1. 为什么都2026年了我还在给Win7折腾OpenSSH先交代一下背景。单位那边还有一批老旧的Windows 7工控主机跑着生产线上的检测软件系统不能随便换软件也只认Win7。但设备每天要往服务器传检测数据之前用的是FTP明文传输密码和文件内容等于裸奔。后来安全审计要求所有数据传输走加密通道SSH是最直接的选择。可问题是微软官方从来就没有给Windows 7提供过原生的OpenSSH组件Windows 10 1809以后才内置了OpenSSHWin7用户只能自己想办法。这个需求拆开看其实是两个方向一个是把Win7当成SSH客户端用主动连到Linux服务器上去执行命令、传文件另一个是把Win7当成SSH服务端让其他机器能通过SSH连进来远程操作这台Win7。标题里要求“客户端及服务”都实现等于两头都要打通。我这次是把这两件事都完整做了一遍中间踩了不少坑把能稳定复现的坑和解法都记录下来了有同样需求的可以直接照抄。先说结论Windows 7上装OpenSSH完全可行而且不需要升级系统。客户端用Win7自带的PowerShell配合第三方SSH工具能解决服务端用Win32-OpenSSH项目提供的二进制包就能跑起来。下面从选型、安装、配置、使用、排障五个环节逐步拆开讲。2. 从哪拿一个靠谱的Win7可用OpenSSH版本很多人卡在第一步不知道去哪下载、不知道下哪个版本。GitHub上搜OpenSSH能找到一堆仓库但真正能用在Win7上的选择其实没那么多这里把靠谱的渠道和一个容易踩的坑都讲清楚。2.1 首选Win32-OpenSSH兼容性最稳GitHub上有一个叫PowerShell/Win32-OpenSSH的官方迁移项目这是微软自己维护的仓库专门把OpenSSH移植到Windows平台。它同时提供OpenSSH客户端和服务端二进制支持Win7及以上系统这正是最好的来源。下载的时候要注意版本选择。这个仓库的Releases页面会发布类似OpenSSH-Win64.zip和OpenSSH-Win32.zip这样的压缩包直接下载对应系统架构的zip包即可。解压后目录结构大致是这样的OpenSSH-Win64/ ├── scp.exe ├── sftp.exe ├── ssh.exe ├── ssh-add.exe ├── ssh-agent.exe ├── ssh-keygen.exe ├── ssh-keyscan.exe ├── sshd.exe ├── sftp-server.exe ├── sshd_config ├── moduli └── etc/需要注意系统的位数。Win7有32位和64位两种版本先按Win Pause快捷键打开系统属性确认一下系统类型。64位系统就下OpenSSH-Win64.zip32位就下OpenSSH-Win32.zip别下反了否则exe文件根本跑不起来。另外这个仓库还提供OpenSSH-Win64.msi安装包双击就能装会自动配置好服务。但实测下来.msi安装方式在Win7上偶尔会因为缺少VC运行库报错不如zip解压方式干净利落。后面讲服务端安装时会详细说先记住zip方式是最稳妥的。2.2 警惕第三方修改版和其他野路子网上还有一些文章推荐从一些小型个人站点下载所谓“绿色版”“破解版”OpenSSH这种强烈不建议用。SSH工具涉及加密通信和远程控制第三方修改版完全无法确认它有没有被植入后门一旦被恶意利用后果不是丢几个文件那么简单。生产环境里的机器凡是涉及安全凭证的工具一律用官方维护的仓库这是底线。还有人会想到用Cygwin或者Git for Windows里自带的SSH。这两个确实带ssh客户端但有一个明显缺点依赖Cygwin运行库或Git环境整个依赖链比较重而且它们带的sshd服务端在Win7上配置起来更复杂。如果你只是需要从Win7远程连别人的Linux服务器用Git Bash里的ssh.exe临时救急没问题但是如果要做成服务端让别的机器连进来或者做成一个可管理、可开机自启的SSH服务稳定性和可控性都不如Win32-OpenSSH。3. 客户端搭建让Win7命令行直接连SSH客户端相对简单但也需要做完整的环境配置让系统全局能调用ssh、scp、sftp命令。这里有一个很关键的细节配好环境变量后会省掉后面所有麻烦。3.1 将OpenSSH目录加入系统环境变量下载zip包后先解压到一个固定位置建议放在C:\Program Files\OpenSSH-Win64这种不带空格的英文路径下避免后续配置时路径解析出问题。要注意Win7系统默认的Path环境变量里没有SSH位置所以需要手动配置。操作路径是右键“计算机” → “属性” → “高级系统设置” → “环境变量”。在“系统变量”列表中找到Path点击编辑在变量值末尾追加以下内容注意用分号与前一个路径分隔;C:\Program Files\OpenSSH-Win64配好之后重新打开一个命令行窗口输入ssh -V如果能输出版本号说明客户端已经可用了。这里有个容易忽略的点Win7的命令行窗口不会自动刷新环境变量必须重开一个CMD窗口在旧窗口里怎么验证都是不生效的。另外Win7自带的PowerShell 2.0版本同样支持ssh命令只要环境变量配好了PowerShell里直接敲ssh也能用。3.2 测试SSH连接与常见连接报错处理配好环境变量后先找一个Linux服务器测试一下基本连接。命令格式是ssh 用户名服务器IP如果服务器端口不是默认的22需要用-p参数指定端口ssh -p 2222 用户名服务器IP第一次连接时会提示确认服务器指纹输入yes后再输入密码能正常进入远端Shell即说明客户端工作正常。实测Win7下常见的连接报错主要有两种。一种是ssh: connect to host xxx port 22: Connection refused这是目标服务器的SSH服务没启动或者端口不通检查服务器端即可。另一种是Unable to negotiate with xxx port 22: no matching key exchange method这是因为Win32-OpenSSH较老版本的密钥交换算法列表比较陈旧而新版Linux服务器默认禁用了这些老算法。第二种报错的解法是在用户主目录下新建一个名为C:\Users\用户名\.ssh\config的配置文件写入以下内容Host * HostKeyAlgorithms ssh-rsa PubkeyAcceptedKeyTypes ssh-rsa这个配置的作用是把老版本的ssh-rsa算法重新加到允许列表里。注意一点这里的用户名要替换成实际Windows用户名不要直接照抄。3.3 配置SSH密钥认证告别每次输密码密码登录用起来麻烦还容易被暴力破解。既然客户端已经通了我顺手把密钥认证也配好了这样连服务器不用输密码从Win7到Linux服务器之间的自动化脚本也好写了。在Win7命令行执行以下命令ssh-keygen -t rsa -b 2048一路回车会在C:\Users\用户名\.ssh\目录下生成id_rsa私钥和id_rsa.pub公钥两个文件。然后把公钥内容追加到目标服务器对应用户的~/.ssh/authorized_keys文件中操作是这样的在Win7上先查看公钥内容type C:\Users\用户名\.ssh\id_rsa.pub复制输出的整行内容然后在Linux服务器的目标用户目录下mkdir -p ~/.ssh chmod 700 ~/.ssh echo 粘贴公钥内容 ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys之后再执行ssh 用户名服务器IP就不用输密码了。这一步做成功后后面用scp命令传文件、用sftp命令同步数据都会省事很多。还要提醒一下Win7上生成的id_rsa私钥文件默认权限可能过宽。Win32-OpenSSH的ssh客户端在密钥权限过宽时会直接报错UNPROTECTED PRIVATE KEY FILE。解决方法是右键私钥文件名 → “属性” → “安全” → “高级”把所有者改成当前用户然后删除其他所有用户和组的权限只保留当前用户的“完全控制”权限。4. 服务端安装让Win7也能被SSH连接进来服务端是重头戏也是整个操作里坑最多的地方。实现目标是从局域网内另一台机器比如一台Linux笔记本或另一台Windows机器通过SSH连接到这台Win7能在远端执行命令、传文件。这里需要用到Win32-OpenSSH目录里的sshd.exe以及配套的几个工具。4.1 服务的安装与权限设置还是拿之前解压好的C:\Program Files\OpenSSH-Win64目录来操作。以管理员身份打开命令行窗口进入该目录cd C:\Program Files\OpenSSH-Win64然后执行安装脚本powershell.exe -ExecutionPolicy Bypass -File install-sshd.ps1这个脚本会创建名为sshd和ssh-agent的两个Windows服务。执行完后运行services.msc打开服务管理器在列表里找到OpenSSH SSH Server服务确认它已经存在且没有被标记为错误。如果启动时出现错误最可能是权限问题。sshd在Windows上要求相关的密钥文件和服务配置文件只能被SYSTEM、Administrators组和当前登录的管理员账户访问。最简单的处理方式是在解压好的OpenSSH目录上右键 → “属性” → “安全” → “高级”点击“更改权限”勾选“使用可从此对象继承的权限替换所有子对象的权限”然后把所有者改成Administrators权限列表里把Users组和其他非必要用户全部移除只保留System和Administrators的完全控制权。这个目录权限问题没处理好服务能启动但会反复停止事件查看器里的报错通常是类似sshd: no hostkeys available或者权限拒绝相关的提示后面排障章节会展开说。4.2 配置sshd_config关键参数OpenSSH服务端的核心配置在sshd_config文件里和Linux上的OpenSSH配置语法基本一致。Win32-OpenSSH解压目录下默认就带一个sshd_config建议先用默认配置跑通基本连接再按需修改。默认sshd_config里有几个关键行的含义要清楚配置项默认值作用Port22服务监听端口如被占用可改其他端口如2222ListenAddress0.0.0.0监听所有网络接口如需限制来源可在后面追加多个地址PermitRootLoginyes控制是否允许管理员账户直接登录建议改为noPasswordAuthenticationyes是否允许密码登录按需设置安全要求高则禁用PubkeyAuthenticationyes是否允许密钥登录配合客户端密钥认证使用实测下来如果只是内网环境使用保持PasswordAuthentication yes最简单注意不要将服务直接暴露到公网。如果需要公网访问建议把密码登录关掉强制走密钥认证同时把Port改成一个不容易被扫描的高位端口。Win32-OpenSSH的sshd_config默认已经生成了一组主机密钥host key分别是ssh_host_rsa_key、ssh_host_ed25519_key这类文件一般不需要额外生成。如果该目录下确实没有这些文件可以手动生成ssh-keygen -t rsa -f ssh_host_rsa_key ssh-keygen -t ed25519 -f ssh_host_ed25519_key生成的密钥文件同样放在OpenSSH目录下SSH服务才认得。4.3 防火墙放行规则配置这是最容易忽略、也最容易导致“连不上”的环节。Win7默认防火墙会拦截入站的SSH连接。打开“控制面板” → “系统和安全” → “Windows防火墙” → “高级设置”在左侧点“入站规则”然后点击右侧的“新建规则”。规则类型选择“端口”协议选择TCP端口填22然后选择“允许连接”。应用到所有配置文件规则名称随意起比如OpenSSH Server。我这里踩过一个坑建了规则之后仍然连不上最后发现是Windows防火墙的“入站连接”默认设置里既存在按程序放行的规则又存在按端口放行的规则实际生效顺序有些混乱。更好的做法是新建一条按端口放行的规则并且确认网络配置文件里机器归属的网络类型是“家庭网络”或“工作网络”因为有些公共网络配置文件里冒险猜测放行规则默认不生效。如果你不想去防火墙界面点来点去也可以用命令行直接添加规则。以管理员身份打开CMDnetsh advfirewall firewall add rule nameOpenSSH Server dirin actionallow protocolTCP localport22这个命令行方式更快也更适合批量配置推荐优先使用。4.4 启动SSH服务并验证连接一切配置就绪后通过服务管理器或在管理员命令行中执行net start sshd看到“服务已经启动成功”的提示后在另一台机器上执行ssh AdministratorWin7的IP地址管理员账户登录时Win7默认的管理员账户名可能是Administrator也可能是其他自定义账户名按自己的实际用户名填写。连接成功后命令行提示符会变成Windows风格的远端可以在cmd里执行dir、ipconfig等命令SSH通道本身就建好了。实测Win7的sshd服务在登录时会默认落在C:\Program Files\OpenSSH-Win64\目录下这和其他系统的默认用户主目录行为不太一样。需要修改起始目录的话可以在sshd_config中用ChrootDirectory指令做限定但这属于进阶玩法一般场景不需要动。5. 使用中的细节与稳定性优化服务搭好只是第一步实际用起来会发现Windows的SSH服务端和Linux有很多细节差异。这些差异不处理好功能就用不顺这里把实际使用中最有价值的几个细节整理出来。5.1 通过SSH远程执行Windows命令从远程机器连入Win7后默认Shell是CMD。你可以直接在远端输入Windows命令比如ipconfig /all查看网络配置、systeminfo查看系统详细参数、net user查看用户列表。如果远程机器是Linux那么在Linux上直接用ssh AdministratorWin7IP ipconfig /all会直接把Win7的ipconfig输出回传到Linux终端这种单条命令的远程执行方式非常适合写自动化脚本做巡检。不过要注意通过SSH在Win7上执行GUI程序或者需要交互式界面的操作是不行的比如运行notepad.exe不会弹出记事本窗口。SSH提供的是标准输入输出通道不是远程桌面这一点和Windows远程桌面有本质区别。如果你需要图形界面应该用Windows自带的远程桌面RDP而SSH更适合命令行管理和脚本交互。还可以修改sshd_config里的默认Shell让远程登录后直接进入PowerShell。做法是找到sshd_config里的以下配置去掉前面的注释并修改为#Subsystem powershell C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -NoLogo -NoProfile Subsystem powershell C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -NoLogo -NoProfile还有一处是默认Shell启动方式在最新版Win32-OpenSSH中可以通过设置注册表项来指定默认Shell为PowerShell。具体是打开注册表编辑器定位到HKEY_LOCAL_MACHINE\SOFTWARE\OpenSSH新建字符串值DefaultShell数值填C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe设置后重连SSH远程终端就是PowerShell环境对写脚本修数据友好很多。改注册表有风险操作前建议先备份注册表或创建系统还原点万一改出问题可以直接还原。5.2 配置开机自启动省去手动启动的麻烦Win7里的服务支持“自动”启动类型。打开services.msc找到OpenSSH SSH Server右键属性把启动类型改成“自动”。如果你的Win7是普通台式机、常开机这个设置能保证重启后SSH服务自动就位。如果是笔记本这类经常休眠的设备强烈建议再加一个计划任务防止服务因睡眠被挂起但这个属于锦上添花一般办公场景用不到。另外Win7系统如果休眠后再唤醒SSH服务偶尔会出现“已停止”的状态。我之前遇到过几次远程连接突然断掉检查服务发现变成已停止手动启动又恢复正常。后来查了系统日志大概率是网卡休眠后唤醒时服务未能重新绑定端口导致的。这个问题没有完美的系统级修复方案最简单的预防手段是在电源计划里把“硬盘关闭时间”和“睡眠”设为“从不”同时把网卡的“允许计算机关闭此设备以节约电源”取消勾选能大幅降低这类故障发生的概率。5.3 SSH文件传输scp和sftp在Win7上的使用SSH通道建好之后文件传输就是最直接的需求。从Linux机器往Win7上传文件在Linux上用scpscp /本地路径/filename AdministratorWin7IP:C:/Users/Administrator/这里有个要注意的细节scp的远端路径是Windows风格用C:/这种盘符写法的和Linux的/根路径不一样。目标路径必须写完整盘符否则会出现文件不知传到哪去的情况。下载文件则反向操作scp AdministratorWin7IP:C:/temp/test.txt /本地路径/如果需要在Win7和远端机器之间做更复杂的目录同步可以使用sftp。Win7上安装的Win32-OpenSSH自带sftp-server.exe作为SFTP子系统在sshd_config中默认已经启用了sftp子系统所以Windows服务端天然支持SFTP协议。可以用WinSCP或FileZilla这类图形化SFTP客户端从其他机器连入Win7直接拖拽传文件对不熟悉命令行的人友好很多。实测下来性能是这样的内网千兆环境下scp传输一个100MB的文件大约需要3~5秒速度虽然没到满速但足够日常使用。如果对传输性能有更高要求可以考虑在Win7上同时开启Windows自带的共享或者用SMB协议这个不在本文范围内就不展开了。6. 常见故障排查清单与实测现场到这里基本功能已经全部打通了不过在实际环境里各种奇奇怪怪的问题比想象中的多。整理几个反复遇到且能完整复现的问题每个问题都附了排查思路和建议的操作顺序方便大家按图索骥。6.1 sshd服务启动失败第一件事查系统事件日志Win7的事件查看器是这类问题的第一信息源。打开“控制面板” → “管理工具” → “事件查看器”在“Windows日志” → “应用程序”类别里按时间筛选来源为sshd或OpenSSH的错误事件。我遇到最典型的一次启动失败是手动把OpenSSH目录从D盘挪到C盘之后找不到主机密钥文件。事件日志报错类似sshd: no hostkeys available或sshd: cannot load host key: ssh_host_rsa_key。这种情况不管怎么调sshd_config都没用直接把寄存在目录里的这几个官方生成的密钥文件恢复回来或者重新用ssh-keygen按前面的命令生成一遍问题马上解决。还有一次是Win7自带的杀毒软件或者第三方安全软件拦截了sshd.exe监听端口事件日志里能看到权限拒绝类的记录。这时候要去杀毒软件的白名单里放行sshd.exe或者在“数据执行保护”设置里把sshd.exe加为白名单。6.2 能ping通但SSH连接超时注意防火墙规则与端口占用这种情况最气人目标机器网络通着但ssh命令永远停在建立连接阶段。排查顺序我整理成了一张表建议按顺序操作排查步骤命令/操作预期结果检查服务状态net start或 sc query sshdSSR服务应为RUNNING状态检查端口监听netstat -anofindstr :22检查防火墙规则netsh advfirewall firewall show rule nameOpenSSH Server规则应存在且启用检查管理端口用telnet连一次win7的22端口应能建立连接显示一些初始SSH横幅检查sshd_config查看Port、ListenAddress配置没有语法错误没有被配置成只监听某个特定地址在Win7上执行netstat -ano | findstr :22是最快定位端口是否正常监听的方式。如果看到监听的IP地址不是0.0.0.0而是如127.0.0.1这样的回环地址说明sshd_config中ListenAddress配置写死成了本地回环外部无论如何也连不进来把它改成0.0.0.0或者注释掉即可。6.3 连接成功但登录后立即断开可能是Shell配置问题有时候SSH能连上但登录后还没执行命令就被断开这种问题大多和默认Shell或者用户登录脚本有关。Win32-OpenSSH在Win7上默认使用cmd.exe作为登录Shell如果cmd.exe的初始化脚本AutoRun里写了一些会阻塞的批处理命令会导致SSH进程无法正常完成握手。排查方式是检查注册表里的HKEY_CURRENT_USER\Software\Microsoft\Command Processor\AutoRun和HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor\AutoRun把可疑的阻塞命令清掉。另一个常见被忽略的点是SSH登录用户的主目录权限问题。Win7的SSH默认会把用户的主目录解析成C:\Users\用户名但有时会因为权限问题无法访问导致会话立即终结。解决办法是在该目录上赋予当前账户完全控制权或者用usermod风格的方式在sshd_config里指定用户的主目录Windows下不支持该指令但可以通过修改系统环境变量USERPROFILE来实现不过修改环境变量影响面较大建议先从目录权限排查。6.4 长时间空闲后断连设置保活参数内网环境里SSH会话闲置超过5分钟就容易被网络设备或服务端掐断。这个问题的本质是SSH应用层没有收到任何数据底层TCP连接被中间设备判定为失效。解决办法是在客户端配置允许发送保活包。Win7的客户端配置文件在C:\Users\用户名\.ssh\config没有就新建追加以下内容Host * ServerAliveInterval 30 ServerAliveCountMax 3这个配置会让ssh客户端每隔30秒发送一个保活包连续3次没有收到回应才断开连接。服务端也要配合在sshd_config中开启ClientAliveIntervalClientAliveInterval 30 ClientAliveCountMax 3这两个配置同时设置后SSH会话挂一整天也不会掉。这里解释一下原理TCP层本身有KeepAlive机制但默认两小时才探测一次很多网络设备在5到10分钟无流量就会回收空闲连接所以必须靠应用层的SSH保活机制在更短的时间间隔内维持活跃。这不是Win7特有的问题Linux下也一样。6.5 服务自动停止需要各项权限验证前面提过几次权限问题这里单独拉出来说因为这是Win32-OpenSSH在Win7上最高频的系统级故障。当服务自动停止并且事件日志里没有明确错误原因时优先检查以下三个方面OpenSSH安装目录的所有者是否为Administrators或SYSTEM权限列表中不要包含Users组的读写权限sshd_config、主机密钥文件、moduli文件不能被Users组修改如果用的是非系统盘如D盘路径该磁盘根目录的权限可能默认允许Everyone读写这也会导致sshd认为配置不可信而拒绝启动。把安装目录移到C盘Program Files下权限问题少一半。检查完这三个方面后在管理员命令行里重启服务net stop sshd net start sshd实测上一条权限配置链路走通之后服务就能稳定常驻开机自启也不再有意外失败了。7. 安全加固内网使用也不能裸奔虽然大部分场景是内网使用但安全这层防线不能省。Win7本身已经停止安全更新暴露SSH服务等于额外增加攻击面所以该做的加固项一个都不能少。7.1 强制密钥认证登录在sshd_config里把PasswordAuthentication改成noPasswordAuthentication no这样即使密码泄露攻击者也无法通过密码登录必须有对应的私钥才能进来。公钥认证的私钥文件建议生成时加上passphrase保护并且不要存放在共享目录里。在Win7上尤其注意不要随便把私钥复制到U盘或公共共享盘上这类机器中毒风险本来就高。7.2 更换默认端口并限制来源IP如果端口不换每天被扫描的概率会很高。Win7的sshd_config中修改Port字段Port 22822同时配合防火墙只允许特定IP访问这个端口。比如只允许内网网段192.168.1.0/24访问命令如下netsh advfirewall firewall delete rule nameOpenSSH Server protocolTCP localport22 netsh advfirewall firewall add rule nameOpenSSH Server Secure dirin actionallow protocolTCP localport22822 remoteip192.168.1.0/24这两条命令先删掉旧的22端口放行规则再添加只允许192.168.1.0/24网段访问新端口22822的规则。修改端口后所有客户端连接命令都要相应加-p 22822参数用户要提前周知到位不然会以为服务挂了。7.3 定期检查登录日志与账户安全Win7的SSH登录日志记录在事件查看器的“Windows日志” → “安全”里但默认不开启登录审核策略需要在本地安全策略里开启“审核登录事件”和“审核账户登录事件”然后重启系统才能开始记录。日志分析方面可以使用PowerShell定期检索OpenSSH相关的错误和审核记录。下面这条命令可以把最近30天的成功登录事件导出来powershell -Command Get-WinEvent -FilterHashtable {LogNameSecurity; Id4624} -MaxEvents 200 | Select-Object TimeCreated,Message虽然监控粒度远不如专业日志系统但定期看一眼能发现异常登录尝试。此外强烈建议在Win7本地安全策略里设置账户锁定策略比如连续5次密码错误锁定30分钟能有效阻断爆破尝试。Win7的服务账户本身要遵守最小权限原则不要用系统管理员Administrator做日常SSH登录账户可以新建一个专门的运维账户并把它加入Remote Desktop Users组或者本地Users组按需分配权限。8. 实际项目落地效果与日常维护建议整套方案在产线上跑了将近半年整体稳定。之前每天手工拷贝数据的流程改成了定时脚本自动通过scp上传检测结果服务器端再无明文FTP流量。日常巡检时我从Linux机器SSH登录到这些Win7工控机查看磁盘空间、进程状态、服务状态都很快操作手感和Linux没什么区别只是命令换成Windows风格。这里分享两个日常维护小技巧对实际使用帮助很大。第一个是定时任务的配置。在Linux机器上用crontab定时执行一条SSH命令可以每天自动从Win7拉取日志文件30 2 * * * scp AdministratorWin7IP:C:/logs/app.log /backup/win7-$(date \%Y\%m\%d).log这样就可以做到无人值守的日志备份比给每台Win7装一堆客户端软件干净得多。第二个是遇到远程SSH“假死”时的应急处理。有一种情况是SSH客户端建立连接后输入命令没反应既不报错也不退出。多半是Win7侧进入了睡眠状态。这种情况无法通过SSH自恢复只能通过其他带外管理手段如IPMI、远程管理卡或者让现场同事按电源键唤醒机器。所以前面才反复强调凡是提供服务的Win7主机务必关闭自动睡眠。日常维护最核心的一条建议是不要在Win7上开启不必要的网络服务。SSH解决了远控和文件传输就不要再去额外开共享、远程桌面之类的入口了入口越少风险越小。Win7虽然老但只要合理加固作为内网边缘设备继续服役完全可行。如果后续有条件把机器迁移到Linux或者Windows 10以上系统操作体验会更好但在迁移完成之前这套OpenSSH方案已经能给老旧的Win7注入一针强心剂让它们继续稳定安全地发挥余热。