SSH 因身份验证失败次数过多而中止

Question 1

根据较旧的*ssh-config(5)手册页，ssh 将始终尝试全部除任何身份文件外，代理还知道以下密钥：

 IdentitiesOnly

         Specifies that ssh(1) should only use the authentication identity files
         configured in the ssh_config files, even if ssh-agent(1) offers more
         identities.  The argument to this keyword must be “yes” or “no”.  This
         option is intended for situations where ssh-agent offers many different
         identities.  The default is “no”.


 IdentityFile
         Specifies a file from which the user's DSA, ECDSA or RSA authentication
         identity is read.  The default is ~/.ssh/identity for protocol version 1,
         and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa and ~/.ssh/id_rsa for protocol
         version 2.  Additionally, any identities represented by the  
         authentication agent will be used for authentication.  ssh(1) will try
         to load certificate information from the filename obtained by
         appending -cert.pub to the path of a specified IdentityFile.

IdentitiesOnly=yes为了防止这种情况，除了明确提供的私钥之外，还必须指定。

例如，运行ssh以下命令：

$ ssh -i /home/henk/.vagrant.d/insecure_private_key \
  [email protected] echo ok

生成：

Received disconnect from 192.168.222.111: 2: Too many authentication 
failures for vagrant

但是，运行相同的ssh命令并另外指定IdentitiesOnly=yes：

$ ssh -o IdentitiesOnly=yes \
  -i /home/henk/.vagrant.d/insecure_private_key [email protected] echo ok

生成：

ok

* 注意：OpenBSD项目托管最新文档仅限身份和身份文件. 这些包括新功能的额外文本，但不会改变此答案的本质。

Answer

根据较旧的*ssh-config(5)手册页，ssh 将始终尝试全部除任何身份文件外，代理还知道以下密钥：

 IdentitiesOnly

         Specifies that ssh(1) should only use the authentication identity files
         configured in the ssh_config files, even if ssh-agent(1) offers more
         identities.  The argument to this keyword must be “yes” or “no”.  This
         option is intended for situations where ssh-agent offers many different
         identities.  The default is “no”.


 IdentityFile
         Specifies a file from which the user's DSA, ECDSA or RSA authentication
         identity is read.  The default is ~/.ssh/identity for protocol version 1,
         and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa and ~/.ssh/id_rsa for protocol
         version 2.  Additionally, any identities represented by the  
         authentication agent will be used for authentication.  ssh(1) will try
         to load certificate information from the filename obtained by
         appending -cert.pub to the path of a specified IdentityFile.

IdentitiesOnly=yes为了防止这种情况，除了明确提供的私钥之外，还必须指定。

例如，运行ssh以下命令：

$ ssh -i /home/henk/.vagrant.d/insecure_private_key \
  [email protected] echo ok

生成：

Received disconnect from 192.168.222.111: 2: Too many authentication 
failures for vagrant

但是，运行相同的ssh命令并另外指定IdentitiesOnly=yes：

$ ssh -o IdentitiesOnly=yes \
  -i /home/henk/.vagrant.d/insecure_private_key [email protected] echo ok

生成：

ok

* 注意：OpenBSD项目托管最新文档仅限身份和身份文件. 这些包括新功能的额外文本，但不会改变此答案的本质。

Question 2

因此，我的密钥中有 5 个ssh-agent，尽管明确选择了使用 vagrant ssh 密钥，但它仍然坚持循环遍历我的代理中的密钥，然后才方便地达到 max_tries ，从而获得正确的密钥。

要检查您是否有此问题：运行ssh-add -l- 如果此列表> 5，则需要删除密钥或禁用代理。

解决方法：运行您想要删除ssh-add -d ~/.ssh/X的X键。

Answer

因此，我的密钥中有 5 个ssh-agent，尽管明确选择了使用 vagrant ssh 密钥，但它仍然坚持循环遍历我的代理中的密钥，然后才方便地达到 max_tries ，从而获得正确的密钥。

要检查您是否有此问题：运行ssh-add -l- 如果此列表> 5，则需要删除密钥或禁用代理。

解决方法：运行您想要删除ssh-add -d ~/.ssh/X的X键。

Question 3

为了防止尝试过多密钥而失败，我们可以使用-o 'IdentitiesOnly=yes'例如ssh -i privateKey -o 'IdentitiesOnly=yes' user@host

或者，我们可以将以下几行添加到 ~/.ssh/config 文件

Host *
IdentitiesOnly yes

Answer

为了防止尝试过多密钥而失败，我们可以使用-o 'IdentitiesOnly=yes'例如ssh -i privateKey -o 'IdentitiesOnly=yes' user@host

或者，我们可以将以下几行添加到 ~/.ssh/config 文件

Host *
IdentitiesOnly yes

Question 4

您的 ssh-agent 持有的密钥数量超过了 ssh 服务器允许的身份验证尝试次数（“MaxAuthTries”，默认值：6）。

请注意，某些 ssh 代理（尤其是 GNOME Keyring）会自动加载其在 ~/.ssh 中找到的所有密钥，并且这些密钥不能用“ssh-add -[dD]”卸载。

以下是一些解决方案：

您已经在 ~/.ssh/config 中配置了正确的密钥，因此您不需要代理。让客户端忽略代理，例如unset SSH_AUTH_SOCK或使用“IdentitiesOnly=yes”，如@henk-langeveld 所建议的那样
将一些密钥移出 ~/.ssh（子目录 ~/.ssh/noauto 也可以）以防止它们自动加载。如果需要，您仍可以通过 ssh 手动添加它们。
增加服务器端的“MaxAuthTries”，允许的身份验证尝试次数

Answer

您的 ssh-agent 持有的密钥数量超过了 ssh 服务器允许的身份验证尝试次数（“MaxAuthTries”，默认值：6）。

请注意，某些 ssh 代理（尤其是 GNOME Keyring）会自动加载其在 ~/.ssh 中找到的所有密钥，并且这些密钥不能用“ssh-add -[dD]”卸载。

以下是一些解决方案：

您已经在 ~/.ssh/config 中配置了正确的密钥，因此您不需要代理。让客户端忽略代理，例如unset SSH_AUTH_SOCK或使用“IdentitiesOnly=yes”，如@henk-langeveld 所建议的那样
将一些密钥移出 ~/.ssh（子目录 ~/.ssh/noauto 也可以）以防止它们自动加载。如果需要，您仍可以通过 ssh 手动添加它们。
增加服务器端的“MaxAuthTries”，允许的身份验证尝试次数

SSH 因身份验证失败次数过多而中止

答案1

答案2

答案3

答案4

相关内容