测验 5：使用 SSH 进行远程访问

支持版本：Ubuntu Server 24.04 LTS（主要）；Rocky Linux 9（备选） 最后更新：2026 年 9 月 15 日

课程与一手资料 | 课程主页

选择有依据且最安全的答案，然后说明你会检查哪些证据。此处通过可随时丢弃的实验 VM，练习理解这些命令的含义。

1. Ubuntu 24.04 显示 ssh.socket 处于活动状态，而 Rocky 指南提到 sshd.service。你应该怎么做？

   • A) 禁用所有套接字，让两个发行版看起来相同。
   • B) 所有系统都使用 sshd.service，因为可执行文件名是 sshd。
   • C) 检查来宾系统实际安装的单元（unit）；Ubuntu 使用 ssh.service 并可能启用套接字激活，而 Rocky 使用 sshd.service。
   • D) 不检查任何侦听器就修改 SSH 端口。

显示答案

答案：C

说明：可执行文件名和服务单元名不一定相同。Ubuntu 的套接字激活可能负责侦听器，因此盲目禁用它或更改绑定可能会中断访问。本课程检查语法、服务/套接字状态和 TCP 22 端口，不会修改现有侦听地址。

2. 首次连接时，客户端显示了 ED25519 主机指纹。应如何进行比较以确认信任关系？

   • A) 将完整指纹与通过服务器虚拟机管理程序控制台显示的服务器公有主机密钥进行比较。
   • B) 与用户刚生成的公钥进行比较。
   • C) IP 地址以 .20 结尾，因此接受。
   • D) 在同一条不可信路径上运行 ssh-keyscan，并接受返回的值。

显示答案

答案：A

说明：主机密钥用于标识服务器；用户密钥用于验证用户账户。可信控制台提供独立的比对途径。扫描可以采集密钥，却不能验证密钥持有者身份。如果密钥不匹配，应调查 VM/地址以及身份是否发生变化，而不是绕过检查。

3. 安装用户密钥时，应将哪一项放到服务器上？

   • A) 私钥文件 id_ed25519 及其口令。
   • B) 复制到你主目录中的服务器私有主机密钥。
   • C) 账户密码的截图。
   • D) 公钥 id_ed25519.pub 那一行；追加到正确账户的授权公钥列表中，不要替换其他条目。

显示答案

答案：D

说明：私钥应留在客户端，并用非空口令保护。ssh-copy-id -i 会使用现有的身份验证方式选择要安装的公钥。如果无法使用引导用 SSH，应通过控制台追加公钥行；不要仅为复制密钥而启用密码验证或传输私钥。

4. 你已经有一个 SSH 会话。在禁用密码和 keyboard-interactive 身份验证前，必须先做什么？

   • A) 无需额外操作；已有连接证明之后也能登录。
   • B) 必须成功建立第二个独立的仅密钥连接，并禁用连接共享；还应验证所需的管理 SSH 路径。
   • C) 删除除第一条以外的所有授权公钥。
   • D) 关闭控制台，确保测试条件真实。

显示答案

答案：B

说明：现有的已验证或多路复用会话可能掩盖新登录路径故障。应显式指定密钥、使用 IdentitiesOnly 和仅公钥身份验证，并禁用连接共享。私钥口令在本地使用；需要输入这一口令仍属正常情况。应保留控制台和原始会话以便恢复。

5. 较晚加载的配置片段（drop-in）写着 PasswordAuthentication no，但 sshd -T -C 对实验室用户仍输出 yes。正确的处理方法是什么？

   • A) 调查更早出现的取值、Include 顺序和适用的 Match 块；不要指望仅凭文件名就能在重新加载后覆盖它们。
   • B) 假定输出的有效结果无关紧要。
   • C) 在另外十个文件中重复添加相同设置。
   • D) 重启网络服务，强制 SSH 读取配置片段（drop-in）。

显示答案

答案：A

说明：OpenSSH 采用首个有效值优先的规则；按连接适用的 Match 规则也不同于“最后一个文件优先”。-C 会提供用于评估有效设置的用户、来源和本地端点。仅通过语法检查无法证明预期策略已生效。如果无法确认预期优先级，应只删除课程创建的文件。

6. 关于强化配置，哪种说法正确？

   • A) PasswordAuthentication no 总会同时禁用 keyboard-interactive 身份验证。
   • B) PermitRootLogin no 意味着 sudo 也无法使用。
   • C) 明确检查密码、键盘交互（keyboard-interactive）、公钥和 root 登录的设置，同时保留普通用户的密钥访问和 sudo。
   • D) 密钥登录必须全局关闭 PAM。

显示答案

答案：C

说明：密码和键盘交互（keyboard-interactive）是不同的身份验证方式。直接使用 root 通过 SSH 登录，与普通用户通过 sudo 获得权限也是两回事。本课程不会禁用 PAM。全局更改身份验证设置时，需要检查所有必需的管理账户/路径，而不能只检查实验室 IP。

7. 重新加载成功，但新登录失败。哪种恢复方式范围适当？

   • A) 清空防火墙并删除 /etc/ssh。
   • B) 将整个旧 SSH 目录覆盖到可能已经有新管理员更改的系统上。
   • C) 立即重启并丢弃控制台。
   • D) 通过服务器控制台仅删除自己负责的配置片段（drop-in），验证语法和有效基线，重新加载配置，然后重新测试新连接。

显示答案

答案：D

说明：按自己创建的文件进行操作，可以精确撤销变更，而不覆盖无关配置。应针对普通用户、root 和记录在案的管理用例对比有效结果。如果期间有并行变更，应协调处理，不要盲目还原旧目录。仅有现存会话并不能验证恢复是否成功。

8. 课程公钥已添加到现有 authorized_keys。最终清理时应如何处理？

   • A) 递归删除 ~/.ssh。
   • B) 只删除能通过课程注释和指纹识别的那一行，保留其他密钥，恢复已记录的权限，然后在撤销后删除专用客户端密钥文件。
   • C) 覆盖为空文件，因为课程已经结束。
   • D) 先删除客户端私钥，并假设服务器授权会自动撤销。

显示答案

答案：B

说明：删除客户端副本并不会撤销已安装在服务器上的公钥。应先撤销服务器上的特定条目，并保留无关变更。仅当目录由本课程创建且已为空时才删除目录。回滚软件包安装属于另一项操作；如果需要完整恢复，应使用来宾快照。

返回课程 | 下一课：主机安全