最稳妥的老旧密钥替换方式是用 ssh-keygen -t rsa -b 4096 生成4096位rsa密钥并强制推行清理、分发、验证、停用全流程，确保新密钥生效且旧密钥彻底下线。
直接用 ssh-keygen -t rsa -b 4096 生成高位宽 RSA 私钥，是替换老旧密钥最稳妥的方式。它不依赖外部工具，兼容性好，适用于仍需支持传统 SSH 服务的环境（如部分金融、政务类旧系统）。关键在于“强制推行”——不是只生成新密钥，而是同步清理、分发、验证、停用旧链路。
生成并确认高位宽 RSA 密钥
运行以下命令，明确指定 4096 位长度，并绑定邮箱标识：
ssh-keygen -t rsa -b 4096 -C "admin@company.local" -f ~/.ssh/id_rsa_4096- 私钥将保存为
id_rsa_4096，公钥为id_rsa_4096.pub；不建议覆盖默认id_rsa，避免影响现有连接 - 生成后检查强度：
ssh-keygen -l -f ~/.ssh/id_rsa_4096，输出应显示 4096 SHA256:xxx
清除旧密钥残留与信任记录
仅换私钥不够，客户端和服务器两端都可能缓存旧指纹或旧公钥，必须主动清理：
- 本地删除 known_hosts 中对应主机的旧条目：
ssh-keygen -R example.com或ssh-keygen -R 192.168.1.100 - 若曾用旧密钥登录过目标服务器，需手动编辑其
~/.ssh/authorized_keys，删掉旧公钥行（可用grep -n "old_fingerprint" ~/.ssh/authorized_keys定位） - 检查
~/.ssh/config是否硬编码了 IdentityFile 指向旧密钥，如有则更新为IdentityFile ~/.ssh/id_rsa_4096
部署与验证新密钥链路
确保新密钥真正生效，而非“看似替换成功”：
- 把新公钥追加到目标服务器：
cat ~/.ssh/id_rsa_4096.pub | ssh user@host 'mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys' - 测试连接时显式指定密钥：
ssh -i ~/.ssh/id_rsa_4096 -o "IdentitiesOnly=yes" user@host，避免代理自动选错密钥 - 连接成功后，立即在服务器端执行
sshd -T | grep -E "(pubkey|rsa)"，确认PubkeyAuthentication yes且未禁用 rsa 算法（某些加固策略会 disable ssh-rsa）
停用旧密钥并建立管理习惯
推行不是一次操作，而是闭环管理：
- 重命名或移出旧私钥文件（如
mv ~/.ssh/id_rsa ~/.ssh/id_rsa_legacy_disabled），比直接rm更安全可回退 - 在团队内同步密钥指纹：
ssh-keygen -l -f ~/.ssh/id_rsa_4096输出的 SHA256 值，作为新基准分发 - 若使用 Ansible 等工具批量管理，可在 playbook 中加入校验任务：远程读取
authorized_keys内容，断言不含旧指纹、包含新公钥行
