按策略与兼容性选择
服务器和安全策略允许时，Ed25519 是有用的选择。兼容性或策略要求时使用 RSA 3072 或 4096。RSA 密钥不等同于旧的 SHA-1 ssh-rsa 签名；现代 RSA 可以使用 SHA-2。不要全局重新启用旧签名。
在本地生成并保护私钥
只选一个生成命令和新文件名，不要覆盖已有密钥。提示时设置口令。服务器只应接收 .pub 文件，私钥留在客户端。CH-J Key Generator 在 Beta 0.1.0 中已可用。
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256安装公钥后再测试
将完整公钥作为一行放入目标账户的 ~/.ssh/authorized_keys。Linux 上检查所有者，通常 .ssh 权限为 700，authorized_keys 为 600。保持当前会话，在改变旧访问方式前测试第二次登录。用户密钥与服务器主机密钥的用途不同。
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example