使用Paramiko建立SSH连接时遇p需为指定比特长度错误

问题原因 #

这个错误源于Diffie-Hellman（DH）密钥交换参数长度不兼容：

• Paramiko 2.9.2依赖的cryptography库对DH参数长度做了严格校验，仅允许1024/2048/3072/4096位的标准长度。
• 出现问题的网元可能配置了非标准长度的DH参数（比如512位或自定义长度），或者使用了dh-group-exchange-sha1这类动态生成参数的算法，生成了不符合要求的长度。

解决方案 #

1. 升级Paramiko版本 #

较新的Paramiko版本（比如2.12.x及以上，或3.x系列）对DH参数的兼容性更好，部分版本放宽了长度限制，或者默认支持更多安全的密钥交换算法。
注意：升级前确认Python版本兼容性——3.x系列Paramiko要求Python 3.7+，如果你的环境是Python3.6，建议升级到2.x分支的最新稳定版（如2.12.0）。

2. 指定兼容的密钥交换算法 #

在创建Transport对象时，显式指定允许的密钥交换算法，避开会生成非标准DH参数的算法。优先选择椭圆曲线类的算法，这类算法不依赖DH参数长度限制。

修改你的代码如下：

TIMOUT = 2
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.settimeout(TIMOUT * 3)
sock.connect((host, self.port))

# 指定允许的密钥交换算法
allowed_kex = [
    "curve25519-sha256@libssh.org",
    "ecdh-sha2-nistp256",
    "ecdh-sha2-nistp384",
    "ecdh-sha2-nistp521",
    "diffie-hellman-group-exchange-sha256"
]
transport = paramiko.Transport(sock)
transport.get_security_options().kex = allowed_kex

transport.connect(username=self.username)
transport.auth_none(self.username)
channel = transport.open_channel(kind="session")
connected = True
print('connection true')
channel.get_pty()
channel.invoke_shell()

3. 调整网元SSH配置（若有权限） #

如果能修改网元的SSH服务设置：

• 配置标准长度的DH参数（比如2048位）；
• 启用椭圆曲线密钥交换算法，禁用老旧的DH参数交换算法。

补充说明 #

大部分网元正常是因为它们的SSH服务使用了标准长度的DH参数或兼容的密钥交换算法，只有少数配置特殊/版本较老的设备触发了校验逻辑。

内容的提问来源于stack exchange，提问作者HSHEKHAR