使用pysftp从GKE拉取SFTP文件提示paramiko密码认证失败

1. GKE服务端SSH配置排查 #

• 验证密码认证开关状态：登录GKE目标实例，查看/etc/ssh/sshd_config配置文件，确认PasswordAuthentication项的值为yes，若为no或被注释，修改后执行systemctl reload sshd重载配置生效。
• 检查账号登录权限：查看sshd_config中AllowUsers、DenyUsers、AllowGroups、DenyGroups配置项，确认所用登录账号未被限制登录。
• 查看服务端认证日志：Debian/Ubuntu系统执行tail -f /var/log/auth.log，CentOS/RHEL系统执行tail -f /var/log/secure，发起一次登录请求后查看日志中的具体失败原因，常见原因包括账号过期、PAM模块拦截、IP访问限制等。

2. 客户端配置排查 #

• 校验密码传输正确性：若密码包含特殊字符（!、@、#、空格、非ASCII字符等），在代码中打印密码变量确认内容与实际密码完全一致，无转义、截断问题。
• 强制指定密码认证优先级：paramiko默认会优先尝试公钥、gssapi等认证方式，部分服务端多次非密码认证失败后会直接拒绝连接，不会进入密码认证环节，可修改代码强制优先使用密码认证，示例如下：

import pysftp
import paramiko

# 主机密钥配置，生产环境建议保留已知主机密钥校验，仅测试时可设为None
cnopts = pysftp.CnOpts()
# cnopts.hostkeys = None 

# 自定义传输层强制密码认证
transport = paramiko.Transport((sftp_host, sftp_port))
transport.connect(username=sftp_user, password=sftp_pass)
sftp_conn = pysftp.Connection(
    host=sftp_host,
    username=sftp_user,
    password=sftp_pass,
    transport=transport,
    cnopts=cnopts
)

• 验证依赖版本兼容性：旧版本paramiko存在与新版SSH服务端的兼容性问题，可执行pip install --upgrade paramiko pysftp升级到最新稳定版后重试。

3. GKE网络规则排查 #

• 检查防火墙与网络策略：确认VPC防火墙放行客户端IP到GKE实例22端口的入站流量，GKE集群未配置网络策略拦截SSH认证数据包。
• 验证端口映射正确性：若SFTP服务通过NodePort、LoadBalancer、Ingress暴露，确认端口映射规则配置正确，未将SFTP端口映射到其他服务的SSH端口，避免连接到非目标服务端。

内容的提问来源于stack exchange，提问作者Rodrigo Sierra Vargas