大多數人從來沒有刻意啟動過這支程式，卻幾乎每個人今天都用過它。

一個長成基礎設施的協定

推送一次提交、部署一台伺服器、把檔案複製到備份主機、在另一棟樓的機器上跑一道指令——全都走同一個協定，而多數時候沒有人會想到它。這正是基礎設施的特徵：能用、看不見，只有在停下來的那天才會被注意到。

OpenSSH 是多數人實際在用的那一套實作。官方描述是一份清單而不是一句口號：ssh、scp、sftp 三個用戶端，sshd 服務端，加密傳輸，通道轉送，以及多種身分驗證方式。每一項都對應一個具體需求，整套之所以成立，是因為它們講的是同一個協定。

維護來自 OpenBSD 專案的開發者，這也解釋了設計上的某種保守。功能進得慢，預設值很少改動，真要改的時候會大聲宣告，因為嚇到一次管理員，代價是用服務中斷來計算的。

三個用戶端、一個服務端，還有幾種證明身分的辦法

三個用戶端是按任務分的，不是按能力分的。ssh 給你一個互動殼層，或跑一道指令就返回；scp 用一套借自同名舊工具的語法複製檔案；sftp 提供互動式的傳輸工作階段，適合要處理大量檔案與目錄的場合。三者都跑在同一條加密通道上。

實務上的決定大多落在身分驗證這一層。密碼驗證簡單也脆弱。公開金鑰驗證把私鑰留在用戶端、公鑰放在服務端，於是沒有任何機密會經過網線，也沒有東西可以被猜到。憑證式驗證再往前一步：讓一個簽發方為眾多主機簽出短期憑證，這就是「手工管金鑰」與「把存取當政策管」的差別。

通道轉送是多數人很晚才發現、發現之後就一直在用的部分。本機轉送把遠端服務接到本機的埠上；遠端轉送反過來，把本機服務曝露給遠端機器；動態轉送則把連線變成一個通用代理。這三種都不需要在對端額外安裝什麼，只要那台服務端本來就在。

版本，以及經得起時間的習慣

目前版本是 10.6。這裡的版號走得慢，每次發布往往是收回一個舊演算法或收緊一個預設值，而不是加上看得見的新功能。所以對跑服務的人來說，讀發布說明不是可選項——會弄壞腳本的改動，通常是「移除」。

兩個習慣經得起時間。其一，金鑰要按時汰換，而不是留到出事才換。其二，每次升級之後重看一遍服務端設定，因為五年前還算合理的預設值，現在往往已經不再提供。

遠端登入安不安全，早在挑選任何演算法之前，就由設定它那個人的習慣決定了。

實務提醒：優先用金鑰驗證，密碼只留在政策要求的地方當備援；限制哪些帳號可以登入，而不是指望每個帳號都有強密碼；每天都要用的通道轉送寫進設定檔，不要每次重打旗標——打錯一個轉送，就是一段沒有人喜歡的除錯時光。