KexAlgorithms 报错分析与解决
问题描述
在使用 OpenSSH 进行 SSH 连接时，如果遇到 "KexAlgorithms" 报错，通常是由于客户端和服务器端的密钥交换算法不匹配导致的，这种错误通常表现为以下信息：
/cygdrive/c/Users/name/.ssh/config: line 3: Bad configuration option: KexAlgorithms /cygdrive/c/Users/name/.ssh/config: terminating, 1 bad configuration options
可能原因
1、配置文件错误：在~/.ssh/config 文件中，KexAlgorithms 的配置选项拼写错误或格式不正确。
2、不支持的算法：客户端或服务器端不支持配置中的某些密钥交换算法。
3、版本不兼容：不同版本的 OpenSSH 默认支持的密钥交换算法集不同，导致协商失败，OpenSSH 5.3 和 OpenSSH 6.7 之间存在显著差异。
解决方法
方法一：检查并修正~/.ssh/config 文件
确保~/.ssh/config 文件中的KexAlgorithms 配置正确，以下是一个示例配置：
KexAlgorithms curve25519sha256,curve25519sha256@libssh.org,ecdhsha2nistp256,ecdhsha2nistp384,ecdhsha2nistp521,diffiehellmangroupexchangesha256,diffiehellmangroup16sha512,diffiehellmangroup18sha512,diffiehellmangroupexchangesha1,diffiehellmangroup14sha256,diffiehellmangroup14sha1
确保每个算法名称之间用逗号分隔，并且没有多余的空格或其他字符。
方法二：修改服务器端配置
如果客户端和服务器端的 OpenSSH 版本不同，可以尝试在服务器端配置文件/etc/ssh/sshd_config 中添加兼容的密钥交换算法。
sudo vi /etc/ssh/sshd_config
在文件末尾添加以下内容：
KexAlgorithms diffiehellmangroup1sha1,diffiehellmangroup14sha1,diffiehellmangroupexchangesha1,diffiehellmangroupexchangesha256,ecdhsha2nistp256,ecdhsha2nistp384,ecdhsha2nistp521,diffiehellmangroup1sha1,curve25519sha256@libssh.org
然后重启 SSH 服务：
sudo systemctl restart sshd
方法三：使用命令行指定算法
在连接时，可以通过命令行参数指定使用的密钥交换算法。
ssh o KexAlgorithms=+diffiehellmangroup14sha1 user@hostname
| 问题原因 | 解决方法 |
| 配置文件错误 | 确保~/.ssh/config 中的KexAlgorithms 配置正确，无拼写错误或格式问题。 |
| 不支持的算法 | 在服务器端/etc/ssh/sshd_config 添加兼容的密钥交换算法，并重启 SSH 服务。 |
| 版本不兼容 | 升级客户端或服务器端的 OpenSSH 版本，确保双方支持相同的密钥交换算法。 |
FAQs
Q1: 如果修改~/.ssh/config 后仍然报错怎么办？
A1: 确保没有拼写错误，并且所有算法名称之间用英文逗号分隔，可以尝试删除配置文件中的KexAlgorithms 行，然后通过命令行参数指定算法测试连接。
Q2: 如何查看客户端和服务器支持的密钥交换算法？
A2: 使用以下命令查看客户端支持的算法：
ssh Q kex
查看服务器支持的算法：
sshd T | grep w kexalgorithms
Q3: 为什么生产环境中会出现算法协商失败？
A3: 通常是因为生产环境使用了较新的 OpenSSH 版本，而开发和测试环境使用了较旧的版本，导致默认的密钥交换算法集不同，可以通过升级开发和测试环境的 OpenSSH 版本或修改生产环境的配置文件来解决。
通过以上步骤和方法，可以有效解决因 KexAlgorithms 配置错误导致的 SSH 连接问题，确保客户端和服务器端的密钥交换算法一致，是解决此类问题的关键。
