如何在cron环境下自动匹配正确的SSH密钥口令以建立隧道

嗨，这个问题我之前帮不少人处理过，其实有两种比较靠谱的方案，根据你的使用场景可以灵活选择：

方案一：用Expect脚本精准匹配提示（适合临时快速解决） #

sshpass的局限性在于它只能应对单一的密码提示，但服务器可能抛出不同的密钥口令请求，这时候Expect脚本就派上用场了——它能监听SSH输出的提示字符串，然后自动发送对应的口令。

你可以写一个这样的Expect脚本（记得替换里面的实际内容）：

#!/usr/bin/expect -f
set timeout 10

# 替换成你的SSH隧道命令，比如本地端口转发：ssh -L 8080:localhost:80 user@your-server-ip
spawn /usr/bin/ssh -L 本地端口:目标地址:目标端口 user@server

expect {
    # 匹配服务器密码提示
    "user@server's password:" {
        send "你的服务器登录密码\r"
        exp_continue  # 继续监听后续可能的提示
    }
    # 匹配id_rsa密钥的口令提示
    "Enter passphrase for key '/home/he/.ssh/id_rsa':" {
        send "你的id_rsa密钥口令\r"
        exp_continue
    }
    # 匹配id_ed25519密钥的口令提示
    "Enter passphrase for key '/home/he/id_ed25519':" {
        send "你的id_ed25519密钥口令\r"
        exp_continue
    }
    # 匹配登录成功后的提示符（根据你的服务器调整，比如$或#）
    "$ " { interact }
    "# " { interact }
}

用法步骤： #

1. 给脚本加执行权限：chmod +x ssh_tunnel.expect
2. 测试脚本是否能正常运行：./ssh_tunnel.expect
3. 在cron里添加任务，比如每5分钟运行一次：

   */5 * * * * /path/to/ssh_tunnel.expect >> /var/log/ssh_tunnel.log 2>&1
   

   （注意：cron环境的PATH比较窄，最好用命令的绝对路径，比如/usr/bin/expect，可以用which expect查具体路径）

方案二：用Keychain+SSH-Agent管理密钥（更安全优雅的长期方案） #

上面的方案虽然能解决问题，但脚本里明文写口令有安全风险。更推荐用Keychain配合SSH-Agent来缓存密钥口令，这样既不用手动输入，也避免了明文存储的问题。

步骤： #

1. 先安装Keychain：
   • Ubuntu/Debian：sudo apt install keychain
   • CentOS/RHEL：sudo yum install keychain
2. 在你的cron任务脚本里加入以下内容（或者直接写在crontab里）：

   # 让Keychain加载并缓存指定的密钥
   eval $(keychain --eval id_rsa id_ed25519)
   # 执行你的SSH隧道命令
   /usr/bin/ssh -L 本地端口:目标地址:目标端口 user@server
   

3. 第一次手动运行这个脚本时，会提示你输入每个密钥的口令，之后Keychain会把口令加密缓存到本地，后续cron运行时就自动加载，不需要再输入了。

为什么推荐这个方案？ #

• 安全性更高：口令不会明文出现在脚本里，而是加密缓存
• 扩展性强：后续新增密钥只需要在keychain --eval后面加上密钥文件名即可
• 维护更简单：不用因为服务器提示字符串变化而修改脚本

一些额外注意事项 #

• 确保cron能访问到你的SSH密钥文件，密钥文件权限最好设为chmod 600 ~/.ssh/id_rsa（避免其他用户读取）
• 如果用Expect脚本，一定要保证脚本里的提示字符串和服务器输出的完全一致（包括空格、大小写），可以先手动运行SSH命令确认提示内容
• 给cron任务加上日志输出（比如上面的>> /var/log/ssh_tunnel.log 2>&1），方便后续排查问题

备注：内容来源于stack exchange，提问作者user37342