企业官网建设流程全解析

简介：这是面向Linux/UNIX运维工程师与系统管理员的SecureCRT 9.1.0 Build 2579 Windows x64官方原版安装包，适合需要稳定、高效SSH远程连接工具的中高级使用者。SecureCRT支持SSH1/SSH2、Telnet、Telnet/TLS、RLogin、Serial、TAPI及Raw等多种协议，会话管理、标签式操作、密钥认证与端口转发等功能完善，可将常用主机保存为会话并一键快速连接，尤其适合长期维护多台服务器或需要频繁切换不同主机的场景。资源包共3个文件，包含exe格式的官方原版安装程序、html格式的安装前说明文档以及zip格式的ZWT官方附带压缩包，整体仅29.94MB，轻量易获取。目前已有7459人学习下载，这一数字也反映出其在运维群体中的认可度。通过资源包可获得官方原版程序与配套说明，省去自行检索和排查版本匹配的麻烦；附带说明对安装前注意事项作了提示，解压后即可按说明完成部署，快速投入日常远程运维工作。

1. SecureCRT 9.1.0 Build 2579 是什么：一个 Windows 下的老牌 SSH 终端，值不值得折腾

先说结论：SecureCRT 9.1.0 Build 2579 是 VanDyke Software 出品的 Windows 平台 SSH 客户端，X64 版本针对 64 位系统优化，ZWT 则代表这个发布包附带了一套可用的授权处理方案。对于每天要连几十台 Linux 服务器、网络设备或跳板机的运维和嵌入式工程师来说，SecureCRT 的会话管理、标签页、脚本自动化能力确实比 Windows 自带的 OpenSSH 命令行好用很多，这也是它发布多年仍然有人找老版本的原因。

这次拿到的标题里有两个关键限定词：Build 2579 和 Windows X64。前者说明这是一个具体版本快照，意味着后续的补丁、配置技巧都必须围绕这个 Build 号展开，拿 9.3 或 9.7 的经验硬套会翻车；后者说明安装包是 64 位构建，与 32 位版本在安装路径和某些功能支持上存在差异。加上 ZWT，这个版本本质上是官方原版程序加授权工具的组合包，适合那些既想要官方程序行为，又不想被授权流程卡住手脚的用户。个人建议刚接触 SecureCRT 的人从这个版本起步，它的配置方式和现代版本一脉相承，踩坑经验也不会浪费。

2. 安装前准备：确认系统环境、版本选型和安装包校验

2.1 操作系统兼容性与 Windows 版本要求

SecureCRT 9.1.0 的官方支持范围覆盖 Windows 7 SP1、Windows 8.1、Windows 10、Windows Server 2012 R2 及更新版本。理论上是能覆盖大多数存量机器的。但我实际见到的坑基本都集中在两类环境上：一是 Windows 7 老机器装了精简版系统，缺 VC++ 运行库；二是 Windows 11 新机器用了 N 版或 LTSC 版系统，缺少媒体功能组件。

这里要先纠正一个常见误判：很多人在 Windows 11 上安装 SecureCRT 9.1.0，弹出来一个 .NET Framework 报错，第一反应是系统坏了。实际上 SecureCRT 9.x 的安装引导依赖 .NET Framework 4.8 或 4.8.1 的累积更新，Windows 11 22H2 之后的版本默认带 4.8.1，但 Windows 11 Enterprise LTSC 2024 这类精简过组件的版本不一定带全。装之前先检查一下，比装到一半再去补运行库要省事得多。

检查方式有两种。图形界面下打开“启用或关闭 Windows 功能”，确认 .NET Framework 3.5 和 4.8 系列是勾选状态；命令行下可以用 dism 直接查询。

dism /online /Get-FeatureInfo /FeatureName:NetFx3 | findstr /i "状态 State" dism /online /Get-FeatureInfo /FeatureName:NetFx4 | findstr /i "状态 State"

这段命令分别在检查 .NET Framework 3.5 和 4.x 的启用状态，输出里的 State 字段如果是 Enabled 就说明没问题。第一个 FeatureName 对应的 NetFx3 在 Windows 11 上默认是关闭的，SecureCRT 主程序不一定强依赖它，但安装引导程序有概率调用，建议一并打开。

如果你是 Windows 11 24H2 用户，还需要额外留意一个点：这个版本对旧签名驱动的加载策略更严，某些老版本的虚拟串口驱动或 USB 转串口驱动会直接被系统拒载。SecureCRT 本身是纯应用软件，不涉及驱动，但它要连的终端设备可能涉及。装完软件连不上设备时，先查驱动，不要第一时间怀疑 SecureCRT。

2.2 X64 版本与 32 位版本的差异：为什么建议直接选 X64

标题里明确写了 Windows X64，这是有讲究的。SecureCRT 9.1.0 同时提供 32 位和 64 位安装包，但很多老用户从 8.x 时代带过来的习惯是装 32 位版，理由是兼容性好、插件多。这个理由在 9.1.0 上已经不成立了。

64 位版本的差异点主要体现在三处。第一，内存寻址空间大，处理超长会话日志、大规模 session 文件导入导出时不容易卡死；第二，默认安装路径在 Program Files 下，UAC 虚拟化行为更规范，配置写入不会因为权限问题被重定向到兼容性目录；第三，SecureCRT 9.x 对 OpenSSH 新密钥算法的支持在 64 位版本上更完整，某些新算法只在 64 位构建里启用。

不过也要说句公道话，32 位版本并没有被抛弃。如果你还在用 Windows 7 32 位系统，那就只能装 32 位版；如果你有老的 ActiveX 脚本组件依赖 32 位 COM 注册，也可能被迫用 32 位版。做选型时先确认自己有没有这类硬依赖，没有就直接上 X64。

2.3 安装包完整性校验：用哈希确认是官方原版而不是二次打包

既然标题强调官方原版，那安装包的完整性校验就是安装前最值得花两分钟做的事。ZWT 发布的资源里通常附带一个文件哈希清单，常见格式是 SHA-256。不要只看文件大小，也不要只看 zip 能不能解压，这些都是可以伪造的。

校验方法在 Windows 11 上很简单，PowerShell 一行命令就能出结果。

Get-FileHash .\SecureCRT_9.1.0_Build2579_Windows_X64.zip -Algorithm SHA256

把输出值与发布方提供的官方哈希逐字符比对。这里有一个实际经验：很多二次打包版本会往安装目录里塞额外的注册表清理脚本或“绿色版启动器”，这些文件的特征很难从文件名看出来，但哈希一比对就露馅。哈希对不上时不要强行安装，宁可回去重新下载原始包。

比对哈希这件事，本质上不是防 ZWT 的，因为 ZWT 包本身就是二次封装的。防的是那些拿着 ZWT 名字做二次投毒的第三方站点。下载渠道越杂，越要做这一步。

2.4 安装步骤与安装目录的路径规划

实际安装过程没有特殊之处，双击安装包后一路 Next 就可以，但有几个选项需要刻意处理。第一，安装类型建议选 Custom 而不是 Typical，这样可以取消勾选 Desktop Shortcut 之外的非必要组件；第二，安装路径可以自定义，但要避开带空格的目录或中文目录，某些老版本脚本对路径解析有问题，虽然 9.1.0 已经改善，但没必要赌；第三，勾选“为所有用户安装”时要注意，这会把配置模板写到 All Users 下，多个 Windows 账号共用同一台机器时要考虑配置文件隔离问题。

安装完成后先不要启动程序，直接进入下一步的授权处理。先启动再破解的后果是：程序会在 %APPDATA%\VanDyke\Config 下生成一份初始配置，某些情况下这份配置会干扰后续的授权文件加载。我见过很多次先运行后激活导致 license 始终不被识别的情况，重置配置目录才能恢复，白白浪费半小时。

安装前还有一个对国内网络环境特别实用的提醒：SecureCRT 安装完默认会检查更新，如果公司网络有代理限制，这个检查会卡住安装向导的收尾阶段。安装时直接断网，或者在向导里取消 Check for updates 勾选，能省掉很多等待时间。

3. ZWT 授权处理与激活验证：把 license 和配置目录的关系弄清楚

3.1 ZWT 补丁到底做了什么：注册机与文件补丁的常规原理

到这里必须先放下对“破解”二字的情绪偏见，弄清 ZWT 补丁的工作原理。市面上针对 SecureCRT 的授权处理大致分两类，一类是 keygen 注册机，生成一个合法的 license 字符串；另一类是文件补丁，直接替换或修改主程序。ZWT 这两个都会涉及，但多数版本以注册机为主。

keygen 的原理是基于 SecureCRT 的 license 校验机制做逆向。VanDyke 的产品用的是特征码加签名的验证方式，注册机会根据收集到的机器特征信息生成一个能通过校验的 license。SecureCRT 在每次启动时校验 license 的签名和有效期，校验逻辑在主程序里，所以有些版本单纯靠注册机是不够的，还要配合一个补丁文件去屏蔽程序内的重复校验逻辑。

这里有一个很关键的认知：ZWT 补丁针对的是特定 Build 号，只能用于对应版本。9.1.0 Build 2579 的程序和 9.3、9.7 的校验逻辑不同，拿 9.3 的注册机去激活 9.1.0，大概率提示 invalid license。这也是为什么标题里把 Build 号写到这么精确，Build 号就是补丁的匹配标识。

3.2 首次授权操作流程：从解压补丁包到写入 license

整个授权处理流程可以拆成四步，按顺序做基本不会出问题。

第一步，把下载的补丁包解压到独立目录。注意，补丁包里的文件不要直接解压到 SecureCRT 安装目录，先放临时文件夹，因为里面通常有说明文件和注册机可执行文件，这些不需要留在安装目录里。

第二步，直接运行注册机。注册机一般不需要管理员权限，但建议先把杀毒软件对目录的实时监控暂时关掉，或者把注册机目录加入排除项。这是因为注册机的行为特征容易触发 Defender 的启发式查杀，不排除的话注册机可能直接被隔离，连界面都看不到。

第三步，在注册机界面里填写注册信息。常见字段包括 Name、Company 和 Serial Number。有些注册机需要选择运行模式，注意看是否有 Enterprise 和 Standard 的选项，版本类型不同对应的 license 内容也不同。

第四步，点击生成 license，把生成的 license 字符串完整复制。

实际操作中第二步到第三步之间还有一个隐藏细节：部分 ZWT 包要求先运行一个 patch 程序，再运行 keygen。判断方法很简单，看补丁包里有没有单独的可执行文件，文件名通常带 patch 或 keygen 字样。如果 patch 和 keygen 都存在，先 patch 主程序文件，再生成 license。如果搞反了顺序，激活后第一次启动能通过，重启后又恢复未授权状态。

注意：注册机目录被安全软件隔离后，即使恢复文件也可能导致注册机自校验失效。正确做法是重新解压整个补丁包，加入排除项后再运行。

3.3 把 license 写入 SecureCRT 的三种途径

license 字符串生成后，写入 SecureCRT 有三种途径，按推荐程度排序。

第一种，命令行静默输入。在安装目录下执行下面这段命令，效果是直接把 license 注入到注册表对应位置。

SecureCRT.exe /license:此处粘贴完整license字符串

命令执行后 SecureCRT 会快速启动一次然后退出，如果 license 合法，下次正常启动就是已授权状态。这个方式的优势是绕过了图形界面的输入框，避免粘贴过程中被截断或触发激活向导的二次校验。

第二种，图形界面手动输入。首次启动时激活向导会要求填写 license，把注册机生成的 Name、Company、Serial Number 和 license 字符串分别填入对应字段。这种方式直观，但失败率略高，常见坑是 license 字符串粘贴时混入了换行符，导致校验失败。

第三种，配置文件写入。编辑 %APPDATA%\VanDyke\Config\SecureCRT.ini 文件，在 [License] 段里填入手动加密过的 license 信息。这种方式不推荐，因为配置文件的 license 字段不是明文，需要借助工具转换，普通用户操作容易出错。

我最常用的是第一种，稳定且快速。执行完命令后可以立刻跑一次版本检查确认状态，下面这段命令能用的话，说明授权已经落进注册表了。

SecureCRT.exe /v

命令输出会显示当前版本和授权信息。如果这里显示的还是 Evaluation 或 Trial 字样，说明 license 没有写进去，回到第三步重新生成。

3.4 常见授权失败的现象、原因和对应解法

授权失败是几个问题里最频繁的，把高发案例按现象列出来，对号入座解决。

现象一：license 提示有效，但每次启动都说 Evaluation expired。引发该问题的最常见原因是系统时间被回拨过，SecureCRT 会把时间戳记录在配置目录里，license 校验发现系统时间早于上次运行时间，就会认定授权被篡改。这种情况不用重新破解，校正系统时间和时区，删除配置目录下的某个缓存文件，重新启动即可。

现象二：补丁执行后主程序无法启动。这不是授权问题，是补丁文件被杀毒软件拦了一部分，主程序被改了一半。解决方法是重新安装一份干净的 SecureCRT，加白名单后重新打补丁。不要尝试在损坏的程序上反复打补丁，会越打越乱。

现象三：license 被识别为 Professional 而非 Enterprise。这个在虚拟机上跑 SecureCRT 时遇到过，属于注册机选择版本类型时选错了。如果对功能差异敏感，回头重开注册机，把版本类型切到 Enterprise 再生成一次。

现象四：ZWT 注册机生成的 license 在其他电脑上无效。这涉及到机器特征绑定，SecureCRT 的 license 会绑定硬件特征，不同机器的注册机输出不能互换。个别版本若支持“通用激活”模式，可以绕过绑定，但这类方法不可靠，建议不要跨机器混用。

提示：每次重装系统后用旧的 license 备份去激活是行不通的，因为机器特征已经变了。重新用注册机生成才是正道。

4. 跑通第一个会话并用命令验证：连接配置与终端环境的三个基本参数

4.1 新建 SSH 会话的完整配置路径

授权完成后，下一步就是用真实服务器验证 SecureCRT 是否完全可用。新建一个 SSH 会话，路径是 File -> Connect -> New Session，或者直接用工具栏的新建按钮。走到协议选择页面，确认选择 SSH2 而不是 SSH1。现在的主流服务器基本都移除了 SSH1 支持，选错协议会直接连接失败。

协议选择完成后，进入主机名、端口、用户名配置页。这里的主机名可以填 IP 也可以是域名，但建议先填 IP 做连通性验证，排除 DNS 解析的干扰。端口默认 22，如果你的服务器改了 SSH 端口，这里要同步改。用户名填写登录账号，但别急着填密码，SecureCRT 会在连接时提示输入。

还有一个参数容易被忽略：Protocol 下方的 Firewall 下拉框。很多人从网上复制配置，不小心把这里设置成 HTTP 代理，导致后续连接全部失败。正常情况应该保持 None 不变。

4.2 会话选项里的三个必调参数：字符编码、终端类型和缓冲区

进入会话属性后，有三个参数对实际使用的体验影响最大，也是新手最容易忽略的。

第一个是字符编码。路径在 Session Options -> Terminal -> Appearance -> Character Encoding。默认值通常是 UTF-8，但如果你连的是老交换机或某些国产设备，默认可能是 GBK。编码选错的表现是中文显示成乱码，命令能执行但输出不可读。我一般会先用 UTF-8 连一遍，如果乱码再切 GBK，结合设备型号判断，不要来回盲试。

第二个是终端类型。路径在 Session Options -> Terminal -> Emulation，默认 Terminal Type 通常是 xterm。这个值要和服务器端 TERM 环境变量匹配，否则像 top、vim 这类全屏程序会显示错位。切换到 vt100 或 linux 可以解决特定设备的花屏问题。

第三个是缓冲区行数。路径在 Session Options -> Terminal -> Scrollback，默认值可能只有几百行，查看长时间运行的日志时会发现滚不到最上面。建议改成 5000 或更大。这个参数不会消耗太多资源，但能明显改善排障体验。

这三个参数设置完，连接一台新设备时出现问题的概率会下降很多。

4.3 快速验证授权和终端环境的一行命令

配置完成后先别急着跑业务命令，用下面这行组合命令把基本环境探一遍。

echo "=== version check ===" && whoami && pwd && locale | head -5

这行命令在 Linux 服务器上执行，会依次输出当前登录用户、当前目录和语言环境。重点是看两个输出：whoami 的结果是否和预期账号一致，locale 里的 LANG 字段是否为 UTF-8。这两个点能暴露大部分会话配置问题，比直接跑业务命令更容易定位。

如果发现 whoami 输出的账号不对，回到会话配置里检查用户名填写错误；如果 locale 显示非 UTF-8，回到字符编码设置里核对。

4.4 用日志功能反向确认 SecureCRT 会话正常

SecureCRT 自带会话日志功能，能在不干扰操作的前提下记录所有终端输入输出，这个功能对验证安装是否正常很有帮助，尤其是怀疑有未知配置干预时。在会话窗口的 Session -> Log Session 中开启即可，默认会生成一个带时间戳的文件。

日志默认路径在 %APPDATA%\VanDyke\Config\Logs 下。开启日志后执行几条简单命令，比如 ls、date，然后打开日志文件确认内容完整。如果日志里能看到完整回显且没有乱码，说明 SecureCRT 的终端处理链路、编码转换、缓冲写入全都正常，整条链路就是通的。

注意：日志功能记录的是明文内容。涉及密码、密钥的操作不要开着日志执行，敏感操作做完记得立即关掉日志。

5. 避坑：SecureCRT 9.1.0 在 Windows 上最常踩的五个坑

5.1 杀毒软件把注册机当病毒删掉

现象：下载的 ZWT 补丁包解压后，keygen.exe 刚双击就没影了；或者刚运行杀毒软件弹出隔离提示，注册机直接被删除。

原因：注册机程序的代码特征与恶意软件有相似之处，杀毒软件的启发式扫描会将其判定为 HackTool 或 RiskWare，这属于误报，但行为特征确实容易被触发。

解决：把补丁包解压目录加入 Windows Defender 排除项，或者临时关闭实时保护。注意，加入排除项要在解压前做，否则解压出来的注册机仍然会被扫描到。Defender 排除路径可以用下面命令添加：

Add-MpPreference -ExclusionPath "C:\SecureCRT_9.1.0_ZWT"

添加后重跑一遍注册机，确认能正常打开界面。如果仍然被杀，换个解压目录再试，某些目录会触发额外的行为监控。

提示：不要直接关闭 Windows Defender 的全部防护功能，只排除补丁包所在目录即可。补丁操作完成后可以立即删除该目录里的注册机，避免后续误报。

5.2 补丁替换了错误目录导致 SecureCRT 闪退

现象：补丁执行后，SecureCRT 双击无响应、闪退或者提示缺少 DLL。

原因：补丁程序默认查找的是默认安装路径，如果你自定义过安装目录，补丁会找不到目标文件。此时补丁往往不会报错，而是假装成功，实际上没有修改正确文件。

解决：安装 SecureCRT 时保持默认安装路径，或补丁执行时手动把路径指向实际安装目录。最简单的是重装一次，用默认路径安装，再跑补丁。补丁执行完成后，去安装目录确认主程序文件是否被替换，重点观察文件日期和文件大小，这两个字段能快速判断补丁是否真正生效。

5.3 Windows 11 上启动异常，提示缺少 .NET 运行环境

现象：双击 SecureCRT 后提示找不到 .NET Framework 或 Microsoft 未注册的异常，程序无法启动。常见于 Windows 11 的 LTSC 版本或精简版系统。

原因：SecureCRT 9.1.0 的安装引导和部分界面功能依赖 .NET Framework 4.8 及以上版本，精简版系统默认未安装完整运行库。

解决：先补运行库再启动程序。安装完成后重启一次再跑 SecureCRT。如果还是不行，用 PowerShell 执行系统文件检查，确认系统组件没有损坏。

sfc /scannow

这个命令会扫描系统核心文件并修复损坏项。若返回值表明有修复，重启后重新运行 SecureCRT。仍然失败的话，再确认一下 .NET Framework 3.5 功能是否启用，某些依赖库的老组件需要它做基础。

5.4 会话配置被旧版本覆盖，登录凭据和密钥丢失

现象：之前用了 8.x 版，升级到 9.1.0 后所有会话配置丢失，或者登录账号密码变成空白。

原因：SecureCRT 9.x 的配置目录与 8.x 不同。8.x 时期的配置放在 %APPDATA%\VanDyke\Config 下，9.x 虽然也在这个路径，但目录结构有调整，且 9.x 首次启动会生成新的默认配置，如果旧配置没有正确迁移，会被新配置默认值覆盖。

解决：升级前先备份整个 %APPDATA%\VanDyke\Config 目录。恢复时先关闭 SecureCRT，把备份的 Config 文件覆盖回去，再启动。如果正常情况下的配置导出导入功能也失效，手动复制配置文件是最可靠的办法。注意要连同子目录一起复制，不要只拷几个文件。

5.5 激活后状态显示正常，但连接生产环境时被安全策略拦截

现象：授权激活成功，本地会话能正常建立，但连接某些生产服务器时被拒绝，提示协议错误或 host key 不匹配。

原因：生产服务器的 SSH 版本较老或为了安全禁用了一些算法，而 SecureCRT 9.1.0 默认启用的算法和 KEX 协商方式与服务器不匹配。多数情况是服务器端或客户端某一方的密钥算法、加密算法交集中没有共识。

解决：在会话属性中调整 SSH2 算法选项。路径是 Session Options -> Connection -> SSH2，把 KEX、Encryption、Authentication 里的算法选项调整到与服务器兼容的范围。如果不知道服务器支持哪些算法，先执行下面的命令看服务端的算法列表，再回来逐项匹配。

ssh -Q kex ssh -Q cipher

输出内容会列出当前 OpenSSH 支持的所有算法，依据结果在 SecureCRT 里勾选对应项。调整时建议一次只改一个参数类别，方便定位是哪一层的协商失败。

6. 进阶：用命令行操作和会话脚本把 SecureCRT 用得更顺手

6.1 命令行静默启动与按名称连接

SecureCRT 支持命令行参数，这条特性用好了比点图标启动高效得多。安装目录下直接执行下面这条命令，可以打开指定名称的会话：

SecureCRT.exe /S "会话名称"

这里的会话名称是 SecureCRT 会话管理器中保存的名字。配合 Windows 的快捷方式或者第三方启动器，可以做到一键进入常用设备。我在管理多台服务器时，会为每台设备创建独立的桌面快捷方式，参数里指定不同的会话名，省去每次打开 SecureCRT 再点连接的动作。

这个命令行参数在排障时也有价值。当 SecureCRT 图形界面无法启动时，先用命令行尝试加载会话，能把配置问题与程序问题分开判断。

6.2 定制会话图标和配色方案，减少连续操作时的视觉疲劳

SecureCRT 的会话列表支持自定义图标和配色方案。右键会话名称，选择 Properties，在 General 页可以给会话指定图标，外观页可以指定配色。这个设置对长时间盯终端的人很实用，用不同颜色区分生产环境和测试环境，能有效防止误操作。路径是 Options -> Global Options -> General -> Appearance，这里可以配置默认配色方案，也可以定义新的配色模板。

配色方案可以直接复制到别的机器。配置文件是 %APPDATA%\VanDyke\Config\Schemes 目录下的 .ini 文件，拷贝覆盖对应版本即可。我的习惯是把生产环境配成深色背景、红色字体强调，测试环境用浅色背景，五台机器同时开着也能一眼分清当前在哪个环境。

6.3 会话脚本实现自动登录：避开明文密码的坑

SecureCRT 的脚本功能比大多数命令行终端强，它支持用 VBScript 或 Python 控制会话。最常见的用途是自动登录跳板机，再跳到目标机器。下面这段 VBScript 就是一个最小可用的自动登录示例：

Sub Main crt.Screen.Synchronous = True crt.Screen.Send "ssh jumpuser@jumphost" & vbcr crt.Sleep 2000 crt.Screen.Send "JumpPassword" & vbcr crt.Sleep 3000 crt.Screen.Send "ssh targetuser@targethost" & vbcr crt.Screen.Send "TargetPassword" & vbcr End Sub

代码的逻辑很简单：模拟人工输入 SSH 登录命令，等待两秒，发送跳板机密码，再等三秒，发送目标机登录命令和目标机密码。这里把密码写死在脚本里，仅适合个人测试环境，生产环境绝对不要这么干。更安全的方式是把密码放在 SecureCRT 的凭证管理器里，让脚本只负责执行命令，不接触密码明文。

脚本保存为 .vbs 文件后，在 SecureCRT 的 Session -> Run Script 里执行。首次运行会弹一次安全确认，确认后后续运行不再弹窗。需要定时执行的场景，可以配合 Windows 任务计划程序调用 crt 的脚本命令实现，但要注意脚本里调用的 crt.Sleep 时间要根据网络实际延迟调整，设太短会因服务器响应慢而错过登录提示。

6.4 SSH 密钥登录与 ssh-agent 转发配置

密钥登录是避免在脚本里写密码的更优解。先确认本机是否已生成密钥对，如果没有，用 SecureCRT 自带的 Key Generation 向导生成，也可以直接使用 OpenSSH 命令生成：

ssh-keygen -t ed25519 -C "securecrt-901"

生成后把公钥内容追加到服务器的 ~/.ssh/authorized_keys 文件里。然后在 SecureCRT 会话属性中，把认证方式改为 PublicKey，私钥路径指向刚生成的密钥文件。连接测试成功后，开启 ssh-agent 转发，路径是 Session Options -> Connection -> SSH2 -> Authentication，勾选 Allow agent forwarding。

这样配置后，跳板机登录目标机时不再需要输入密码，凭据链完全依赖本机私钥，比密码脚本安全得多。缺陷是私钥文件本身需要妥善保护，File -> Settings 中打开密钥管理，建议导出私钥并离线备份。私钥一旦泄露，等于把目标服务器权限拱手让人。

注意：ssh-agent 转发开启后，目标服务器会继承本机的 agent 能力。在不可信的目标机上操作时，先关闭转发，防止目标机管理员利用 agent 管道劫持你的本机密钥信息。保守原则是只在自有服务器上开启。

最后说一个我用 SecureCRT 多年的习惯：安装任何版本之前，先备份整个 Config 目录；配置类软件最怕的不是功能不够，而是旧习惯没带走。SecureCRT 9.1.0 配合 ZWT 补丁的这条路，本质上是一套完整的 Windows 环境下的 SSH 终端工作台，跑通之后能明显感觉到日常设备管理的效率变化。希望这篇整理能帮你少走半天弯路。

本文还有配套的精品资源，点击获取