1. 為什么要在Win11上折騰OpenSSH Server如果你是一個開發者或者經常需要在不同機器之間同步文件、執行遠程命令那么SSHSecure Shell絕對是你繞不開的工具。在Linux和macOS上SSH是系統自帶的“基礎設施”但在Windows上很長一段時間里它都像個“外來戶”。過去我們得安裝PuTTY、MobaXterm這類第三方工具或者用Cygwin、WSL來曲線救國配置起來總感覺隔了一層。但情況早就變了。從Windows 10 1809版本開始微軟官方就把OpenSSH客戶端和服務器端作為了可選功能集成進了系統。到了Win11這個功能變得更加成熟和穩定。這意味著你現在可以在你的Win11電腦上原生地、像一個真正的服務器那樣開啟一個SSH服務。其他任何支持SSH的終端無論是另一臺Win11的PowerShell還是Mac的Terminal或是Linux的bash都可以直接連上來用命令行操作你的Windows。這解決了什么痛點想象一下這些場景你家里的主力機是Win11臺式機性能強悍但你想在書房用筆記本遠程操作它跑個編譯腳本或者你需要從公司的Linux服務器上安全地拉取文件到你的Windows開發機又或者你只是想用一個統一的、基于密鑰的認證方式來管理所有設備的遠程登錄告別繁瑣的密碼和第三方工具的各種不一致性。Win11自帶的OpenSSH Server就是為了解決這些而存在的。它不再是那個需要額外安裝的“山寨貨”而是系統級的、受官方支持的服務其安全性和兼容性都有保障。2. 安裝前的準備與核心概念掃盲在動手之前我們先花幾分鐘把幾個關鍵概念和準備工作理清楚這能幫你避開后面90%的坑。2.1 OpenSSH Client vs. Server別搞混了很多人第一次接觸Win11的OpenSSH功能時會迷糊因為系統里有兩個相關的可選功能OpenSSH 客戶端這個是你用來連接別人的。安裝了它你的PowerShell或者命令提示符就能使用ssh、scp、sftp這些命令去連接遠程的Linux服務器、路由器或者其他開啟了SSH服務的設備。在Win11上這個客戶端很多時候是默認安裝好的。OpenSSH 服務器這個才是我們今天的主角。安裝了它你的電腦就變成了一個可以被別人連接的SSH服務器。它會監聽一個網絡端口默認是22等待來自客戶端的連接。我們的目標是安裝“服務器”端。但請記住一個完整的SSH環境通常需要兩者都具備這樣你既能提供服務也能去連接別的服務。2.2 權限與安全邊界管理員不是萬能的這是Windows環境下玩SSH最需要轉變思維的一點。在Linux中root用戶幾乎無所不能。但在Windows即使用管理員身份運行很多操作也受到用戶賬戶控制UAC和會話隔離的限制。OpenSSH Server在Windows上運行時默認是以一個名為sshd的Windows服務形式存在的。這個服務運行在SYSTEM或一個特定的服務賬戶下權限很高。但是當遠程用戶通過SSH登錄時他們登錄到的是自己的用戶會話。這個會話的權限完全取決于他們登錄所用的Windows用戶賬戶本身的權限。舉個例子你用管理員賬戶AdminUser通過SSH登錄。你在SSH會話中啟動一個圖形界面程序比如記事本這個程序會嘗試在你的遠程桌面會話中顯示但通常因為會話隔離會失敗。更重要的是如果你嘗試修改一些受保護的系統文件依然會觸發UAC或遇到權限錯誤因為你的SSH會話并沒有自動獲得“以管理員身份運行”的令牌。所以請建立這個認知SSH登錄成功只代表你以某個Windows用戶的身份進入了命令行環境不代表你擁有了該用戶桌面會話的所有特權或能直接操作圖形界面。對于需要高特權的操作你依然需要在SSH會話中顯式地啟動一個提升權限的進程例如通過Start-Process -Verb RunAs。2.3 網絡環境與防火墻你的Win11電腦可能在家庭網絡、公司內網或者直接暴露在公網非常不推薦除非你知道在做什么。OpenSSH Server默認監聽所有網絡接口0.0.0.0的22端口。在家庭網絡這通常沒問題。但在公司網絡22端口可能被防火墻策略封鎖或者你需要將其改為其他端口以避免沖突。Win11自帶的Windows Defender防火墻會默認放行“OpenSSH SSH Server”的入站規則。但如果你禁用了Defender防火墻或者使用了第三方防火墻軟件你需要手動確保TCP 22端口或你自定義的端口的入站連接是被允許的。注意將SSH服務器暴露在公網是極高風險行為。除非你使用非常強的密鑰認證、禁用密碼登錄、并可能結合Fail2ban等防暴力破解工具否則極易被攻擊者掃描并入侵。對于絕大多數個人用戶僅在可信的局域網內使用SSH服務。3. 兩種安裝路徑圖形界面與命令行Win11提供了非常靈活的安裝方式你可以根據習慣選擇。3.1 方法一通過“設置”圖形界面安裝推薦新手這是最直觀、最不容易出錯的方式特別適合不常使用命令行的用戶。打開設置按下Win I快捷鍵快速打開系統“設置”。進入應用管理點擊左側的“應用”然后在右側找到并點擊“可選功能”。添加功能在“可選功能”頁面你會看到一個“添加可選功能”的按鈕點擊它旁邊的“查看功能”按鈕在較新版本的Win11中按鈕名稱和位置可能略有變化但邏輯一致。搜索并選擇這會打開一個龐大的功能列表。在頂部的搜索框中輸入“ssh”。在搜索結果中你應該能看到“OpenSSH 服務器”和“OpenSSH 客戶端”。勾選“OpenSSH 服務器”。可選如果你不確定客戶端是否已安裝可以一并勾選“OpenSSH 客戶端”。系統會檢測如果已安裝則不會重復安裝。安裝點擊右下角的“下一步”然后點擊“安裝”。系統會自動下載并安裝所需的組件。等待完成安裝過程通常很快完成后會提示“安裝成功”。你可以關閉設置窗口。至此OpenSSH Server的二進制文件和相關配置就已經部署到你的系統了。但是它只是一個“功能”對應的Windows服務默認是“禁用”狀態需要我們手動啟動。3.2 方法二通過PowerShell命令行安裝高效可控如果你喜歡命令行或者需要寫腳本批量部署PowerShell是更強大的工具。請務必以管理員身份打開Windows PowerShell或Windows Terminal管理員模式。# 首先檢查OpenSSH服務器功能是否可用及安裝狀態 Get-WindowsCapability -Online | Where-Object Name -like OpenSSH.Server* # 執行安裝命令。這行命令會從Windows更新源獲取并安裝OpenSSH服務器組件。 Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0 # 安裝成功后你會看到類似下面的輸出 # Path : # Online : True # RestartNeeded : False這種方式同樣只是安裝了組件服務尚未啟動。實操心得兩種方法在結果上沒有區別。圖形界面適合一次性操作而PowerShell命令可以寫進自動化腳本。我個人的習慣是在全新系統配置時用PowerShell因為可以一氣呵成地完成“安裝-啟動-配置”一系列操作。4. 配置、啟動服務與首次連接測試安裝完成只是第一步讓服務跑起來并能夠連接才是關鍵。4.1 啟動并設置開機自啟無論用哪種方式安裝接下來都需要操作服務。# 以管理員身份啟動PowerShell執行以下命令 # 1. 啟動SSH服務 Start-Service sshd # 2. 將SSH服務設置為開機自動啟動非常重要否則重啟后服務就停了 Set-Service -Name sshd -StartupType Automatic # 3. 確認服務狀態狀態應為“Running” Get-Service sshd4.2 防火墻規則確認如前所述Windows Defender防火墻應該已經自動創建了規則。但我們可以確認一下# 檢查名為‘OpenSSH-Server-In-TCP’的防火墻規則是否存在且啟用 Get-NetFirewallRule -Name *OpenSSH* | Select-Object Name, Enabled, Action如果看到OpenSSH-Server-In-TCP規則且Enabled為TrueAction為Allow那就沒問題。如果被禁用可以用Enable-NetFirewallRule -Name “OpenSSH-Server-In-TCP”來啟用它。4.3 進行首次本地連接測試在服務啟動后最穩妥的測試方式是先從本機連接自己。這可以排除網絡問題直接驗證SSH服務本身是否工作正常。打開一個非管理員身份的PowerShell或命令提示符因為日常使用SSH通常也不是用管理員賬戶輸入ssh localhost如果你是第一次連接會看到關于主機密鑰的指紋確認提示輸入yes繼續。 接下來它會提示你輸入密碼。這里輸入的密碼是你當前登錄Windows所使用的用戶賬戶的密碼。如果密碼正確你應該會成功登錄命令行提示符會發生變化表示你已經在一個新的SSH會話中了。你可以輸入whoami命令來確認當前用戶輸入exit或logout來退出SSH會話。恭喜到這一步說明你的OpenSSH Server已經基本安裝并運行成功了。5. 核心配置詳解讓SSH服務更安全、更順手默認配置能用但遠非最佳實踐。配置文件位于C:\ProgramData\ssh\。我們需要關注的主要是sshd_config文件。重要修改任何配置文件前務必先備份可以復制一份命名為sshd_config.backup。5.1 密鑰認證告別密碼擁抱安全與便捷密碼登錄容易受到暴力破解和嗅探而SSH密鑰對公鑰/私鑰是目前最推薦的身份驗證方式。其原理是你的本地機器生成一對密鑰私鑰自己保管公鑰上傳到服務器連接時服務器用公鑰挑戰本地用私鑰應答無需傳輸密碼。第一步在客戶端生成密鑰對如果你沒有的話在你自己常用的電腦客戶端上操作比如你的筆記本電腦。# 在PowerShell或WSL中使用ssh-keygen命令 ssh-keygen -t ed25519 -C “your_emailexample.com” # -t 指定密鑰類型ed25519是目前安全性和性能兼顧的最佳選擇 # -C 添加一個注釋通常用郵箱方便標識 # 執行后會詢問保存路徑直接回車使用默認路徑C:\Users\你的用戶名\.ssh\id_ed25519 # 然后會詢問設置密鑰密碼passphrase可以為空直接回車但設置一個密碼會更安全。生成后你會在~/.ssh/目錄下得到兩個文件id_ed25519私鑰絕不可泄露和id_ed25519.pub公鑰。第二步將公鑰部署到Win11 SSH服務器現在需要把id_ed25519.pub文件的內容添加到服務器上對應用戶的authorized_keys文件中。在Win11服務器上確保存在.ssh目錄和authorized_keys文件。 你可以通過SSH密碼登錄后操作或者直接在Win11的圖形界面操作。路徑是C:\Users\你的用戶名\.ssh\。如果.ssh文件夾不存在就創建它。將公鑰內容追加到文件。用記事本或其他文本編輯器打開或創建authorized_keys文件將id_ed25519.pub文件的全部內容一行復制粘貼進去保存。確保文件編碼為UTF-8 without BOM。設置嚴格的權限關鍵。Windows的OpenSSH對權限很敏感錯誤的權限會導致密鑰認證失敗。右鍵點擊.ssh文件夾 - 屬性 - 安全 - 高級。禁用繼承并刪除所有已有的權限條目。添加一條權限主體選擇“SYSTEM”完全控制。再添加一條權限主體選擇你自己的用戶賬戶完全控制。確保沒有其他用戶或組有權限。應用并確定。同樣authorized_keys文件也應該只允許SYSTEM和你自己完全控制。第三步修改服務器配置啟用并優先使用密鑰認證用管理員權限的文本編輯器如VS Code、Notepad打開C:\ProgramData\ssh\sshd_config。找到并修改或確保以下行PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys PasswordAuthentication no # 在確認密鑰登錄成功后再改為‘no’以禁用密碼登錄極大提升安全性保存文件后重啟SSH服務使配置生效Restart-Service sshd5.2 其他關鍵配置調優除了密鑰認證sshd_config里還有其他值得關注的設置修改默認端口將#Port 22的注釋去掉改成如Port 2222。這可以避免針對22端口的自動化掃描攻擊。改端口后別忘了在防火墻中放行新端口如TCP 2222并重啟服務。連接時使用ssh -p 2222 userhostname。禁用root登錄模擬Windows沒有真正的root但可以禁用管理員登錄。確保PermitRootLogin設置為no。限制用戶/用戶組使用AllowUsers或AllowGroups來指定只允許哪些用戶通過SSH登錄這是非常好的安全實踐。例如AllowUsers alice bob。保持連接活躍防止長時間不操作斷開。可以添加ClientAliveInterval 30和ClientAliveCountMax 3表示服務器每30秒向客戶端發送一次保活消息連續3次無響應才斷開連接。每次修改sshd_config后都需要執行Restart-Service sshd來重啟服務。6. 高級應用與疑難排錯指南服務跑起來后我們來看看怎么用它以及遇到問題怎么辦。6.1 常用連接與文件傳輸場景從Linux/Mac連接Win11ssh -p 22 usernamewindows_host_ip # 如果改了端口 ssh -p 2222 usernamewindows_host_ip # 如果使用非默認密鑰 ssh -i ~/.ssh/my_private_key usernamewindows_host_ip從另一臺Windows連接在PowerShell或CMD中命令格式完全相同因為OpenSSH客戶端命令已經統一。使用SCP傳輸文件# 從本地復制到遠程Win11 scp -P 2222 ./local_file.txt usernamewindows_host_ip:C:\Users\username\Desktop\ # 從遠程Win11復制到本地 scp -P 2222 usernamewindows_host_ip:C:\Users\username\Documents\remote_file.zip ./注意SCP的端口參數是大寫-P而SSH連接是小寫-p這是一個常見的記憶點。使用SFTP交互式傳輸直接輸入sftp -P 2222 usernamewindows_host_ip會進入一個類似FTP的交互環境可以使用put、get、ls、cd等命令。6.2 常見故障與排查思路問題1連接被拒絕Connection refused檢查服務狀態Get-Service sshd確保狀態是Running。檢查端口監聽netstat -ano | findstr :22查看22端口是否被sshd.exe進程監聽。檢查防火墻確認防火墻規則已啟用。可以暫時關閉防火墻測試僅用于排查。問題2密碼被拒絕Permission denied確認用戶名和密碼SSH登錄用的是Windows用戶賬戶和密碼確保密碼正確注意大小寫。檢查用戶權限確保該用戶不是被禁用的賬戶并且有本地登錄權限這通常默認都有。查看日志SSH服務日志是排查的金鑰匙。打開事件查看器- Windows 日志 - 應用程序和服務日志 - OpenSSH - Operational。查看連接失敗時間點附近的錯誤或警告信息通常會有非常具體的失敗原因例如“用戶密碼錯誤”、“賬戶已禁用”等。問題3密鑰認證失敗依然提示輸入密碼權限問題最常見回顧5.1節嚴格檢查服務器上.ssh文件夾和authorized_keys文件的NTFS權限確保只有SYSTEM和相應用戶有完全控制權其他所有權限都應刪除。公鑰格式錯誤確保authorized_keys文件中的公鑰是完整的一行沒有多余空格、換行。最好直接從生成的.pub文件復制粘貼。配置文件未生效確認sshd_config中PubkeyAuthentication yes已設置并且重啟了服務。啟用詳細模式在客戶端連接時加上-v參數如ssh -v userhost會輸出詳細的調試信息可以看到認證過程走到了哪一步失敗。問題4啟動服務失敗端口沖突22端口可能被其他程序如某些虛擬機軟件、舊的SSH服務占用。用netstat -ano | findstr :22查看并嘗試修改sshd_config中的端口。配置文件語法錯誤sshd_config文件修改后如果有語法錯誤會導致服務啟動失敗。檢查事件查看器中的OpenSSH日志通常會指出哪一行配置有問題。一個快速驗證的方法是在PowerShell中運行sshd -t這個命令會測試配置文件的語法而不啟動服務。7. 與WSL的協同工作打造無縫開發環境這是Win11上OpenSSH Server一個非常強大的用法。你可以在Windows主機上運行SSH服務然后從WSL子系統中直接連接到localhost。但這里有個小坑WSL2使用虛擬化網絡它的localhost和Windows主機的localhost并不直接等同。推薦方法使用Windows主機的主機名或特殊IP連接在WSL2的終端如Ubuntu里首先獲取Windows主機的IP地址。可以在Windows PowerShell中運行ipconfig找到“以太網適配器”或“WLAN適配器”下的IPv4地址。或者直接使用Windows主機名。你可以在Windows的“系統信息”或通過命令hostname查看。在WSL2中使用這個IP或主機名進行連接ssh usernamewindows_hostname.local # 如果支持mDNS # 或 ssh username192.168.1.100 # 替換為你的Windows主機IP更優雅的集成在WSL中配置SSH Config在WSL的~/.ssh/config文件中添加如下配置可以簡化連接Host win HostName 192.168.1.100 # 你的Windows IP User your_windows_username Port 2222 # 如果你改了端口 IdentityFile ~/.ssh/id_ed25519 # 你的私鑰路徑保存后在WSL中只需要輸入ssh win就可以直接連接了文件傳輸也可以用scp和sftp命令配合這個win主機別名。這種組合讓你可以將Windows作為文件存儲和資源管理的中心在WSL中進行開發通過SSH在兩者之間無縫切換和傳輸數據體驗非常流暢。 Win11原生OpenSSH Server安裝配置與安全實踐指南
1. 為什么要在Win11上折騰OpenSSH Server如果你是一個開發者或者經常需要在不同機器之間同步文件、執行遠程命令那么SSHSecure Shell絕對是你繞不開的工具。在Linux和macOS上SSH是系統自帶的“基礎設施”但在Windows上很長一段時間里它都像個“外來戶”。過去我們得安裝PuTTY、MobaXterm這類第三方工具或者用Cygwin、WSL來曲線救國配置起來總感覺隔了一層。但情況早就變了。從Windows 10 1809版本開始微軟官方就把OpenSSH客戶端和服務器端作為了可選功能集成進了系統。到了Win11這個功能變得更加成熟和穩定。這意味著你現在可以在你的Win11電腦上原生地、像一個真正的服務器那樣開啟一個SSH服務。其他任何支持SSH的終端無論是另一臺Win11的PowerShell還是Mac的Terminal或是Linux的bash都可以直接連上來用命令行操作你的Windows。這解決了什么痛點想象一下這些場景你家里的主力機是Win11臺式機性能強悍但你想在書房用筆記本遠程操作它跑個編譯腳本或者你需要從公司的Linux服務器上安全地拉取文件到你的Windows開發機又或者你只是想用一個統一的、基于密鑰的認證方式來管理所有設備的遠程登錄告別繁瑣的密碼和第三方工具的各種不一致性。Win11自帶的OpenSSH Server就是為了解決這些而存在的。它不再是那個需要額外安裝的“山寨貨”而是系統級的、受官方支持的服務其安全性和兼容性都有保障。2. 安裝前的準備與核心概念掃盲在動手之前我們先花幾分鐘把幾個關鍵概念和準備工作理清楚這能幫你避開后面90%的坑。2.1 OpenSSH Client vs. Server別搞混了很多人第一次接觸Win11的OpenSSH功能時會迷糊因為系統里有兩個相關的可選功能OpenSSH 客戶端這個是你用來連接別人的。安裝了它你的PowerShell或者命令提示符就能使用ssh、scp、sftp這些命令去連接遠程的Linux服務器、路由器或者其他開啟了SSH服務的設備。在Win11上這個客戶端很多時候是默認安裝好的。OpenSSH 服務器這個才是我們今天的主角。安裝了它你的電腦就變成了一個可以被別人連接的SSH服務器。它會監聽一個網絡端口默認是22等待來自客戶端的連接。我們的目標是安裝“服務器”端。但請記住一個完整的SSH環境通常需要兩者都具備這樣你既能提供服務也能去連接別的服務。2.2 權限與安全邊界管理員不是萬能的這是Windows環境下玩SSH最需要轉變思維的一點。在Linux中root用戶幾乎無所不能。但在Windows即使用管理員身份運行很多操作也受到用戶賬戶控制UAC和會話隔離的限制。OpenSSH Server在Windows上運行時默認是以一個名為sshd的Windows服務形式存在的。這個服務運行在SYSTEM或一個特定的服務賬戶下權限很高。但是當遠程用戶通過SSH登錄時他們登錄到的是自己的用戶會話。這個會話的權限完全取決于他們登錄所用的Windows用戶賬戶本身的權限。舉個例子你用管理員賬戶AdminUser通過SSH登錄。你在SSH會話中啟動一個圖形界面程序比如記事本這個程序會嘗試在你的遠程桌面會話中顯示但通常因為會話隔離會失敗。更重要的是如果你嘗試修改一些受保護的系統文件依然會觸發UAC或遇到權限錯誤因為你的SSH會話并沒有自動獲得“以管理員身份運行”的令牌。所以請建立這個認知SSH登錄成功只代表你以某個Windows用戶的身份進入了命令行環境不代表你擁有了該用戶桌面會話的所有特權或能直接操作圖形界面。對于需要高特權的操作你依然需要在SSH會話中顯式地啟動一個提升權限的進程例如通過Start-Process -Verb RunAs。2.3 網絡環境與防火墻你的Win11電腦可能在家庭網絡、公司內網或者直接暴露在公網非常不推薦除非你知道在做什么。OpenSSH Server默認監聽所有網絡接口0.0.0.0的22端口。在家庭網絡這通常沒問題。但在公司網絡22端口可能被防火墻策略封鎖或者你需要將其改為其他端口以避免沖突。Win11自帶的Windows Defender防火墻會默認放行“OpenSSH SSH Server”的入站規則。但如果你禁用了Defender防火墻或者使用了第三方防火墻軟件你需要手動確保TCP 22端口或你自定義的端口的入站連接是被允許的。注意將SSH服務器暴露在公網是極高風險行為。除非你使用非常強的密鑰認證、禁用密碼登錄、并可能結合Fail2ban等防暴力破解工具否則極易被攻擊者掃描并入侵。對于絕大多數個人用戶僅在可信的局域網內使用SSH服務。3. 兩種安裝路徑圖形界面與命令行Win11提供了非常靈活的安裝方式你可以根據習慣選擇。3.1 方法一通過“設置”圖形界面安裝推薦新手這是最直觀、最不容易出錯的方式特別適合不常使用命令行的用戶。打開設置按下Win I快捷鍵快速打開系統“設置”。進入應用管理點擊左側的“應用”然后在右側找到并點擊“可選功能”。添加功能在“可選功能”頁面你會看到一個“添加可選功能”的按鈕點擊它旁邊的“查看功能”按鈕在較新版本的Win11中按鈕名稱和位置可能略有變化但邏輯一致。搜索并選擇這會打開一個龐大的功能列表。在頂部的搜索框中輸入“ssh”。在搜索結果中你應該能看到“OpenSSH 服務器”和“OpenSSH 客戶端”。勾選“OpenSSH 服務器”。可選如果你不確定客戶端是否已安裝可以一并勾選“OpenSSH 客戶端”。系統會檢測如果已安裝則不會重復安裝。安裝點擊右下角的“下一步”然后點擊“安裝”。系統會自動下載并安裝所需的組件。等待完成安裝過程通常很快完成后會提示“安裝成功”。你可以關閉設置窗口。至此OpenSSH Server的二進制文件和相關配置就已經部署到你的系統了。但是它只是一個“功能”對應的Windows服務默認是“禁用”狀態需要我們手動啟動。3.2 方法二通過PowerShell命令行安裝高效可控如果你喜歡命令行或者需要寫腳本批量部署PowerShell是更強大的工具。請務必以管理員身份打開Windows PowerShell或Windows Terminal管理員模式。# 首先檢查OpenSSH服務器功能是否可用及安裝狀態 Get-WindowsCapability -Online | Where-Object Name -like OpenSSH.Server* # 執行安裝命令。這行命令會從Windows更新源獲取并安裝OpenSSH服務器組件。 Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0 # 安裝成功后你會看到類似下面的輸出 # Path : # Online : True # RestartNeeded : False這種方式同樣只是安裝了組件服務尚未啟動。實操心得兩種方法在結果上沒有區別。圖形界面適合一次性操作而PowerShell命令可以寫進自動化腳本。我個人的習慣是在全新系統配置時用PowerShell因為可以一氣呵成地完成“安裝-啟動-配置”一系列操作。4. 配置、啟動服務與首次連接測試安裝完成只是第一步讓服務跑起來并能夠連接才是關鍵。4.1 啟動并設置開機自啟無論用哪種方式安裝接下來都需要操作服務。# 以管理員身份啟動PowerShell執行以下命令 # 1. 啟動SSH服務 Start-Service sshd # 2. 將SSH服務設置為開機自動啟動非常重要否則重啟后服務就停了 Set-Service -Name sshd -StartupType Automatic # 3. 確認服務狀態狀態應為“Running” Get-Service sshd4.2 防火墻規則確認如前所述Windows Defender防火墻應該已經自動創建了規則。但我們可以確認一下# 檢查名為‘OpenSSH-Server-In-TCP’的防火墻規則是否存在且啟用 Get-NetFirewallRule -Name *OpenSSH* | Select-Object Name, Enabled, Action如果看到OpenSSH-Server-In-TCP規則且Enabled為TrueAction為Allow那就沒問題。如果被禁用可以用Enable-NetFirewallRule -Name “OpenSSH-Server-In-TCP”來啟用它。4.3 進行首次本地連接測試在服務啟動后最穩妥的測試方式是先從本機連接自己。這可以排除網絡問題直接驗證SSH服務本身是否工作正常。打開一個非管理員身份的PowerShell或命令提示符因為日常使用SSH通常也不是用管理員賬戶輸入ssh localhost如果你是第一次連接會看到關于主機密鑰的指紋確認提示輸入yes繼續。 接下來它會提示你輸入密碼。這里輸入的密碼是你當前登錄Windows所使用的用戶賬戶的密碼。如果密碼正確你應該會成功登錄命令行提示符會發生變化表示你已經在一個新的SSH會話中了。你可以輸入whoami命令來確認當前用戶輸入exit或logout來退出SSH會話。恭喜到這一步說明你的OpenSSH Server已經基本安裝并運行成功了。5. 核心配置詳解讓SSH服務更安全、更順手默認配置能用但遠非最佳實踐。配置文件位于C:\ProgramData\ssh\。我們需要關注的主要是sshd_config文件。重要修改任何配置文件前務必先備份可以復制一份命名為sshd_config.backup。5.1 密鑰認證告別密碼擁抱安全與便捷密碼登錄容易受到暴力破解和嗅探而SSH密鑰對公鑰/私鑰是目前最推薦的身份驗證方式。其原理是你的本地機器生成一對密鑰私鑰自己保管公鑰上傳到服務器連接時服務器用公鑰挑戰本地用私鑰應答無需傳輸密碼。第一步在客戶端生成密鑰對如果你沒有的話在你自己常用的電腦客戶端上操作比如你的筆記本電腦。# 在PowerShell或WSL中使用ssh-keygen命令 ssh-keygen -t ed25519 -C “your_emailexample.com” # -t 指定密鑰類型ed25519是目前安全性和性能兼顧的最佳選擇 # -C 添加一個注釋通常用郵箱方便標識 # 執行后會詢問保存路徑直接回車使用默認路徑C:\Users\你的用戶名\.ssh\id_ed25519 # 然后會詢問設置密鑰密碼passphrase可以為空直接回車但設置一個密碼會更安全。生成后你會在~/.ssh/目錄下得到兩個文件id_ed25519私鑰絕不可泄露和id_ed25519.pub公鑰。第二步將公鑰部署到Win11 SSH服務器現在需要把id_ed25519.pub文件的內容添加到服務器上對應用戶的authorized_keys文件中。在Win11服務器上確保存在.ssh目錄和authorized_keys文件。 你可以通過SSH密碼登錄后操作或者直接在Win11的圖形界面操作。路徑是C:\Users\你的用戶名\.ssh\。如果.ssh文件夾不存在就創建它。將公鑰內容追加到文件。用記事本或其他文本編輯器打開或創建authorized_keys文件將id_ed25519.pub文件的全部內容一行復制粘貼進去保存。確保文件編碼為UTF-8 without BOM。設置嚴格的權限關鍵。Windows的OpenSSH對權限很敏感錯誤的權限會導致密鑰認證失敗。右鍵點擊.ssh文件夾 - 屬性 - 安全 - 高級。禁用繼承并刪除所有已有的權限條目。添加一條權限主體選擇“SYSTEM”完全控制。再添加一條權限主體選擇你自己的用戶賬戶完全控制。確保沒有其他用戶或組有權限。應用并確定。同樣authorized_keys文件也應該只允許SYSTEM和你自己完全控制。第三步修改服務器配置啟用并優先使用密鑰認證用管理員權限的文本編輯器如VS Code、Notepad打開C:\ProgramData\ssh\sshd_config。找到并修改或確保以下行PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys PasswordAuthentication no # 在確認密鑰登錄成功后再改為‘no’以禁用密碼登錄極大提升安全性保存文件后重啟SSH服務使配置生效Restart-Service sshd5.2 其他關鍵配置調優除了密鑰認證sshd_config里還有其他值得關注的設置修改默認端口將#Port 22的注釋去掉改成如Port 2222。這可以避免針對22端口的自動化掃描攻擊。改端口后別忘了在防火墻中放行新端口如TCP 2222并重啟服務。連接時使用ssh -p 2222 userhostname。禁用root登錄模擬Windows沒有真正的root但可以禁用管理員登錄。確保PermitRootLogin設置為no。限制用戶/用戶組使用AllowUsers或AllowGroups來指定只允許哪些用戶通過SSH登錄這是非常好的安全實踐。例如AllowUsers alice bob。保持連接活躍防止長時間不操作斷開。可以添加ClientAliveInterval 30和ClientAliveCountMax 3表示服務器每30秒向客戶端發送一次保活消息連續3次無響應才斷開連接。每次修改sshd_config后都需要執行Restart-Service sshd來重啟服務。6. 高級應用與疑難排錯指南服務跑起來后我們來看看怎么用它以及遇到問題怎么辦。6.1 常用連接與文件傳輸場景從Linux/Mac連接Win11ssh -p 22 usernamewindows_host_ip # 如果改了端口 ssh -p 2222 usernamewindows_host_ip # 如果使用非默認密鑰 ssh -i ~/.ssh/my_private_key usernamewindows_host_ip從另一臺Windows連接在PowerShell或CMD中命令格式完全相同因為OpenSSH客戶端命令已經統一。使用SCP傳輸文件# 從本地復制到遠程Win11 scp -P 2222 ./local_file.txt usernamewindows_host_ip:C:\Users\username\Desktop\ # 從遠程Win11復制到本地 scp -P 2222 usernamewindows_host_ip:C:\Users\username\Documents\remote_file.zip ./注意SCP的端口參數是大寫-P而SSH連接是小寫-p這是一個常見的記憶點。使用SFTP交互式傳輸直接輸入sftp -P 2222 usernamewindows_host_ip會進入一個類似FTP的交互環境可以使用put、get、ls、cd等命令。6.2 常見故障與排查思路問題1連接被拒絕Connection refused檢查服務狀態Get-Service sshd確保狀態是Running。檢查端口監聽netstat -ano | findstr :22查看22端口是否被sshd.exe進程監聽。檢查防火墻確認防火墻規則已啟用。可以暫時關閉防火墻測試僅用于排查。問題2密碼被拒絕Permission denied確認用戶名和密碼SSH登錄用的是Windows用戶賬戶和密碼確保密碼正確注意大小寫。檢查用戶權限確保該用戶不是被禁用的賬戶并且有本地登錄權限這通常默認都有。查看日志SSH服務日志是排查的金鑰匙。打開事件查看器- Windows 日志 - 應用程序和服務日志 - OpenSSH - Operational。查看連接失敗時間點附近的錯誤或警告信息通常會有非常具體的失敗原因例如“用戶密碼錯誤”、“賬戶已禁用”等。問題3密鑰認證失敗依然提示輸入密碼權限問題最常見回顧5.1節嚴格檢查服務器上.ssh文件夾和authorized_keys文件的NTFS權限確保只有SYSTEM和相應用戶有完全控制權其他所有權限都應刪除。公鑰格式錯誤確保authorized_keys文件中的公鑰是完整的一行沒有多余空格、換行。最好直接從生成的.pub文件復制粘貼。配置文件未生效確認sshd_config中PubkeyAuthentication yes已設置并且重啟了服務。啟用詳細模式在客戶端連接時加上-v參數如ssh -v userhost會輸出詳細的調試信息可以看到認證過程走到了哪一步失敗。問題4啟動服務失敗端口沖突22端口可能被其他程序如某些虛擬機軟件、舊的SSH服務占用。用netstat -ano | findstr :22查看并嘗試修改sshd_config中的端口。配置文件語法錯誤sshd_config文件修改后如果有語法錯誤會導致服務啟動失敗。檢查事件查看器中的OpenSSH日志通常會指出哪一行配置有問題。一個快速驗證的方法是在PowerShell中運行sshd -t這個命令會測試配置文件的語法而不啟動服務。7. 與WSL的協同工作打造無縫開發環境這是Win11上OpenSSH Server一個非常強大的用法。你可以在Windows主機上運行SSH服務然后從WSL子系統中直接連接到localhost。但這里有個小坑WSL2使用虛擬化網絡它的localhost和Windows主機的localhost并不直接等同。推薦方法使用Windows主機的主機名或特殊IP連接在WSL2的終端如Ubuntu里首先獲取Windows主機的IP地址。可以在Windows PowerShell中運行ipconfig找到“以太網適配器”或“WLAN適配器”下的IPv4地址。或者直接使用Windows主機名。你可以在Windows的“系統信息”或通過命令hostname查看。在WSL2中使用這個IP或主機名進行連接ssh usernamewindows_hostname.local # 如果支持mDNS # 或 ssh username192.168.1.100 # 替換為你的Windows主機IP更優雅的集成在WSL中配置SSH Config在WSL的~/.ssh/config文件中添加如下配置可以簡化連接Host win HostName 192.168.1.100 # 你的Windows IP User your_windows_username Port 2222 # 如果你改了端口 IdentityFile ~/.ssh/id_ed25519 # 你的私鑰路徑保存后在WSL中只需要輸入ssh win就可以直接連接了文件傳輸也可以用scp和sftp命令配合這個win主機別名。這種組合讓你可以將Windows作為文件存儲和資源管理的中心在WSL中進行開發通過SSH在兩者之間無縫切換和傳輸數據體驗非常流暢。