WinSCP 6.5.6 与 OpenSSH 密钥认证解决“Server refused our key”的3个步骤在Windows环境下使用WinSCP进行文件传输时密钥认证相比传统的密码登录提供了更高的安全性和便利性。然而许多用户在配置过程中会遇到Server refused our key的错误提示导致连接失败。本文将深入分析这一问题的根源并提供三个关键步骤的解决方案。1. 密钥对生成与格式验证密钥认证的第一步是生成正确的密钥对。虽然这个过程看似简单但密钥格式和类型的选择直接影响后续的认证成功率。1.1 选择合适的密钥类型目前主流的密钥类型包括密钥类型安全性兼容性推荐场景RSA 2048中高传统系统兼容RSA 4096高中高安全需求ECDSA高中现代系统Ed25519最高低最新OpenSSH版本对于Windows OpenSSH环境推荐使用RSA 2048或RSA 4096密钥以确保最佳兼容性。1.2 使用PuTTYgen生成密钥WinSCP默认使用PuTTY格式的密钥(.ppk)生成步骤如下打开PuTTYgen工具WinSCP安装包中包含在Parameters区域选择密钥类型如RSA点击Generate按钮并移动鼠标生成随机性在Key comment字段添加描述信息可选设置密钥密码推荐但不强制点击Save private key保存私钥文件复制Public key for pasting into OpenSSH authorized_keys file中的公钥内容注意务必保存好私钥文件丢失后将无法恢复。同时建议备份公钥内容。1.3 验证密钥格式常见的密钥格式问题包括公钥缺少开头的ssh-rsa标识公钥内容被意外修改或截断私钥文件损坏或不完整可以通过以下命令验证公钥格式是否正确# 在Linux或WSL中执行 ssh-keygen -l -f /path/to/public_key.pub正确的输出应显示密钥指纹和注释信息。2. 服务器端配置与权限设置Windows OpenSSH服务器对密钥文件的存放位置和权限有严格要求这是导致Server refused our key错误的常见原因。2.1 标准用户密钥配置对于普通用户账户密钥文件应存放在用户目录下的.ssh文件夹中创建.ssh目录如果不存在mkdir $env:USERPROFILE\.ssh创建或编辑authorized_keys文件notepad $env:USERPROFILE\.ssh\authorized_keys将PuTTYgen生成的公钥内容粘贴到文件中保存退出2.2 管理员账户特殊配置Windows对管理员账户有特殊的安全要求密钥文件必须存放在特定位置确认目录存在if (!(Test-Path $env:ProgramData\ssh)) { mkdir $env:ProgramData\ssh }创建或编辑管理员专用密钥文件notepad $env:ProgramData\ssh\administrators_authorized_keys粘贴公钥内容并保存2.3 关键权限设置Windows OpenSSH对文件权限极为敏感错误的权限设置会导致密钥被拒绝。执行以下PowerShell脚本设置正确权限# 对于标准用户 icacls $env:USERPROFILE\.ssh /inheritance:r icacls $env:USERPROFILE\.ssh /grant:r $env:USERNAME:(F) icacls $env:USERPROFILE\.ssh\authorized_keys /inheritance:r icacls $env:USERPROFILE\.ssh\authorized_keys /grant:r $env:USERNAME:(F) # 对于管理员账户 icacls $env:ProgramData\ssh\administrators_authorized_keys /inheritance:r icacls $env:ProgramData\ssh\administrators_authorized_keys /grant:r SYSTEM:(F) icacls $env:ProgramData\ssh\administrators_authorized_keys /grant:r Administrators:(F)2.4 验证服务器配置检查OpenSSH服务器配置文件中是否启用了密钥认证打开配置文件notepad $env:ProgramData\ssh\sshd_config确认以下设置PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys对于管理员账户确保包含AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys修改配置后重启服务使更改生效Restart-Service sshd3. WinSCP客户端配置与连接测试正确的客户端配置是成功连接的最后一环需要特别注意密钥格式和认证方式的选择。3.1 会话配置步骤打开WinSCP点击新建会话选择SFTP协议输入服务器地址和用户名点击高级按钮导航至SSH 认证页面在私钥文件字段选择之前保存的.ppk文件确认允许代理转发选项未被勾选除非明确需要保存会话设置3.2 调试连接问题当遇到Server refused our key错误时可以启用详细日志帮助诊断在WinSCP主界面选择命令 首选项导航至日志页面将日志级别设置为调试或诊断尝试重新连接检查日志中的详细错误信息常见的日志错误及解决方案No supported authentication methods available通常表示服务器拒绝了所有认证方式检查服务器是否启用了公钥认证Server refused our key密钥文件权限问题或公钥未正确安装到服务器Permission denied (publickey)认证失败检查用户名、私钥是否匹配服务器上的公钥3.3 替代方案测试如果问题仍然存在可以尝试以下替代方法使用Pageant代理启动PageantPuTTY认证代理添加私钥到Pageant在WinSCP中勾选认证 尝试使用Pageant认证转换为OpenSSH格式密钥在PuTTYgen中加载私钥选择转换 导出OpenSSH密钥在WinSCP中使用转换后的密钥临时启用密码认证在服务器sshd_config中设置PasswordAuthentication yes重启sshd服务使用密码登录后重新检查密钥配置3.4 安全加固建议成功配置密钥认证后建议采取以下安全措施禁用密码认证PasswordAuthentication no限制可登录用户AllowUsers your_username更改默认SSH端口可选Port 2222配置防火墙规则限制SSH访问来源IP修改配置后不要忘记重启服务Restart-Service sshd高级排查与技巧即使按照上述步骤操作某些特殊环境下仍可能出现问题。以下是更深层次的排查方法。系统日志分析Windows事件查看器中包含OpenSSH的详细日志打开事件查看器导航至应用程序和服务日志 OpenSSH筛选最近的错误事件分析错误详情常见的有密钥文件权限不足认证超时用户权限问题网络层排查使用telnet或Test-NetConnection验证基本连接Test-NetConnection -ComputerName 服务器IP -Port 22如果连接失败检查防火墙是否放行了SSH端口网络ACL规则是否限制服务器是否监听正确IP地址密钥缓存问题有时系统会缓存旧的密钥信息导致新配置不生效。可以尝试清除客户端known_hosts文件重启sshd服务重启Windows SSH Agent服务多用户环境处理在多用户共享系统中需要注意每个用户应有独立的.ssh目录和authorized_keys文件避免使用共享账户进行密钥认证为每个用户生成独立的密钥对自动化部署建议对于需要批量部署的场景可以使用PowerShell脚本自动化# 自动部署公钥脚本 $pubKey ssh-rsa AAAAB3NzaC1yc2EAAA... userhost $sshPath $env:USERPROFILE\.ssh $authFile $sshPath\authorized_keys if (!(Test-Path $sshPath)) { New-Item -ItemType Directory -Path $sshPath } Add-Content -Path $authFile -Value $pubKey # 设置权限 icacls $sshPath /inheritance:r icacls $sshPath /grant:r $env:USERNAME:(F) icacls $authFile /inheritance:r icacls $authFile /grant:r $env:USERNAME:(F)将上述脚本保存为.ps1文件在目标系统上执行即可完成密钥部署。
