为什么 CentOS 6.5 SSH 连接慢？-HCRM博客

如果你正在管理一台运行CentOS 6.5的服务器，并且发现通过SSH连接时，登录过程异常缓慢——输入用户名后卡顿，或者输入密码后需要等待很长时间才能进入命令行——那么你并不孤单，这是一个在老版本CentOS（特别是6.x系列）中相当常见的问题，幸运的是，这个问题通常有明确的根源和相对简单的解决方法，作为一名长期与Linux服务器打交道的工程师，我经常遇到并解决这类问题,下面分享关键的排查步骤和解决方案。

问题现象：令人抓狂的等待

典型的症状是：

当你使用SSH客户端（如PuTTY、openSSH命令行）连接服务器时，在输入用户名后，光标会停滞一段时间（可能5-10秒甚至更长）,然后才提示输入密码。
输入密码后，按下回车键，又需要等待同样长的时间,才会显示欢迎信息并进入交互式Shell。
一旦成功登录,后续在Shell内的操作响应通常是正常的。

这种延迟并非网络本身的问题（虽然网络慢也会导致卡顿，但表现不同），而是SSH服务端在建立连接过程中进行的某些检查操作耗费了过多时间,核心原因通常指向两个关键配置。

根源探究：DNS反查与GSSAPI认证

经过大量实践验证，CentOS 6.5上SSH登录慢的主要原因有两个：

DNS反向解析（UseDNS）： 默认情况下，CentOS 6.5的SSH服务端 (sshd) 配置启用了 UseDNS 选项，当此选项为 yes 时，sshd 会尝试对你客户端的IP地址进行反向DNS解析（PTR记录查询），以获取对应的主机名，它还会尝试对这个解析到的主机名做正向DNS查询（A记录），验证得到的主机名是否能解析回你客户端的原始IP地址。问题在于：
- 如果你的客户端IP没有配置有效的PTR记录（这在动态IP、家庭宽带或某些网络环境中很常见）,DNS服务器会花费时间查找并最终返回失败或超时。
- 即使有PTR记录,正反解析不匹配也会导致额外耗时。
- 整个DNS查询过程发生在你输入用户名之前或之后,造成了明显的卡顿。
GSSAPI认证（GSSAPIAuthentication）： GSSAPI（Generic Security Services Application Program Interface）是一种支持Kerberos等强身份验证的框架，CentOS 6.5默认也启用了 GSSAPIAuthentication，当客户端尝试连接时，服务器会尝试协商GSSAPI认证。问题在于：
- 大多数个人或小型管理场景并不使用Kerberos认证。
- 协商GSSAPI过程本身就需要时间，尤其是在没有配置Kerberos的环境下，服务器会等待协商完成或超时，这通常发生在你输入密码之后、建立会话之前,导致了第二次明显的卡顿。

解决方案：修改SSH服务端配置

解决之道就在于禁用上述两个非必需且容易导致延迟的检查项，操作需要修改SSH守护进程的主配置文件 /etc/ssh/sshd_config。

重要提示： 修改前请务必备份原始文件！使用 sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak。

使用文本编辑器打开配置文件：
```
sudo vi /etc/ssh/sshd_config



```
（也可以用 nano 或其他你熟悉的编辑器）
定位并修改关键参数：
- 找到 #UseDNS yes 这一行（可能在文件中靠后的位置），默认它被注释掉了（以开头），但实际默认行为等同于 UseDNS yes，我们需要明确禁用它：
```
UseDNS no



```
  （去掉行首的，并将 yes 改为 no）
- 找到 #GSSAPIAuthentication yes 这一行，同样，默认注释但生效，将其改为：
```
GSSAPIAuthentication no



```
  （去掉行首的，并将 yes 改为 no）
保存并退出编辑器。 (在 vi 中按 Esc，输入 :wq，回车)。
重启SSH服务使配置生效：
```
sudo service sshd restart



```
或者（取决于你的系统初始化方式）：
```
sudo /etc/init.d/sshd restart



```

验证效果

立刻尝试重新使用SSH客户端连接你的服务器,你应该会立即注意到显著的差异：

输入用户名后,密码提示符几乎瞬间出现。
输入密码并回车后,几乎立即就能看到命令行提示符。

这种流畅的登录体验才是SSH应有的样子。

额外优化点与注意事项

AddressFamily 设置： 虽然较少见，但检查 /etc/ssh/sshd_config 中是否有 AddressFamily any 设置，在某些特定网络环境下，将其明确设置为 inet (仅IPv4) 或 inet6 (仅IPv6) 可能对减少连接初始化时间有帮助，但这通常不是主要问题，主要精力应放在 UseDNS 和 GSSAPIAuthentication 上。
客户端配置： 对于客户端（如Linux/Mac的 ~/.ssh/config 或 PuTTY 的配置），你可以尝试添加 GSSAPIAuthentication no 和 GSSAPIDelegateCredentials no 来禁用客户端的GSSAPI行为，但这通常是辅助性的，服务端修改是根本解决之道。
CentOS 6.5的生命周期： 必须强调，CentOS 6.5已于2017年11月30日结束生命周期（EOL），这意味着它不再接收任何安全更新、错误修复或功能增强，继续运行存在极大的安全风险。强烈建议尽快将系统升级到受支持的版本（如CentOS 7或更现代的AlmaLinux/Rocky Linux 8/9），本文提供的解决方案仅作为无法立即升级时的临时缓解措施，升级后,新版本通常具有更优化的默认配置和更好的性能。
网络基础检查： 在应用上述方案前，确保基础网络连接是正常的，使用 ping 命令测试服务器可达性和延迟，偶尔，缓慢的DNS服务器也会影响系统其他方面（不只是SSH）,但本文解决的是SSH服务特有的配置问题。