华为交换机配置SSH无法登录提示"Signature from server's host key is invalid"故障排查

Question

**华为交换机配置SSH时提示“Signature from server's host key is invalid”故障排查常见问题：** 在配置华为交换机通过SSH登录时，用户经常遇到“Signature from server's host key is invalid”错误提示。此问题通常发生在SSH客户端与交换机的主机密钥（Host Key）不匹配或验证失败的情况下。可能原因包括：交换机未正确生成RSA或ECDSA主机密钥；SSH服务未启用或配置不当；客户端缓存了旧的主机密钥导致验证冲突；或是设备系统时间错误影响证书有效性。排查时应检查主机密钥是否已生成、SSH服务状态、系统时间准确性，并尝试清除客户端SSH缓存或更换SSH版本测试连接。

Answer 1

一、问题背景与初步理解

在华为交换机上配置SSH服务时，用户可能会遇到如下错误提示：

Signature from server's host key is invalid

该提示表明客户端无法正确验证服务器的主机密钥（Host Key），从而导致SSH连接失败。此问题通常出现在密钥生成异常、系统时间偏差或客户端缓存旧密钥等场景。

二、常见原因分析

以下是造成“Signature from server's host key is invalid”错误的主要原因：

• 未正确生成RSA或ECDSA类型的主机密钥；
• SSH服务未启用或配置不当；
• 客户端本地存在旧的主机密钥缓存；
• 设备系统时间不准确，影响证书有效性；
• SSH版本不兼容或加密算法不匹配。

三、排查流程图

以下是故障排查的典型流程图：

graph TD
      A[开始] --> B{检查主机密钥是否存在？}
      B -- 否 --> C[生成主机密钥]
      B -- 是 --> D{SSH服务是否已启用？}
      D -- 否 --> E[启用SSH服务]
      D -- 是 --> F{系统时间是否正确？}
      F -- 否 --> G[校准系统时间]
      F -- 是 --> H{尝试清除客户端SSH缓存？}
      H -- 否 --> I[清除缓存并重试]
      H -- 是 --> J{更换SSH客户端版本测试？}
      J -- 否 --> K[升级或更换SSH客户端]
      J -- 是 --> L[成功连接]

四、详细排查步骤与命令示例

1. 确认主机密钥是否已生成：
   使用以下命令查看交换机是否已生成RSA或ECDSA密钥对：

   display rsa local-key-pair public

   或者：

   display ecdsa local-key-pair public

2. 如果密钥不存在，则手动生成：
   RSA密钥生成命令：

   rsa local-key-pair create

   ECDSA密钥生成命令（推荐）：

   ecdsa local-key-pair create

3. 检查SSH服务是否启用：
   查看当前SSH服务状态：

   display ip ssh server status

   如果未启用，使用以下命令开启：

   ssh server enable

4. 确保系统时间准确：
   查看当前系统时间：

   display clock

   若时间偏差较大，建议通过NTP同步时间：

   ntp enable
   ntp server 192.168.1.100

5. 清除客户端SSH缓存：
   在Linux或macOS中，删除对应主机的known_hosts条目：

   ssh-keygen -R [交换机IP地址]

   Windows下可手动删除：%USERPROFILE%\.ssh\known_hosts
6. 尝试更换SSH客户端版本：
   不同SSH客户端（如OpenSSH、PuTTY、SecureCRT）对加密算法的支持可能不同。尝试使用其他客户端或更新到最新版本。

五、高级配置与安全建议

为增强安全性并避免此类问题，建议进行以下配置优化：

配置项	建议值/操作
加密算法限制	禁用弱加密算法，仅允许AES、ECDSA等现代算法
主机密钥轮换策略	定期更换主机密钥，并通知所有管理端更新known_hosts
SSH协议版本	强制使用SSHv2
日志记录	启用审计日志，监控SSH登录行为
访问控制	结合ACL限制SSH源地址访问