使用SSH.NET结合SSH密钥与双因素认证连接Linux服务器遇阻

问题背景 #

在C#桌面应用中使用SSH.NET v2020.0.2连接配置如下的Debian Linux服务器时，触发Renci.SshNet.Common.SshAuthenticationException，提示无合适认证方式完成键盘交互式认证：

• 服务器使用带密码的RSA SSH密钥
• 通过libpam-google-authenticator启用Google Authenticator双因素认证（2FA）
• sshd_config配置：
  • AuthenticationMethods publickey,keyboard-interactive
  • 禁用密码认证
  • 开启ChallengeResponseAuthentication与UsePAM
• 同一设备通过Windows 10命令行ssh可正常连接（先验证密钥密码，再验证2FA验证码）
• 已尝试同时配置PrivateKeyAuthenticationMethod与KeyboardInteractiveAuthenticationMethod并处理认证提示，但问题未解决
• 对比sshd verbose日志发现：SSH.NET连接时PAM认证失败，且缺少do_pam_account调用

关键问题定位 #

1. 认证顺序不匹配：服务器要求先完成publickey认证，再进行keyboard-interactive认证，若代码中认证方法顺序错误，会导致服务器拒绝后续步骤
2. SSH.NET v2020.0.2版本bug：旧版本对组合认证（多阶段认证）的会话状态处理存在缺陷，无法触发完整的PAM流程（包括do_pam_account阶段）
3. 键盘交互式回调处理不完整：未正确识别并响应Google Authenticator的验证码提示，导致认证中断

解决方案 #

1. 严格按服务器要求配置认证方法顺序 #

确保ConnectionInfo中认证方法的顺序与sshd_config的AuthenticationMethods一致（先publickey，后keyboard-interactive）

2. 正确实现键盘交互式认证回调 #

在回调中准确识别2FA验证码提示并返回正确的验证码

3. 代码示例 #

using Renci.SshNet;
using Renci.SshNet.Common;
using System.Collections.Generic;

// 配置SSH连接参数
string host = "your-server-ip";
int port = 22;
string username = "ssh-username";
string privateKeyPath = @"C:\path\to\your\id_rsa";
string keyPassphrase = "your-key-password";
string twoFactorCode = "user-input-2fa-code"; // 可替换为用户输入逻辑

// 加载带密码的RSA密钥
var privateKeyFile = new PrivateKeyFile(privateKeyPath, keyPassphrase);
var privateKeyAuth = new PrivateKeyAuthenticationMethod(username, new List<PrivateKeyFile> { privateKeyFile });

// 配置键盘交互式认证，处理2FA提示
var keyboardAuth = new KeyboardInteractiveAuthenticationMethod(username);
keyboardAuth.AuthenticationPrompt += (sender, e) =>
{
    foreach (var prompt in e.Prompts)
    {
        // 根据服务器提示文本匹配，不同环境可能提示不同（比如"Verification code:"或中文提示）
        if (prompt.Request.IndexOf("Verification code", System.StringComparison.OrdinalIgnoreCase) >= 0 ||
            prompt.Request.IndexOf("验证码", System.StringComparison.OrdinalIgnoreCase) >= 0)
        {
            prompt.Response = twoFactorCode;
        }
        // 若有其他提示（如密钥密码，不过此处密钥已提前解锁，可能不会出现），按需处理
    }
};

// 创建连接信息，严格按服务器要求的顺序添加认证方法
var connectionInfo = new ConnectionInfo(host, port, username, privateKeyAuth, keyboardAuth);

// 建立连接
using (var sshClient = new SshClient(connectionInfo))
{
    try
    {
        sshClient.Connect();
        // 连接成功，执行后续操作
        // 示例：执行命令
        var commandResult = sshClient.RunCommand("whoami");
        System.Console.WriteLine(commandResult.Result);
        
        sshClient.Disconnect();
    }
    catch (SshAuthenticationException ex)
    {
        // 捕获认证异常，排查具体原因
        System.Console.WriteLine($"认证失败：{ex.Message}");
    }
}

4. 升级SSH.NET版本 #

SSH.NET v2020.0.2存在组合认证的会话处理缺陷，建议升级到最新稳定版（如v2023.0.0及以上），该版本修复了多阶段认证的PAM流程触发问题

5. 服务器端配置验证 #

• 确认/home/ssh-user/.google_authenticator文件权限为600，属主为SSH用户
• 检查sshd_config的UsePAM yes已正确配置，且ChallengeResponseAuthentication yes
• 临时修改sshd_config的AuthenticationMethods为publickey，单独测试密钥认证是否成功，排除密钥本身的问题

内容的提问来源于stack exchange，提问作者Cheshire Cat