虚拟机下pysftp连接SFTP出现认证超时，命令行可正常登录如何排查？

从提供的pysftp运行日志可以看到，完整的SSH连接流程在以下节点中断：

• TCP连通、SSH版本协商、密钥交换、主机密钥校验环节全部无报错完成
• 日志记录03:11:44.430 标记公钥认证请求已发出，之后整整30秒未收到任何服务器响应，最终在03:12:14触发传输通道EOF断开
• 结合已知验证条件：同一份代码在本地设备可正常执行、VM中命令行执行sftp -i <id_file> userid@hostname 可正常登录，可排除凭证错误、端口不通、基础权限配置错误的问题，故障差异仅来自VM环境下的网络路由、客户端兼容性、服务器策略拦截三类因素。

1. 排查VM出站网络的源IP差异 #

• 命令行SSH客户端会自动读取系统全局代理、SSH配置文件中的ProxyCommand规则完成连接，但pysftp/Paramiko是纯Python实现，不会自动加载上述系统配置
• 很多VM环境会对不同进程的出站请求做源NAT转换：命令行sftp的请求出口IP可能被服务器加入了信任列表，但Python进程发起的请求出口IP是另一个陌生地址，触发服务器端fail2ban、hosts.deny规则静默丢弃请求，不会返回任何错误响应，最终等满超时断开
• 验证方式：
  • 在VM中分别获取命令行sftp和Python进程的实际出口公网IP，确认两者是否完全一致
  • 临时执行sftp -F /dev/null -i <私钥路径> 用户@服务器地址（强制不加载SSH自定义配置）测试连接，如果复现30秒无响应超时，即可确认是网络出口IP不匹配问题，调整VM出站路由规则即可解决

2. 解决私钥格式的兼容问题 #

• 日志显示当前依赖的Paramiko版本为2.7.2，该版本对OpenSSH格式私钥（以-----BEGIN OPENSSH PRIVATE KEY-----开头）的支持存在缺陷：虽然可以正常加载私钥，但生成的认证报文格式和原生SSH客户端存在差异，可能被旧版服务器拒绝
• 解决操作：
  • 执行命令把私钥转换为兼容的PEM格式：ssh-keygen -p -m PEM -f <私钥文件路径>
  • 检查私钥文件权限，确保仅当前用户可读（权限值600），过宽的权限会导致Paramiko加载私钥失败
  • 注意：当前pysftp库已多年停止维护，建议直接使用Paramiko原生的SFTPClient逻辑替代pysftp，避免长期版本兼容问题

3. 调整SSH算法协商配置 #

• 目标服务器运行的是OpenSSH 6.4旧版本，新版Paramiko默认优先协商的ECDH密钥交换算法在部分旧服务器上存在认证流程bug
• 在连接配置中显式指定兼容旧服务器的算法列表，示例代码：

  import pysftp
  # 自定义连接参数
  cnopts = pysftp.CnOpts()
  # 禁用旧服务器不兼容的算法
  cnopts.disabled_algorithms = {
      "kex": ["ecdh-sha2-nistp256", "ecdh-sha2-nistp384", "ecdh-sha2-nistp521"],
      "keys": ["ssh-ed25519"]
  }
  with pysftp.Connection(
      hostname=hostname,
      username=userid,
      private_key=keyFile,
      log=logfile,
      cnopts=cnopts,
      timeout=60  # 拉长超时时间避免过早断开
  ) as sftp:
      print("Success")
  

• 强制降级密钥交换算法为服务器支持的diffie-hellman-group14-sha1，匹配最稳定的认证流程

4. 匹配客户端版本标识绕过校验 #

• 部分SFTP服务器会配置客户端特征白名单：仅允许原生OpenSSH客户端发起认证请求，Paramiko默认的客户端版本标识为SSH-2.0-paramiko_xxx，会被安全策略静默丢弃请求
• 解决方法：在连接时把Paramiko的本地版本标识修改为和VM中原生命令行sftp完全一致的版本号，绕过特征校验。

内容的提问来源于stack exchange，提问作者zievher