最终结构#

1
KeePassXC 数据库
2
└─ SSH 条目
3
   ├─ 密码字段：私钥 passphrase
4
   └─ 附件：OpenSSH 私钥
5
          ↓ 数据库解锁时加载
6
Windows OpenSSH Authentication Agent
7
          ↓
8
ssh / Git
9
          ↓
10
服务器 ~/.ssh/authorized_keys 中的对应公钥

一、规划密钥#

推荐每台电脑使用独立密钥：

1
家用电脑  → Key A
2
工作电脑  → Key B
3
笔记本    → Key C

把各自的公钥添加到需要访问的服务器。某台设备丢失或停用时，只需删除对应公钥，不会影响其他设备。

多台电脑共用同一私钥虽然可行，但服务器无法区分设备，单机失陷后也不能只撤销这一台。KeePassXC 数据库可以同步，密钥身份仍应按设备拆分。

二、启用 Windows OpenSSH Agent#

普通 PowerShell 检查组件：

1
ssh -V
2
Get-Service ssh-agent

若找不到 ssh，在 Windows 的 设置 → 应用 → 可选功能 中安装 OpenSSH 客户端。

以管理员身份打开 PowerShell：

1
Get-Service ssh-agent | Set-Service -StartupType Automatic
2
Start-Service ssh-agent
3
Get-Service ssh-agent

随后检查：

1
ssh-add -l

出现 The agent has no identities. 表示 Agent 正常，只是尚未加载密钥。

三、生成 Ed25519 密钥#

1
ssh-keygen -t ed25519 -C "device-name"

默认会在当前用户的 .ssh 目录生成：

1
id_ed25519       私钥
2
id_ed25519.pub   公钥

为私钥设置强 passphrase。它用于解密私钥，与服务器账号密码完全不同。

四、把私钥保存在 KeePassXC#

新建条目，例如：

1
标题：SSH Key - device-name
2
用户名：登录用户名或设备名
3
密码：私钥 passphrase
4
URL：ssh://server.example.com

若私钥没有 passphrase，密码字段保持为空；不要填写服务器密码。

编辑条目，进入 高级 → 附件 → 添加，选择没有 .pub 后缀的私钥文件。使用附件后，私钥会保存在加密的 KDBX 中；选择“外部文件”则只保存路径引用，换电脑后仍需单独复制文件。

检查文件类型：

1
Get-Content "$env:USERPROFILE\.ssh\id_ed25519" -TotalCount 1

OpenSSH 私钥开头应类似：

1
[OpenSSH 私钥头部标记]

若看到 ssh-ed25519 AAAA...，说明选中的是公钥。

五、配置 KeePassXC SSH Agent 集成#

进入 工具 → 设置 → SSH Agent：

1
☑ 启用 SSH Agent 集成
2
☑ OpenSSH for Windows

设置页应显示 Agent 连接正常。不要同时混用 Windows OpenSSH、Git for Windows 自带 Agent 和 Pageant。

再编辑 SSH 条目，进入 SSH Agent：

1. 私钥来源选择刚添加的附件。
2. 开启“数据库解锁时添加密钥”。
3. 开启“数据库锁定时移除密钥”。

也可在条目右键菜单中手动把密钥添加到 SSH Agent。验证：

1
ssh-add -l

正常时会显示密钥指纹和类型，例如 ED25519。

六、把公钥安装到服务器#

读取公钥：

1
Get-Content "$env:USERPROFILE\.ssh\id_ed25519.pub"

首次使用原有密码或云厂商控制台登录服务器，然后执行：

1
mkdir -p ~/.ssh
2
chmod 700 ~/.ssh
3
nano ~/.ssh/authorized_keys
4
chmod 600 ~/.ssh/authorized_keys

把完整公钥粘贴为一行。多台电脑的公钥各占一行：

1
ssh-ed25519 AAAA... home-pc
2
ssh-ed25519 BBBB... work-pc

七、测试登录#

确认 Agent 已加载密钥：

1
ssh-add -l
2
ssh user@203.0.113.10 -p 2222

如需查看认证过程：

1
ssh -v user@203.0.113.10 -p 2222

成功时日志通常会包含：

1
Offering public key
2
Server accepts key
3
Authenticated ... using "publickey"

八、使用 SSH Config 简化命令#

编辑当前用户 .ssh\config：

1
Host server-a
2
    HostName 203.0.113.10
3
    User user
4
    Port 2222

之后只需：

1
ssh server-a

密钥较少时，OpenSSH 会从 Agent 中选择服务器接受的身份，无需设置 IdentityFile。

1
Host server-a
2
    HostName 203.0.113.10
3
    User user
4
    Port 2222
5
    IdentityFile ~/.ssh/server-a_ed25519.pub
6
    IdentitiesOnly yes

九、常见故障#

1
ssh-keygen -y -f "$env:USERPROFILE\.ssh\id_ed25519"

1
where.exe ssh

1
C:\Windows\System32\OpenSSH\ssh.exe

十、安全收尾#

连续验证以下场景后，才考虑关闭服务器密码认证：

• KeePassXC 重启后可以加载密钥。
• 数据库锁定后密钥从 Agent 移除，解锁后重新加入。
• Windows 重启后 ssh-agent 自动运行。
• 新终端可以稳定完成公钥登录。
• 云厂商控制台或其他应急入口可用。

本地裸私钥确认已进入 KDBX 且有可靠备份后，可按自己的恢复策略安全删除；公钥和 SSH Config 可以保留。

验收清单#

• Windows OpenSSH 客户端可用。
• ssh-agent 自动启动且状态为 Running。
• KeePassXC 已连接 OpenSSH for Windows。
• 私钥附件与 passphrase 配置正确。
• ssh-add -l 能看到预期指纹。
• 服务器 authorized_keys 只包含需要保留的公钥。
• ssh -v 确认使用 publickey 认证。
• KDBX 有版本历史与独立备份。

参考资料#

• KeePassXC User Guide：SSH Agent
• KeePassXC Documentation and FAQ
• Microsoft Learn：OpenSSH 密钥认证