SSH（Secure Shell）本是一种用于远程登录和管理服务器的安全协议，但其内置的动态端口转发功能（SOCKS 代理）使其常被用于临时代理。SSH 隧道利用成熟的 RSA/AES 加密保护数据流，安全性极高。由于 SSH 服务几乎是所有 Linux 服务器的标配，用户无需额外安装服务端软件即可实现加密代理。尽管在高强度检测下特征较明显，但它依然是应急访问最便捷的手段。
什么是 SSH 协议？
SSH 是一种为远程登录会话和其他网络服务提供安全性的协议。它最初是为了替代不安全的 Telnet 和 RSH 而设计的。
SSH 通过在不安全的网络中建立一个加密的管道，确保了数据的：
- 机密性： 数据传输全程加密，黑客无法窃听。
- 完整性： 确保传输的数据未被篡改。
- 身份验证： 严密的客户端与服务端双向验证机制。
SSH 的重大变革：OpenSSH 10.0
最新的 OpenSSH 10.0 引入了多项关键更新：
后量子加密（PQC）成为默认
为了应对未来量子计算机对经典加密（如 RSA）的威胁，OpenSSH 10.0 将 mlkem768x25519-sha256（基于格子密码的混合算法）设为默认密钥交换方式。
彻底废除弱算法
DSA 算法已被全面移除，RSA 长度低于 3072 位将被强制警告。现在是 Ed25519 和 ECDSA 的天下。
运行时代码隔离
新版本采用了更先进的沙盒机制，将认证模块（sshd-auth）独立运行，进一步缩减了受攻击面。
SSH 的核心应用场景
除了最基本的 ssh user@host 登录，SSH 在还有以下核心用途：
1. SSH 隧道（Port Forwarding）
通过 SSH 隧道，你可以：
- 本地转发（-L）： 安全地访问远程数据库（如 3306 端口）。
- 动态转发（-D）： 一秒将 SSH 变成一个 SOCKS5 代理，实现简单的科学上网。
2. 安全文件传输 (SFTP)
相比过时的 FTP，SFTP 依然是网站文件同步的行业标准。它直接运行在 SSH 之上，无需额外开启端口。
3. 跳板机与 ProxyJump
通过 -J 参数，你可以轻松穿透多层内网环境，管理隐藏在 NAT 后面的设备。
SSH vs. VPN vs. 代理协议
| 维度 | SSH 隧道 | VPN (WireGuard) | 代理 (VMess/Reality) |
| 主要用途 | 远程运维/单一端口转发 | 全局网络加密/组网 | 科学上网/绕过封锁 |
| 配置难度 | 极低（系统自带） | 中等 | 较高 |
| 性能 | 一般（TCP Over TCP 损耗） | 极快（UDP/内核态） | 快（针对性优化） |
| 隐蔽性 | 低（流量特征明显） | 中等 | 极高 |
SSH 安全加固建议
如果你的服务器正暴露在公网上，请务必执行以下操作：
- 禁用密码登录： 仅允许
PubkeyAuthentication。 - 改掉默认 22 端口： 躲避 99% 的自动化扫描脚本。
- 配置多因子验证 (MFA)： 结合 Google Authenticator 或 FIDO2 硬件密钥。
- 禁止 root 直登： 强制使用普通用户登录后再
sudo。 - 部署 Fail2ban： 自动封禁暴力破解者的 IP。
SSH 是每一个 IT 从业者的必修课。尽管在有无数新兴协议出现，但 SSH 凭借其系统原生的地位和不断进化的加密技术，依然是管理全球云端设施的“唯一金钥匙”。