修复 Host Key Verification Failed (快速 & 简单)

2025-3-10

修复 Host Key Verification Failed (快速 & 简单)

在使用 SSH (Secure Shell) 连接到远程服务器时，你可能会遇到一个常见的错误：“Host Key Verification Failed”。这个错误表明你的 SSH 客户端无法验证远程服务器的身份。这通常不是一个表示服务器本身有问题的信号，而更可能是一个配置问题或服务器身份的合法更改。

理解这个错误背后的原因以及如何安全地解决它至关重要，因为不恰当的处理可能会让你面临中间人攻击 (Man-in-the-Middle Attack) 的风险。本文将深入探讨 “Host Key Verification Failed” 错误的原因，并提供详细的分步解决方案，让你能够快速、安全地重新建立 SSH 连接。

1. 什么是 Host Key Verification?

为了理解这个错误，我们首先需要了解 SSH 的工作原理以及主机密钥验证的作用。

SSH 是一种加密的网络协议，用于安全地在不安全的网络上进行数据通信。它通过以下几种方式来确保连接的安全性：

  • 加密 (Encryption): SSH 对客户端和服务器之间传输的所有数据进行加密，防止窃听者读取你的敏感信息，如密码、命令或文件内容。
  • 身份验证 (Authentication): SSH 验证客户端和服务器的身份，确保你连接到的是你期望的服务器，而不是冒充者。
  • 完整性 (Integrity): SSH 确保数据在传输过程中没有被篡改。

主机密钥验证是 SSH 身份验证机制的关键组成部分。它用于验证远程服务器的身份。当 SSH 客户端第一次连接到服务器时，会发生以下过程：

  1. 服务器发送公钥 (Public Key): 服务器会将其公钥发送给客户端。公钥是服务器身份的数字指纹。
  2. 客户端检查已知主机文件 (known_hosts): 客户端会检查其本地的 known_hosts 文件 (通常位于 ~/.ssh/known_hosts 或 /etc/ssh/ssh_known_hosts)。这个文件包含了客户端之前连接过的所有服务器的公钥指纹。
  3. 指纹匹配:
    • 如果 known_hosts 文件中没有找到服务器的公钥指纹，客户端会提示用户是否信任该服务器，并询问是否将其公钥指纹添加到 known_hosts 文件中。
    • 如果 known_hosts 文件中找到了服务器的公钥指纹，客户端会比较从服务器收到的公钥指纹和 known_hosts 文件中存储的指纹。
    • 如果指纹匹配，连接将继续。
    • 如果指纹不匹配，客户端将显示 “Host Key Verification Failed” 错误，并拒绝连接。

2. "Host Key Verification Failed" 错误的原因

出现 “Host Key Verification Failed” 错误通常有以下几个原因：

  • 服务器的公钥已更改: 这是最常见的原因。服务器的管理员可能出于以下原因更改了服务器的 SSH 公钥：
    • 重新安装操作系统或 SSH 服务: 重新安装通常会导致生成新的密钥对。
    • 服务器迁移或硬件更换: 新的服务器硬件通常会生成新的密钥对。
    • 手动更新密钥: 为了提高安全性，管理员可能会定期更新 SSH 密钥。
    • 安全漏洞: 如果服务器遭到入侵，攻击者可能会更改 SSH 密钥以获得访问权限。
  • 中间人攻击 (Man-in-the-Middle Attack): 攻击者可能会尝试拦截你的 SSH 连接，并用自己的公钥替换服务器的公钥。这样，你实际上连接到的是攻击者的服务器，而不是你预期的服务器。攻击者可以窃取你的凭据或监视你的通信。
  • known_hosts 文件损坏: 你的 known_hosts 文件可能已损坏，导致无法正确读取或验证公钥指纹。
  • DNS 问题: 如果你使用主机名连接到服务器，DNS 解析问题可能导致你连接到错误的 IP 地址，从而导致主机密钥验证失败。
  • 多个具有相同 IP 地址的主机: 如果你的网络中有多个主机使用相同的 IP 地址，而你尝试通过该 IP 地址连接，则可能会发生冲突，导致密钥验证失败。
  • SSH 配置文件问题: 你的SSH客户端配置文件(~/.ssh/config 或 /etc/ssh/ssh_config)中可能存在错误的配置, 比如指定了错误的密钥文件或者强制使用了错误的HostKeyAlgorithms。

3. 如何诊断 "Host Key Verification Failed" 错误

在开始修复之前，诊断错误的根本原因非常重要。这将帮助你选择最合适的解决方案，并避免不必要的风险。以下是一些诊断步骤：

  • 检查错误消息: SSH 客户端通常会提供详细的错误消息，其中可能包含服务器的公钥指纹。仔细阅读错误消息，了解是哪个服务器的密钥导致了问题。
  • 确认服务器的 IP 地址: 确保你连接到的是正确的服务器 IP 地址。你可以使用 ping 命令或其他网络工具来验证。
    bash
    ping your_server_hostname_or_ip
  • 联系服务器管理员: 如果你是服务器的管理员，请检查服务器的 SSH 配置和密钥。如果你不是管理员，请联系服务器管理员，询问他们是否最近更改了 SSH 密钥。
  • 检查 DNS 解析: 如果你使用主机名连接，请确保 DNS 解析正确。你可以使用 nslookup 或 dig 命令来检查。
    bash
    nslookup your_server_hostname
    dig your_server_hostname
  • 使用 SSH 连接的详细模式 (-v, -vv, -vvv): 使用 SSH 的详细模式可以提供更多关于连接过程的信息，这有助于诊断问题。
    bash
    ssh -v user@your_server_hostname_or_ip
    ssh -vv user@your_server_hostname_or_ip
    ssh -vvv user@your_server_hostname_or_ip
    -v 选项增加详细程度。使用 -vvv 可以获得最详细的输出，包括密钥交换过程的细节。

4. 修复 "Host Key Verification Failed" 错误 (解决方案)

根据诊断结果，你可以选择以下解决方案之一：

4.1 解决方案 1：从 known_hosts 文件中删除旧的密钥 (最常见)

如果服务器的公钥已合法更改 (例如，由于重新安装或升级)，则最简单的解决方案是从 known_hosts 文件中删除旧的密钥条目。这将允许 SSH 客户端在下次连接时接受新的密钥。

  • 方法 1：使用 ssh-keygen 命令 (推荐):

    这是最安全、最推荐的方法。ssh-keygen 命令可以精确地删除与特定主机名或 IP 地址关联的密钥条目。

    bash
    ssh-keygen -R your_server_hostname_or_ip

    例如:

    bash
    ssh-keygen -R 192.168.1.100
    ssh-keygen -R mydomain.com
    这个命令会从~/.ssh/known_hosts文件中移除所有与指定主机名或IP地址相关的密钥。

  • 方法 2：手动编辑 known_hosts 文件 (谨慎操作):

    你可以手动编辑 known_hosts 文件，找到与服务器对应的行并将其删除。但是，这种方法需要谨慎，因为错误的编辑可能会导致其他问题。

    1. 打开 known_hosts 文件:
      bash
      nano ~/.ssh/known_hosts # 或者使用你喜欢的文本编辑器
    2. 找到与服务器对应的行: 通常，每一行都以服务器的主机名或 IP 地址开头，后跟密钥类型和密钥指纹。
    3. 删除该行: 小心地删除整行。
    4. 保存并关闭文件。

  • 方法3: 使用 sed 命令(适合批量操作):
    bash
    sed -i '/your_server_hostname_or_ip/d' ~/.ssh/known_hosts
    这个命令会直接在文件中删除包含指定主机名或IP地址的行。-i 选项表示直接修改文件。

4.2 解决方案 2：添加正确的密钥到 known_hosts 文件

如果你可以从可信来源 (例如服务器管理员) 获得服务器的正确公钥指纹，你可以手动将其添加到 known_hosts 文件。

  1. 获取服务器的公钥指纹: 你可以使用 ssh-keyscan 命令从服务器获取公钥指纹：

    bash
    ssh-keyscan -t rsa,dsa,ecdsa,ed25519 your_server_hostname_or_ip
    -t 选项指定要获取的密钥类型。你可以指定多个类型，用逗号分隔。通常，rsa, dsa, ecdsa, 和 ed25519 涵盖了大多数常见的密钥类型。

  2. 将输出添加到 known_hosts 文件:

    你可以将 ssh-keyscan 命令的输出直接追加到 known_hosts 文件：

    bash
    ssh-keyscan -t rsa,dsa,ecdsa,ed25519 your_server_hostname_or_ip >> ~/.ssh/known_hosts

    或者，你可以手动复制 ssh-keyscan 的输出，并将其粘贴到 known_hosts 文件中。

4.3 解决方案 3：禁用 Host Key Verification (强烈不推荐)

警告： 禁用主机密钥验证会使你的连接容易受到中间人攻击。只有在你完全了解风险并且在绝对必要的情况下才应该使用此方法。例如，在测试环境中，或者你确定连接是安全的，并且没有中间人攻击的风险。

  • 方法 1：使用 -o StrictHostKeyChecking=no 选项:

    你可以在 SSH 命令中使用 -o StrictHostKeyChecking=no 选项来禁用主机密钥验证：

    bash
    ssh -o StrictHostKeyChecking=no user@your_server_hostname_or_ip

    这只会对当前连接禁用主机密钥验证。

  • 方法 2：修改 SSH 配置文件:

    你可以在 SSH 配置文件 (~/.ssh/config 或 /etc/ssh/ssh_config) 中添加以下配置来永久禁用特定主机的主机密钥验证：

    Host your_server_hostname_or_ip
    StrictHostKeyChecking no
    UserKnownHostsFile /dev/null
    UserKnownHostsFile /dev/null 阻止SSH客户端记录新的主机密钥。

    再次强调，这种方法非常危险，不建议在生产环境中使用。

4.4 解决方案 4: 使用UserKnownHostsFile指定一个单独的known_hosts文件

如果你想为特定的主机或者一组主机使用一个单独的known_hosts文件，你可以使用UserKnownHostsFile选项. 这在你管理多个服务器并且想要隔离主机密钥的时候非常有用.

  1. 创建新的known_hosts文件:
    touch ~/.ssh/known_hosts_custom

  2. 在SSH配置文件(~/.ssh/config)中添加以下配置:
    Host your_server_hostname_or_ip
    UserKnownHostsFile ~/.ssh/known_hosts_custom

  3. 使用ssh-keyscan将主机密钥添加到新的known_hosts文件:
    ssh-keyscan -t rsa,dsa,ecdsa,ed25519 your_server_hostname_or_ip >> ~/.ssh/known_hosts_custom

4.5 解决方案 5: 调查中间人攻击

如果怀疑存在中间人攻击，请立即停止连接，并采取以下措施：

  1. 不要输入任何凭据。
  2. 检查你的网络连接: 确保你连接到的是正确的网络，并且没有未经授权的设备连接到你的网络。
  3. 检查 DNS 设置: 确保你的 DNS 服务器没有被劫持。
  4. 联系你的网络管理员或安全团队: 向他们报告可疑活动。
  5. 使用不同的网络连接: 尝试从不同的网络 (例如，移动热点) 连接到服务器，看看是否仍然出现相同的错误。
  6. 检查服务器完整性: 如果你有服务器的访问权限，请检查服务器的 SSH 配置文件和日志，以查找任何可疑活动。

5. 最佳实践和安全建议

  • 定期更新 SSH 客户端和服务器: 确保你的 SSH 客户端和服务器软件都是最新版本，以获得最新的安全补丁和功能。
  • 使用强密码或 SSH 密钥进行身份验证: 避免使用弱密码。使用 SSH 密钥进行身份验证可以提供更高的安全性。
  • 谨慎对待 "Host Key Verification Failed" 错误: 不要轻易忽略这个错误。在解决之前，请务必调查原因。
  • 监控 known_hosts 文件: 定期检查 known_hosts 文件，确保其中包含的都是你信任的服务器的公钥指纹。
  • 使用防火墙: 配置防火墙以限制对 SSH 端口 (通常是 22) 的访问。
  • 考虑使用 SSH Certificate Authority (CA): 对于大型组织，使用 SSH CA 可以简化密钥管理并提高安全性。SSH CA 类似于 HTTPS 证书颁发机构，用于签发服务器和用户的 SSH 证书。
  • 使用更强的HostKeyAlgorithms: 在SSH配置文件(~/.ssh/config或/etc/ssh/ssh_config)中, 可以指定HostKeyAlgorithms来强制使用更安全的密钥交换算法. 例如:
    Host *
    HostKeyAlgorithms [email protected],[email protected],ssh-ed25519,ssh-rsa,ecdsa-sha2-nistp521,ecdsa-sha2-nistp384,ecdsa-sha2-nistp256
    优先使用ed25519和证书类型的密钥.

总结

"Host Key Verification Failed" 错误是 SSH 连接中常见的问题，但它通常很容易解决。通过理解错误的原因并遵循本文提供的解决方案，你可以快速、安全地重新建立 SSH 连接。记住，安全始终是第一位的，不要轻易忽略这个错误，因为它可能是中间人攻击的信号。通过采取适当的预防措施和最佳实践，你可以确保你的 SSH 连接安全可靠。

版权声明：
作者：admin
链接：https://hostlocvps.com/2025/03/10/%e4%bf%ae%e5%a4%8d-host-key-verification-failed-%e5%bf%ab%e9%80%9f-%e7%ae%80%e5%8d%95/
文章版权归作者所有，未经允许请勿转载。
THE END
TikTok视频下载教程：新手也能轻松上手
<<上一篇
Git 远程分支操作：切换、查看、拉取
下一篇>>
相关推荐
下载免费Kimi PPT模板
Hyper-V 高级特性及应用
使用 Boost.Asio 构建可扩展的网络服务
微PE启动盘：系统救援的最佳选择
解锁地域限制：使用SwitchyOmega访问被屏蔽网站
如何选择合适的 Boost 变换器
OpenCV Python教程：掌握图像处理核心技巧
SCP：安全、收容、保护 – 探索异常的边界
提升Django开发效率：GitHub工具与技巧
MATLAB 破解版不同版本区别