Xshell生成公钥后无法免密登录？

Question

使用Xshell生成SSH密钥后，配置了公钥到服务器的`~/.ssh/authorized_keys`，但仍无法免密登录，提示“Permission denied (publickey)”。常见原因包括：私钥未正确加载至Xshell会话、服务器端`authorized_keys`文件权限不正确（应为600）、`.ssh`目录权限过大（建议700）、SELinux限制或SSH服务配置禁用了公钥认证（需检查`PubkeyAuthentication yes`）。此外，若私钥设置了密码，在Xshell中未输入解密密码也会导致认证失败。

Answer 1

1. 问题现象与基础排查

使用Xshell生成SSH密钥后，将公钥配置到服务器的~/.ssh/authorized_keys文件中，但仍无法实现免密登录，终端提示“Permission denied (publickey)”。该问题在运维实践中极为常见，尤其在自动化部署、跳板机访问和CI/CD流水线集成场景中影响较大。

首先需确认是否已正确完成以下基本步骤：

• 通过Xshell的“工具” → “用户密钥向导”生成密钥对（RSA或ED25519）
• 成功导出公钥内容并追加至目标用户的~/.ssh/authorized_keys
• 在Xshell会话属性中启用“Public Key”认证方式，并选择正确的私钥文件

若上述任一环节遗漏，则直接导致认证失败。例如，仅配置了公钥但未在Xshell连接设置中加载私钥，系统不会主动尝试使用本地密钥进行认证。

2. 权限模型深度分析

SSH协议对文件系统权限有严格要求，任何超出标准权限的设置都可能触发安全机制拒绝公钥认证。以下是关键路径的权限规范：

路径	推荐权限	说明
~/.ssh	700 (drwx------)	仅用户可读写执行，组和其他人无权限
~/.ssh/authorized_keys	600 (-rw-------)	防止其他用户篡改或读取授权密钥列表
~/.ssh/id_rsa 或 id_ed25519	600	本地私钥必须受保护
用户主目录 ~	≤755	不能为777等宽松权限，否则OpenSSH认为不安全

可通过如下命令批量修复：

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/id_*
chown -R $USER:$USER ~/.ssh

3. SSH服务端配置核查

即使客户端和文件权限均正确，服务端/etc/ssh/sshd_config中的配置项仍可能禁用公钥认证机制。需检查以下核心参数：

• PubkeyAuthentication yes —— 必须启用
• AuthorizedKeysFile .ssh/authorized_keys —— 路径应匹配实际位置
• PermitRootLogin prohibit-password 或 yes（如需root登录）
• StrictModes yes —— 启用时会强制校验权限，建议保持开启以确保安全

修改配置后务必重启服务：

sudo systemctl restart sshd

注意：部分发行版使用sshd而非ssh作为服务名。

4. SELinux与安全上下文影响

在CentOS、RHEL等启用了SELinux的系统中，即使文件权限正确，错误的安全上下文也会阻止SSH读取authorized_keys。可通过以下命令查看上下文：

ls -Z ~/.ssh/authorized_keys

正常输出应包含ssh_home_t类型。若显示unlabeled_t或其他异常值，则需恢复默认上下文：

restorecon -R ~/.ssh

此操作将依据策略重新应用正确的SELinux标签，解决因安全上下文缺失导致的静默拒绝问题。

5. 客户端私钥解密与Xshell集成

Xshell支持加载加密型私钥（即设置了passphrase的私钥），但在连接过程中若未提供解密密码，将跳过该认证方法。此时日志表现为“Trying publickey”后直接进入下一认证方式（如password），最终失败。

解决方案包括：

1. 在Xshell会话属性 → 用户身份验证 → 方法中选择“Public Key”，并点击“用户密钥”旁的“…”按钮加载私钥
2. 输入私钥的解密密码（passphrase）
3. 勾选“保存密码”以避免每次输入

也可使用Xshell内置的“密钥管理器”统一管理多个私钥及其口令。

6. 故障诊断流程图

graph TD A[连接失败: Permission denied (publickey)] --> B{Xshell会话是否启用Public Key?} B -->|否| C[在会话属性中启用Public Key认证] B -->|是| D{私钥是否正确加载?} D -->|否| E[通过'...'按钮选择私钥文件] D -->|是| F{服务器authorized_keys权限=600?} F -->|否| G[chmod 600 ~/.ssh/authorized_keys] F -->|是| H{.ssh目录权限=700?} H -->|否| I[chmod 700 ~/.ssh] H -->|是| J{sshd_config中PubkeyAuthentication=yes?} J -->|否| K[修改配置并重启sshd] J -->|是| L{SELinux是否阻止?} L -->|是| M[restorecon -R ~/.ssh] L -->|否| N[检查/var/log/secure获取详细错误]

7. 日志分析与高级调试

当常规排查无效时，应启用SSH服务端详细日志辅助定位。编辑/etc/ssh/sshd_config，设置：

LogLevel DEBUG3

重启sshd后尝试连接，并实时查看日志：

sudo tail -f /var/log/secure

典型错误线索包括：

• Authentication refused: bad ownership or modes for file /home/user/.ssh/authorized_keys —— 权限问题
• User user not allowed because account is locked —— 账户被锁定
• Failed publickey for user from X.X.X.X port YYY ssh2: RSA SHA256:... —— 密钥不匹配或未找到

结合日志可精准判断是客户端密钥发送、服务端读取、还是策略拦截阶段出错。