2.1 方式 A：pipe 到 ssh 自动写入（推荐）#

1
Get-Content $HOME\.ssh\id_ed25519.pub | ssh user@1.2.3.4 "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

命令会：读取本地公钥 → SSH 送到服务器 → 自动追加到 authorized_keys → 顺手把目录和文件权限都设对。执行时输一次密码，完成后下次起就免密。

2.2 方式 B：ssh-copy-id（OpenSSH 新版本自带）#

较新的 OpenSSH 客户端内置了 ssh-copy-id，效果和方式 A 一致但命令更短：

1
ssh-copy-id user@1.2.3.4

Windows 自带的 OpenSSH 不一定带这个命令（看版本），如果提示 The term 'ssh-copy-id' is not recognized，直接用方式 A。

2.3 方式 C：手动粘贴（兜底）#

登录服务器后手动执行（需要先把公钥内容复制到剪贴板）：

1
mkdir -p ~/.ssh && chmod 700 ~/.ssh && \
2
echo "这里粘贴公钥内容" >> ~/.ssh/authorized_keys && \
3
chmod 600 ~/.ssh/authorized_keys

免密配好后建议禁用密码登录

公钥登录正常工作后，推荐在服务器 /etc/ssh/sshd_config 里改成：

1
PubkeyAuthentication yes
2
PasswordAuthentication no

然后 sudo systemctl reload ssh（Debian/Ubuntu 是 ssh，CentOS/RHEL 是 sshd）。这样服务器只接受密钥登录，彻底消除密码被爆破的风险。

两条关键保险：

1. 修改前务必先用密钥登录一次，确认公钥配置无误。
2. 修改和 reload 期间保留一个已登录的 SSH 窗口别关——万一配置语法错、reload 失败或被防火墙误杀，可以从这个窗口里回滚，而不是被锁在门外。

3.1 本地转发（-L）——最常用#

把远端能访问的资源映射到本地端口。比如服务器上跑着只监听 127.0.0.1:8080 的内部 Web 面板：

1
# 格式：ssh -L [本地端口]:[远端可访问地址]:[远端端口] 用户@服务器IP
2
# 示例：把服务器的 127.0.0.1:8080 映射到本地 8080
3
ssh -L 8080:127.0.0.1:8080 user@1.2.3.4

连上后，本地浏览器访问 http://localhost:8080 就是在访问服务器上的服务。

常用参数：

• -N：只建隧道，不打开远程 shell
• -f：执行命令前 fork 到后台（通常和 -N 一起用，让 SSH 进程进入后台运行）

3.2 远程转发（-R）——内网穿透#

方向相反：把本地能访问的服务暴露给远端。比如想让服务器访问你本地 3000 端口的服务：

1
# 把本地 localhost:3000 映射到服务器的 8000 端口
2
ssh -R 8000:localhost:3000 user@1.2.3.4

服务器上访问 http://127.0.0.1:8000 就是访问你本地的 3000，常用于给服务器演示本地 demo、接收 webhook 调试等。

-R 默认只监听 127.0.0.1

服务器上 -R 暴露出来的端口默认只绑定 127.0.0.1，外部机器访问不到。如果要让公网或局域网也能访问，需要在服务器 sshd_config 里开启 GatewayPorts yes——安全敏感，谨慎使用。

3.3 动态转发（-D）——SOCKS 代理#

把 SSH 当成本地 SOCKS5 代理：

1
# 在本地 1080 端口起 SOCKS5 代理，所有流量走服务器
2
ssh -D 1080 -N user@1.2.3.4

浏览器把代理设成 SOCKS5 127.0.0.1:1080 后，所有网页请求都会经服务器出口。相当于一条 SSH 连接就能当整套代理，临时用不需要单独装 Clash / v2ray 这类工具。

4.1 方案一：SSH Config 文件（推荐）#

优点：声明式配置；命令行、Git、SCP 等各种 SSH 工具都认；一次配置终身受益。

步骤：

1. 打开配置文件：

   1
   notepad $HOME\.ssh\config

2. 写入内容：

   1
   # --- 基础服务器：只做登录 ---
   2
   Host s1
   3
       HostName 1.2.3.4
   4
       User user
   5
       Port 22                # 非默认端口（如 22222）就改这里
   6
       IdentityFile ~/.ssh/id_ed25519
   7
   
   8
   # --- 带自动端口转发的同一台服务器 ---
   9
   Host s1-tunnel
   10
       HostName 1.2.3.4
   11
       User user
   12
       Port 22
   13
       IdentityFile ~/.ssh/id_ed25519
   14
       # LocalForward [本地端口] [目标地址]:[目标端口]
   15
       LocalForward 18789 127.0.0.1:18789
   16
       LocalForward 3306 127.0.0.1:3306

3. 使用：

   1
   ssh s1              # 纯登录
   2
   ssh s1-tunnel       # 登录 + 自动把 18789 / 3306 映射到本地

用 IdentityFile 管理多密钥

如果不同服务器需要不同密钥（比如公司机和 HomeLab 分开），在每个 Host 块下单独写 IdentityFile，SSH 会按主机挑对应密钥，不会把所有私钥依次试一遍（那样很快就会撞到服务器端 MaxAuthTries 限制被拒绝）。

4.2 方案二：PowerShell Profile 函数#

优点：启动时可以打印友好提示、函数里能塞任意 PowerShell 逻辑（例如连前先 Test-NetConnection 探活）。

步骤：

1. 打开 Profile：

   1
   notepad $PROFILE

2. 写入函数：

   1
   # 1. 纯连接
   2
   function s1 { ssh user@1.2.3.4 }
   3
   
   4
   # 2. 一键开启端口转发并显示提示
   5
   function s1-tunnel {
   6
       Write-Host "------------------------------------------------" -ForegroundColor Cyan
   7
       Write-Host "SSH 隧道已建立！" -ForegroundColor Green
   8
       Write-Host "Web 应用: http://localhost:18789" -ForegroundColor Yellow
   9
       Write-Host "数据库端口: 3306 -> 3306" -ForegroundColor Yellow
   10
       Write-Host "提示: 保持此窗口开启，按 Ctrl+C 关闭隧道" -ForegroundColor DarkGray
   11
       Write-Host "------------------------------------------------" -ForegroundColor Cyan
   12
       # -N 表示不执行远程命令，仅做转发
   13
       ssh -N -L 18789:127.0.0.1:18789 -L 3306:127.0.0.1:3306 user@1.2.3.4
   14
   }

3. 让配置生效并使用：

   1
   . $PROFILE       # 立即加载本次会话
   2
   s1-tunnel        # 直接输入函数名

4.3 两种方案对比#

建议方案一为主、方案二为辅：能用 Config 解决的就用 Config，需要彩色提示 / 脚本逻辑时再走 Profile 函数。