SSH认证失败：authentication to host failed 常见原因有哪些？

Question

SSH连接时出现“authentication to host failed”错误，常见原因包括：1）用户名或密码错误；2）服务器禁用了密码认证或未启用公钥认证；3）SSH密钥权限设置不当（如私钥文件权限非600）；4）公钥未正确写入目标主机的`~/.ssh/authorized_keys`文件；5）SSH服务配置（sshd_config）中限制了用户、IP或认证方式；6）SELinux或防火墙策略阻止了认证过程。逐一排查可有效定位问题。

Answer 1

SSH连接“authentication to host failed”深度排查指南

在IT运维与系统管理中，SSH（Secure Shell）是远程访问服务器的核心协议。当出现 authentication to host failed 错误时，可能涉及认证机制、权限控制、安全策略等多个层面。以下从浅入深、由表及里地对常见原因进行系统性分析，并提供可操作的解决方案。

1. 用户名或密码错误（基础层排查）

• 最直接的原因是输入了错误的用户名或密码，尤其是在多环境切换时容易混淆。
• 建议使用 ssh user@host -v 启用详细日志输出，观察是否提示 Password authentication failed。
• 确认目标主机用户是否存在：

  id username

• 检查PAM模块是否启用账户锁定机制（如faillock），可能导致临时禁用。
• 若使用跳板机或堡垒机，需确认中间节点的凭证正确性。
• 避免在脚本中硬编码密码，推荐结合密钥+代理转发提升安全性与稳定性。

2. 密码认证被禁用或公钥认证未启用（配置层）

配置项	预期值	文件位置
PasswordAuthentication	yes	/etc/ssh/sshd_config
PubkeyAuthentication	yes	/etc/ssh/sshd_config
ChallengeResponseAuthentication	no	/etc/ssh/sshd_config

修改后需重启服务：systemctl restart sshd，并使用 sshd -t 验证配置语法。

3. SSH密钥权限设置不当（安全模型层）

OpenSSH 对文件权限极为敏感，任意宽松的权限都会导致密钥被忽略。

# 正确权限设置：
chmod 600 ~/.ssh/id_rsa           # 私钥必须为600
chmod 644 ~/.ssh/id_rsa.pub       # 公钥可读
chmod 700 ~/.ssh                  # .ssh目录仅属主可访问
chmod 644 ~/.ssh/authorized_keys  # 实际上建议设为600增强安全
chown $USER:$USER ~/.ssh -R       # 所有权归属当前用户

4. 公钥未正确写入 authorized_keys 文件（数据一致性层）

1. 确保本地公钥已复制到目标主机：ssh-copy-id user@host
2. 手动追加公钥时，确认无换行符缺失或多余空格。
3. 检查目标主机上的 ~/.ssh/authorized_keys 是否存在且内容完整。
4. 验证公钥格式是否符合 OpenSSH 标准（如 ssh-rsa AAAAB3...）。
5. 注意：不同用户家目录下的 .ssh 路径独立，切勿混淆。
6. 可通过 ssh-keygen -l -f ~/.ssh/authorized_keys 查看指纹比对。

5. SSH服务配置限制（策略控制层）

sshd_config 支持细粒度访问控制，常见限制包括：

AllowUsers admin@192.168.1.* root
DenyGroups wheel
Match User devuser
    PasswordAuthentication no
    AllowTcpForwarding yes

此类规则可能导致特定用户无法登录，需结合日志 /var/log/secure 或 journalctl -u sshd 定位匹配路径。

6. SELinux 或防火墙策略干扰（系统安全架构层）

graph TD
    A[SSH连接失败] --> B{是否SELinux开启?}
    B -- 是 --> C[检查.ssh目录context]
    C --> D[restorecon -R ~/.ssh]
    B -- 否 --> E[跳过SELinux检查]
    A --> F{防火墙是否拦截?}
    F -- 是 --> G[iptables/nftables允许端口22]
    F -- 否 --> H[继续排查]
    G --> I[firewall-cmd --add-service=ssh --permanent]

SELinux 可能阻止 .ssh 目录访问，执行：
restorecon -R ~/.ssh
或临时置为宽容模式测试：setenforce 0。

7. 综合诊断流程图（实战导向）

flowchart LR
    Start[开始SSH连接] --> CheckNetwork{网络可达?}
    CheckNetwork -- 否 --> FixNetwork[检查防火墙/IP]
    CheckNetwork -- 是 --> PromptLogin{提示输入密码?}
    PromptLogin -- 否 --> ConfigError[sshd_config错误]
    PromptLogin -- 是 --> AuthFail[认证失败]
    AuthFail --> CheckUserPass[验证用户/密码]
    CheckUserPass --> CheckKeyPerm[检查密钥权限]
    CheckKeyPerm --> CheckAuthorizedKeys[公钥写入?]
    CheckAuthorizedKeys --> CheckSSHDConfig[sshd_config策略]
    CheckSSHDConfig --> CheckSELinuxFirewall[SELinux/防火墙]
    CheckSELinuxFirewall --> Success[连接成功]