SSH代理转发中Host与Hostname不同时的跳板机身份认证优化问题

我完全懂你的痛点——客户端配置了Host别名和IdentitiesOnly能正常连接目标服务器，但通过跳板机转发代理后，不仅跳板机不认你的gitserver别名，还因为代理里密钥太多触发「too many authentication failures」报错，又不想每台跳板机都改SSH配置，想要一个便携的解决方案对吧？

下面给你几个实用的解决思路，按推荐优先级排序：

最推荐的便携方案：用ProxyJump替代代理转发 #

直接在你的客户端SSH配置里给gitserver加上ProxyJump，把跳板机作为中间跳转节点，这样所有连接逻辑都由客户端处理，跳板机不需要任何额外配置：

修改客户端的C:\Users\user\.ssh\config文件：

Host gitserver
    Hostname gitserver.example.com
    User git
    IdentityFile C:\Users\user\.ssh\id_rsa.pub
    IdentitiesOnly yes
    ProxyJump first-hop-server  # 替换成你的跳板机地址或别名，比如user@first-hop.example.com

之后你直接在客户端执行ssh gitserver，SSH会自动通过跳板机跳转连接目标服务器，而且完全遵循客户端的IdentitiesOnly配置，只会尝试你指定的密钥，不会遍历代理里的所有密钥，自然不会触发认证次数超限的问题。跳板机根本不需要知道gitserver这个别名，所有解析和配置都在客户端完成，完美满足你「便携」的需求。

如果一定要用代理转发的替代方法 #

如果你因为某些原因必须保持代理转发（比如跳板机上还要做其他操作，需要持续使用代理），可以在跳板机上连接目标服务器时手动指定参数，强制只使用代理里的特定密钥，不用在跳板机写配置：

在跳板机上执行以下命令：

ssh -o IdentitiesOnly=yes -o PreferredAuthentications=publickey git@gitserver.example.com

这里的IdentitiesOnly=yes会让SSH跳过自动加载跳板机本地的密钥，只使用代理提供的密钥；PreferredAuthentications=publickey则强制只用公钥认证，避免尝试其他认证方式占用次数。不过这个方法需要你记住目标服务器的完整地址（因为跳板机不认你的gitserver别名），不如ProxyJump来得方便。

补充：为什么客户端的IdentitiesOnly在跳板机上不生效？ #

你提到客户端的IdentitiesOnly yes能正常限制本地连接的密钥尝试，但转发到跳板机后就失效——这是因为IdentitiesOnly是客户端本地的配置，只对你自己的SSH客户端生效，跳板机上的SSH进程是独立的，它不知道你的客户端配置，所以会默认遍历代理中的所有密钥，直到达到认证次数上限。而ProxyJump的核心优势就是把整个连接流程都放在客户端控制下，所有配置规则都用你本地的，跳板机只是个「管道」，完全不用操心它的配置。

备注：内容来源于stack exchange，提问作者Benargee