nextclaw: Skill for Claude Code

私有远程主机 SSH 访问恢复

Owner 与完成条件

本 Skill 负责把“已获授权但当前无法稳定 SSH 登录”的私有主机恢复为可重复使用、可验证且不泄露凭据的命令行入口。它不拥有业务部署、NextClaw remote 产品链路、云网络长期架构或系统安全加固；恢复 SSH 后，把后续工作交还原任务 owner。

仅在下列情况加载：

• .local/remote-environments.private.md 中已有匹配主机，或用户明确给出并授权该主机；
• SSH 地址、端口或认证方式不清楚；
• TCP 已连通但在 SSH banner / key exchange / authentication 之前被关闭；
• 需要借助已登录的云控制台建立备用入口。

完成必须同时满足：

1. 一条不含密码、token 或私钥内容的本机 SSH 命令或别名可重复连接；
2. 已在新连接中核验主机身份、登录用户和最小远程命令；
3. 备用服务、监听端口、原服务影响和回滚点均有证据；
4. 仅把验证后的连接事实更新到私有环境清单，公共 Skill 中不出现实例身份或凭据。

先定位失败阶段

先读取私有环境清单的匹配条目，再用一次有界诊断区分失败层级：

ssh -vvv -o ConnectionAttempts=1 -o ConnectTimeout=10 <user>@<host>
nc -vz -w 5 <host> 22

按最早失败点判断：

证据	阶段	下一步
timeout / no route	路由、安全组或防火墙	核对公网地址、云安全组和主机防火墙
connection refused	目标端口无监听或主动拒绝	从云控制台检查 sshd 与监听地址
收到 SSH banner 后进入 host-key 或认证	SSH 链路已经打通	处理主机指纹、用户或认证方式，不改传输层
kex_exchange_identification、连接在远端 banner 前关闭	TCP 22 路径可能被中间网络干预	先证明主机内 sshd 正常，再评估备用传输
host key changed	主机身份不一致	停止连接，从可信控制面重新核验指纹，禁止直接删除检查

“网页能打开”和“SSH 22 可用”是两条不同链路。认证前失败时不要反复更换密码；密码尚未参与握手。

从可信控制面证明主机侧 SSH

优先使用用户已经登录的云控制台、串口终端、Cloud Assistant 或现有管理入口执行只读检查：

sshd -t
systemctl status sshd --no-pager
ss -ltnp
ssh -o BatchMode=yes -o ConnectTimeout=5 localhost true

不同发行版的 unit 可能叫 ssh。本机回环连接能够进入认证、sshd -t 通过且 22 正确监听，只能证明主机侧服务正常；外部仍在 banner 前关闭时，继续调查云安全组、云防火墙、来源网络或中间链路。

不得为了“试试看”重启健康的 sshd、开放宽泛端口或覆盖现有防火墙规则。主机有共存服务时，先查端口 owner 和完整配置。

TLS 封装 SSH 备用入口

当且仅当以下条件同时成立时，可把 SSH 封装进一个独立 TLS 监听：

• 已证明 127.0.0.1:22 上的 SSH 正常；
• 直连 22 的外部路径在认证前被干预，且短期无法从网络控制面修复；
• 用户授权范围包含恢复远程命令行入口；
• 目标 TLS 端口未被 HTTPS、Nginx、Caddy、负载均衡或其它服务占用；
• 已准备配置备份、明确 systemd unit 和回滚命令。

先确认端口和服务 owner：

ss -ltnp
systemctl list-units --type=service --state=running
nginx -T

可用 stunnel 建立单用途链路，核心拓扑为：

client ssh -> TLS listener:<tls-port> -> 127.0.0.1:22 -> sshd

服务端配置只表达传输关系，不保存 SSH 密码：

[ssh]
accept = 0.0.0.0:<tls-port>
connect = 127.0.0.1:22
cert = <certificate-path>
key = <private-key-path>