接的一种认证方式。这种“免密”的实现核心在于SSH（Secure Shell）密钥对认证机制，它取代了传统的密码认证。

一个完整的SSH密钥对包含两个部分：

  • 私钥（Private Key）：这是一份高度机密的文件，存储在您的本地计算机上。它就像您家的钥匙，必须妥善保管，绝不能泄露给任何人。
  • 公钥（Public Key）：这是与私钥配对的一份可以公开的文件。它就像您家的锁孔信息，您可以安全地将其放置在您希望登录的远程服务器上。

当您尝试通过VS Code Remote SSH连接远程服务器时，您的本地机器会使用私钥对连接请求进行加密签名。远程服务器则使用其上存储的相应公钥来验证这个签名。如果验证成功，服务器就会允许您无需密码直接登录。整个过程是在SSH协议的安全通道中完成的，确保了通信的加密性和数据的完整性。

为什么选择VS Code Remote SSH免密登录？

免密登录不仅提升了便利性，更带来了显著的安全和效率优势。

1. 极大地提升开发效率与体验

想象一下，如果您每天需要多次连接不同的远程服务器，每次都手动输入复杂的密码，这将是一个多么繁琐和耗时的过程。免密登录消除了这一重复性操作，让您能够秒级连接到远程工作环境，将宝贵的精力集中在代码编写和业务逻辑实现上。VS Code的Remote – SSH扩展与免密登录的结合，提供了近乎本地开发的原生体验，极大地提高了远程开发的流畅度。

2. 显著增强连接安全性

SSH密钥对通常比传统密码更难被破解。原因如下：

  • 复杂度更高：密钥对的位数（例如2048位或4096位RSA，或ED25519）远超人类能记忆的密码复杂度。
  • 免受暴力破解：由于无需输入密码，也就避免了针对密码的暴力破解和字典攻击。攻击者无法通过猜测或穷举密码来非法入侵。
  • 更灵活的权限管理：您可以为不同的服务器或不同的用户生成独立的密钥对，当某个密钥泄露或需要撤销权限时，只需移除对应的公钥，而不影响其他连接。

3. 便于自动化与脚本化操作

在持续集成/持续部署（CI/CD）流程、自动化部署脚本或日常管理任务中，免密登录是不可或缺的。它使得脚本可以无人值守地安全连接远程机器执行操作，无需硬编码或手动输入密码，提高了自动化流程的可靠性和安全性。

在哪里进行配置？

实现VS Code Remote SSH免密登录的配置主要涉及两个“地点”：

1. 您的本地开发机器

这是您日常使用VS Code进行开发、生成SSH密钥对并存储私钥的地方。

  • 密钥生成：您将在本地机器上使用工具（如ssh-keygen）生成SSH密钥对。
  • 私钥存储：生成的私钥（通常是id_rsa或id_ed25519文件）将安全地存放在您的本地用户主目录下的.ssh/目录中（例如：Linux/macOS为~/.ssh/，Windows为C:\Users\YourUser\.ssh\）。
  • SSH客户端配置：您本地的SSH客户端（VS Code Remote – SSH扩展会利用它）会读取~/.ssh/config文件来获取连接远程服务器的详细配置信息，包括使用哪个私钥。

2. 您的远程目标服务器

这是您希望通过VS Code远程连接进行代码开发或管理的目标机器。

  • 公钥存储：您生成的公钥（通常是id_rsa.pub或id_ed25519.pub文件）需要被复制到远程服务器上您用户主目录下的.ssh/目录中，并添加到authorized_keys文件中。
  • SSH服务器配置：远程服务器上的SSH守护进程（sshd）会读取其上用户的~/.ssh/authorized_keys文件，并使用其中的公钥来验证来自您本地机器的连接请求。

有什么前置条件或“成本”？

实现VS Code Remote SSH免密登录本身是免费的，不涉及任何软件购买费用。然而，它确实有一些前置条件和“投入”：

1. 软件环境

  • Visual Studio Code：您需要在本地机器上安装最新版本的VS Code。
  • Remote – SSH 扩展：在VS Code中安装Microsoft官方提供的“Remote – SSH”扩展。
  • SSH客户端：您的本地操作系统需要有内置的SSH客户端（Windows 10/11通常内置OpenSSH客户端，Linux/macOS则自带）。
  • 远程服务器：您需要一台可访问的远程Linux服务器（或具有SSH服务的其他系统），并且在该服务器上运行着SSH守护进程（sshd）。
  • 远程服务器登录凭据：首次将公钥复制到远程服务器时，您仍需要使用密码或现有的SSH密钥进行一次性登录。

2. 学习与操作成本

虽然操作不复杂，但需要您对SSH密钥对、文件权限以及基本的Linux命令行操作有一定的了解。初次设置可能需要花费一些时间和精力来理解和执行步骤，但一旦设置成功，日后的便利性将远超这些投入。

如何实现VS Code Remote SSH免密登录？

以下是实现VS Code Remote SSH免密登录的详细步骤：

步骤1：在本地机器生成SSH密钥对

打开您的本地终端（或Windows上的PowerShell/Git Bash），执行以下命令： 

ssh-keygen -t ed25519 -C "[email protected]"
  • -t ed25519：指定密钥类型为Ed25519，这是一种较新的、更安全的密钥类型，通常推荐使用。您也可以使用rsa，例如ssh-keygen -t rsa -b 4096 -C "[email protected]"，其中-b 4096指定了4096位的密钥长度。
  • -C "[email protected]"：为密钥添加一个注释，通常是您的邮箱或任何有助于识别此密钥的信息。这个注释会包含在公钥文件中，方便管理。

执行命令后，系统会提示您：

  1. Enter file in which to save the key (~/.ssh/id_ed25519):：直接回车使用默认路径和文件名即可（推荐）。这会在~/.ssh/目录下生成id_ed25519（私钥）和id_ed25519.pub（公钥）两个文件。如果您有多个密钥需求，可以指定不同的文件名，例如~/.ssh/my_server_key。
  2. Enter passphrase (empty for no passphrase):：在这里输入一个密码短语（passphrase）。强烈建议为您的私钥设置一个复杂的密码短语。即使私钥意外泄露，没有这个密码短语也无法使用。每次使用该私钥时，您只需要输入一次这个密码短语，SSH Agent会将其缓存，避免后续重复输入。如果您不需要，直接回车留空即可，但安全性会降低。
  3. Enter same passphrase again:：再次输入密码短语进行确认。

生成成功后，您会在~/.ssh/目录下看到两个文件：

  • id_ed25519 (或 id_rsa)：私钥文件，绝不能泄露！
  • id_ed25519.pub (或 id_rsa.pub)：公钥文件，可以安全地复制到远程服务器。

步骤2：将公钥复制到远程服务器

这是最关键的一步，目的是将您的本地公钥添加到远程服务器上您目标用户的~/.ssh/authorized_keys文件中。

方法一：使用 ssh-copy-id 命令（推荐且最简单）

在您的本地终端中执行以下命令： 

ssh-copy-id -i ~/.ssh/id_ed25519.pub user@remote_host
  • -i ~/.ssh/id_ed25519.pub：指定要复制的公钥文件路径。如果您生成的是RSA密钥，则路径为~/.ssh/id_rsa.pub。
  • user：您在远程服务器上的用户名。
  • remote_host：远程服务器的IP地址或域名。

执行此命令后，它会提示您输入远程服务器上user用户的密码。输入密码后，ssh-copy-id会自动完成以下操作：

  1. 检查远程服务器上是否存在~/.ssh目录，如果不存在则创建。
  2. 为~/.ssh目录设置正确的权限（通常是700）。
  3. 检查~/.ssh/authorized_keys文件是否存在，如果不存在则创建。
  4. 将您的公钥追加到authorized_keys文件中。
  5. 为authorized_keys文件设置正确的权限（通常是600）。

这是最推荐的方式，因为它会自动处理所有权限问题。

方法二：手动复制公钥（当 ssh-copy-id 不可用时）

如果您所在的系统没有ssh-copy-id命令，或者您更喜欢手动操作，可以按以下步骤进行：

  1. 在本地终端查看公钥内容：

    cat ~/.ssh/id_ed25519.pub

    复制输出的所有内容（通常以ssh-ed25519或ssh-rsa开头，以注释结尾）。

  2. 使用密码登录远程服务器：

    ssh user@remote_host

    输入远程服务器的密码进行登录。

  3. 在远程服务器上创建或编辑 authorized_keys 文件：

    确保在您的用户主目录下创建.ssh目录，并设置正确的权限： 

    mkdir -p ~/.ssh
chmod 700 ~/.ssh

    然后，将您在步骤1中复制的公钥内容追加到~/.ssh/authorized_keys文件中。使用echo命令配合重定向是最安全的方式，避免直接编辑可能引发的格式错误： 

    echo "粘贴您的公钥内容" >> ~/.ssh/authorized_keys

    请确保将"粘贴您的公钥内容"替换为您在本地cat ~/.ssh/id_ed25519.pub命令输出的完整内容。

    最后，设置authorized_keys文件的正确权限： 

    chmod 600 ~/.ssh/authorized_keys

完成上述步骤后，您可以尝试从本地终端直接ssh user@remote_host，如果设置正确，您应该能够直接登录而无需输入密码（如果设置了密码短语，首次连接时仍需输入）。

步骤3：配置VS Code Remote – SSH

现在，VS Code Remote – SSH扩展需要知道如何使用您的密钥来连接远程服务器。

  1. 安装Remote – SSH扩展：

    打开VS Code，进入“扩展”视图（快捷键Ctrl+Shift+X），搜索“Remote – SSH”并安装由Microsoft提供的扩展。

  2. 打开SSH配置文件：

    在VS Code左下角点击绿色的“远程连接”图标，或按下F1（或Ctrl+Shift+P）并输入“Remote-SSH: Open SSH Configuration File…”，然后选择您要编辑的配置文件（通常是用户目录下的~/.ssh/config）。

  3. 添加远程主机配置：

    在打开的config文件中，添加或修改类似以下的主机配置段： 

    Host my_remote_server
    HostName 192.168.1.100  # 远程服务器的IP地址或域名
    User your_username     # 您在远程服务器上的用户名
    IdentityFile ~/.ssh/id_ed25519 # 指定私钥文件路径，如果使用了默认路径和文件名，可以省略
    Port 22                # SSH端口，如果不是默认22，请指定
    # ForwardAgent yes     # 如果需要代理转发本地SSH Agent，请取消注释
    # AddKeysToAgent yes   # 如果希望自动将此密钥添加到SSH Agent，请取消注释
    • Host：给这个远程连接起一个易于识别的别名（例如：my_remote_server），这个名字将显示在VS Code的远程连接列表中。
    • HostName：远程服务器的实际IP地址或域名。
    • User：您用于登录远程服务器的用户名。
    • IdentityFile：指定您本地私钥的完整路径。如果您的私钥文件就是默认的~/.ssh/id_ed25519并且您没有设置密码短语，这个字段可以省略，SSH客户端会自动查找默认密钥。但明确指定有助于管理。
    • Port：如果远程SSH服务器监听的不是默认的22端口，请在此处指定。

    保存并关闭config文件。

  4. 从VS Code连接：

    再次点击VS Code左下角的绿色“远程连接”图标，您会在列表中看到刚刚配置的my_remote_server。点击它，VS Code会尝试连接。如果一切顺利，您应该能直接连接成功，无需输入密码。如果设置了密码短语，首次连接时VS Code会弹出提示要求输入。

    成功连接后，VS Code会在新窗口中打开，并在左下角显示“SSH: my_remote_server”，表示您已连接到远程开发环境。

常见问题与进阶技巧

1. 故障排查

  • 权限问题（Permission Denied）：

    确保~/.ssh目录在本地和远程服务器上的权限是700（只有所有者可读写执行），authorized_keys和私钥文件（例如id_ed25519）的权限是600（只有所有者可读写）。可以使用chmod命令设置： 

    chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys  # 远程服务器
chmod 600 ~/.ssh/id_ed25519      # 本地机器
  • 私钥密码短语反复提示：

    确保您的本地SSH Agent正在运行，并且您已经将私钥添加到了Agent中。在Linux/macOS上，可以使用ssh-add ~/.ssh/id_ed25519命令添加。VS Code的AddKeysToAgent yes和ForwardAgent yes配置项也有助于解决此问题。

  • 连接超时或拒绝：

    检查远程服务器的IP地址或域名是否正确，网络是否可达，防火墙是否阻止了SSH端口（默认22）。远程服务器的SSH服务是否正在运行。

  • 公钥未正确添加到authorized_keys：

    登录远程服务器，cat ~/.ssh/authorized_keys，检查您的公钥是否完整地追加在文件末尾，且没有多余的空格或换行符。确保文件不是空的，也没有被覆盖。

2. 管理多个远程主机和密钥

通过精细配置~/.ssh/config文件，您可以轻松管理多个远程服务器和不同的SSH密钥。 

# 服务器A的配置
Host server_a
    HostName 1.2.3.4
    User admin_user
    IdentityFile ~/.ssh/id_rsa_server_a
    Port 22

# 服务器B的配置，使用Ed25519密钥
Host server_b
    HostName serverb.example.com
    User dev_user
    IdentityFile ~/.ssh/id_ed25519_server_b
    Port 2222 # 非标准端口

# 一个通用配置，用于没有指定IdentityFile的主机
Host *
    AddKeysToAgent yes
    UseKeychain yes # macOS特有，用于将密码短语存入钥匙串

这样，VS Code会根据Host别名来匹配对应的连接参数。

3. 禁用远程服务器的密码认证（可选，但推荐）

一旦您确认SSH密钥认证可以正常工作，为了进一步提高安全性，您可以选择在远程服务器上禁用基于密码的SSH认证。请务必谨慎操作，确保您的SSH密钥认证万无一失后再进行！否则可能导致无法登录服务器！

  1. 登录远程服务器。
  2. 编辑SSH守护进程的配置文件：

    sudo nano /etc/ssh/sshd_config
  3. 找到并修改以下行：

    #PermitRootLogin prohibit-password  # 如果root用户通过密码登录，建议改为no或prohibit-password
PermitRootLogin no                   # 禁止root用户直接登录，建议总是开启
PasswordAuthentication yes           # 将yes改为no

    确保将PasswordAuthentication yes改为PasswordAuthentication no。

  4. 重启SSH服务：

    sudo systemctl restart sshd # 对于systemd系统
# 或者 sudo service ssh restart # 对于非systemd系统

重启服务后，任何尝试使用密码登录的用户都将被拒绝，只能通过SSH密钥登录。

4. 私钥的安全性

私钥是您远程访问服务器的“通行证”，其安全性至关重要：

  • 设置密码短语（Passphrase）：这是保护私钥的第一道防线。即使私钥文件被盗，没有密码短语也无法使用。
  • 严格的权限管理：确保私钥文件（例如~/.ssh/id_ed25519）只有所有者可读写（chmod 600）。
  • 不共享私钥：绝不将私钥文件分享给任何人。如果多人需要访问同一服务器，应为每个人生成独立的密钥对，并将各自的公钥添加到服务器。
  • 定期备份：备份您的私钥文件，但请务必将其存储在安全、加密的位置。

5. 吊销（移除）不再使用的密钥

如果某个私钥可能已泄露，或某个用户不再需要访问权限，您应该及时吊销对应的公钥。

  1. 登录远程服务器。
  2. 编辑~/.ssh/authorized_keys文件：

    nano ~/.ssh/authorized_keys
  3. 找到并删除对应的公钥行。 每个公钥通常占一行，通过其注释（您在ssh-keygen -C时设置的）可以识别。
  4. 保存文件并退出。 更改会立即生效，无需重启SSH服务。

通过以上详细的步骤和注意事项，您将能够成功配置VS Code Remote SSH免密登录，享受高效、安全的远程开发体验。

vscoderemotessh免密登录