只开密钥登录之后，还需要做什么

第一件是 PermitRootLogin。设成 prohibit-password 比 no 更实用：保留 root 用密钥登录的可能，同时禁掉密码。很多救援场景需要它。

第二件是限制可登录用户。AllowUsers 或者 AllowGroups 写清楚，能挡掉一批「服务账号被误配了密码」的问题。但要注意别把自己锁在外面——先测一条新连接再退出当前会话。

第三件是 host key 的完整性。机器重装后 host key 会变，客户端会报 REMOTE HOST IDENTIFICATION HAS CHANGED。这不是攻击的必然信号，但也不该无脑删掉 known_hosts 了事，先核对指纹。

最后，ssh 日志里的爆破记录是常态，不是事件。真正值得看的是成功登录记录：last 和 journalctl -u ssh 里找 Accepted publickey，出现陌生来源才是问题。