用途：为 Linux/Unix 服务器建立安全远程访问，包括加固 sshd、配置堡垒机（跳板机）访问内网、创建 SSH 隧道做端口转发、管理团队或自动化部署用的密钥，以及排查连接、认证和性能问题。
主要能力：生成与管理 Ed25519、RSA 4096 等密钥，使用 ssh-copy-id 或手动写入 authorized_keys 部署公钥，通过 ssh-agent 与 ssh-add 管理密钥（可设有效期、转换 PEM、查看 SHA256 指纹、轮换密钥）；在 ~/.ssh/config 中按主机定义身份文件、ProxyJump、LocalForward、ControlMaster 多路复用等；在 /etc/ssh/sshd_config 中禁用 root 与密码登录、限定 KexAlgorithms/Ciphers/MACs、限制用户组、关闭多余转发、配置 ClientAlive 与日志，并用 Match 块将用户限制为仅 SFTP。堡垒机可通过 PermitOpen 限定可转发目标，配合 ProxyJump 或 ProxyCommand 及多跳连接。隧道支持本地（-L）、远程（-R）、动态 SOCKS（-D）、后台运行（-fN）与 autossh 断线重连。authorized_keys 中可用 command、from、no-port-forwarding 等选项限制密钥。
使用方式：本地需安装 OpenSSH 客户端（ssh -V 验证），目标机安装 sshd，修改 sshd_config 需 root 或 sudo，防火墙放行 TCP 22 或自定义端口。修改配置后用 sshd -t 校验，再 systemctl restart sshd；测试时保留原会话，另开新终端确认可连接后再关闭旧会话。
适用场景：生产服务器远程接入、合规加固、私网跳板访问、数据库等服务的加密隧道转发、团队与 CI/CD 密钥管理。
限制与风险：改端口仅为隐蔽而非安全，需配合防火墙；SSH 代理转发（-A）会把密钥暴露给中间主机的 root，建议改用 ProxyJump；CI/CD 免密私钥仅限相应场景；文档提到用 autossh 维持隧道，但未说明其安装前提；正文未提供收费、价格或具体合规标准信息。