如何在SSH配置文件指定首选Kerberos/GSSAPI库？解决VS Code连接问题

核心原因 #

Windows系统同时存在Windows SSPI和MIT KfW两个Kerberos实现，VS Code依赖的OpenSSH客户端默认可能优先加载系统SSPI库，而PuTTY可手动指定GSSAPI库优先级，导致两者连接表现存在差异。

解决方案 #

1. 调整系统PATH优先级 #

• 找到MIT Kerberos for Windows的安装目录（默认路径为C:\Program Files\MIT\Kerberos\bin）
• 打开系统属性 > 高级 > 环境变量，在系统变量的Path列表中，将上述MIT Kerberos的bin目录移至最顶端
• 重启VS Code，让新的PATH配置生效

2. 配置VS Code SSH文件 #

打开C:\Users\<你的用户名>\.ssh\config，添加对应远程主机的Kerberos专属配置：

Host remote-host-alias
    HostName <远程主机IP或域名>
    User <你的Kerberos用户名>
    GSSAPIAuthentication yes
    GSSAPIDelegateCredentials yes
    # 可选：禁用密码认证，强制使用Kerberos连接
    PasswordAuthentication no

3. 强制VS Code使用系统OpenSSH（可选） #

• 打开VS Code，按Ctrl+,打开设置面板
• 搜索remote.SSH.path，将其值修改为系统OpenSSH的路径（通常为C:\Windows\System32\OpenSSH\ssh.exe）
• 此操作可避免VS Code使用内置OpenSSH，确保依赖系统PATH加载指定的Kerberos库

4. 批处理启动VS Code（PATH调整无效时使用） #

若系统PATH调整未生效，创建start-vscode-kerberos.bat批处理文件，内容如下：

@echo off
set PATH=C:\Program Files\MIT\Kerberos\bin;%PATH%
start code.exe

双击该批处理启动VS Code，此时VS Code进程会优先加载MIT的GSSAPI库。

5. 验证库加载（可选） #

使用Process Monitor工具跟踪ssh.exe进程，查看其加载的DLL文件，确认gssapi64.dll来自MIT Kerberos的bin目录而非系统路径。

内容的提问来源于stack exchange，提问作者SamTulster