一套可直接落地的 SSH 纵深防御清单：Ed25519 密钥认证、sshd_config 核心加固、OpenSSH 内置 PerSourcePenalties 防爆破、Fail2Ban 兜底与 TOTP 双因素。