Ansible SSH转发失效：负载均衡后Web服务器SSL证书同步故障排查

看起来你遇到的是手动操作正常，但Ansible自动化执行时SSH代理转发失效的典型场景，结合你的Let's Encrypt密钥同步需求，我从几个核心方向帮你拆解问题：

1. 先确认Ansible是否开启了SSH代理转发 #

手动SSH连接时，你可能默认开启了代理转发（比如本地~/.ssh/config里配置了ForwardAgent yes），但Ansible默认不会自动启用这个功能。你需要显式配置：

• 编辑ansible.cfg的[ssh_connection]段，添加-A参数开启代理转发：

  [ssh_connection]
  ssh_args = -o ControlMaster=auto -o ControlPersist=60s -A
  

• 或者在单个playbook里临时指定：

  - hosts: web1
    vars:
      ansible_ssh_extra_args: "-A"
    tasks:
      # 你的同步任务
  

2. 检查执行用户的一致性 #

手动操作和Ansible执行可能用了不同的用户（比如手动是普通用户ubuntu，Ansible默认用root），这会导致两个关键差异：

• SSH代理的socket路径（SSH_AUTH_SOCK环境变量）不同，Ansible执行用户可能找不到你的SSH代理
• 密钥文件的权限和所属用户不一致，导致同步后SSH连接被拒绝

可以先在playbook里添加任务对比环境变量：

- name: 打印当前SSH_AUTH_SOCK路径
  command: echo $SSH_AUTH_SOCK
  register: auth_sock
- debug: var=auth_sock.stdout

如果输出为空或者和手动执行时的路径不一样，说明代理没被正确继承。这时候可以考虑：

• 让Ansible用你手动操作的用户执行（在playbook里设置remote_user: your_username）
• 或者在同步任务里显式设置密钥文件的权限：

  - name: 同步SSL密钥到web2
    copy:
      src: /etc/letsencrypt/live/yourdomain.com/
      dest: /etc/letsencrypt/live/yourdomain.com/
      mode: '0600'
      owner: your_username
      group: your_username
      remote_src: yes
  

3. 排查Ansible的SSH连接复用配置 #

Ansible默认启用的ControlMaster连接复用可能会干扰代理转发，尤其是当ControlPath配置有冲突时。你可以尝试：

• 调整ansible.cfg里的control_path为更通用的格式：

  control_path = %(directory)s/%%h-%%p-%%r
  

• 或者临时关闭连接复用，验证是否是这个问题：

  [ssh_connection]
  ssh_args = -o ControlMaster=no -A
  

4. 检查Certbot钩子脚本的执行环境 #

如果你的密钥同步是通过Certbot的renew钩子触发的，那当Ansible执行Certbot命令时，钩子脚本的环境是Ansible的执行环境，可能没有继承SSH代理。这种情况下，你需要在钩子脚本里显式指定代理参数：

# 在你的Certbot钩子脚本里，把SSH命令改成带-A参数
scp -A /path/to/keys/* web2:/path/to/keys/

内容的提问来源于stack exchange，提问作者Nathan