解决使用Paramiko连接FortiGate防火墙时的SSH密钥警告问题

在使用Python进行网络设备自动化时，Paramiko是一个常用的SSH连接库。然而，许多开发者在连接FortiGate防火墙时都会遇到一个令人困惑的问题：明明使用密码认证，却会出现"ssh invalid key"之类的警告信息，但连接却能正常建立。本文将深入分析这一问题，并提供彻底解决的方案。

问题现象

当使用Paramiko连接FortiGate防火墙时，即使明确使用密码认证，仍然可能会遇到类似下面的警告：

Authentication exception: Invalid key

或者

SSHException: Invalid key

尽管出现这些警告，SSH连接却能够成功建立并正常执行命令，这使得问题更加令人困惑。

问题根源

经过深入分析，这个问题源于Paramiko库的默认行为机制：

Paramiko的默认认证流程：即使你打算使用密码认证，Paramiko默认会先尝试使用SSH密钥认证
密钥查找机制：Paramiko会自动查找本地系统中的SSH密钥文件（如~/.ssh/id_rsa、~/.ssh/id_dsa等）
FortiGate的响应：当FortiGate收到这些密钥认证尝试时，由于没有配置对应的公钥，会返回"invalid key"错误

简单来说，Paramiko在尝试密码认证之前，会先"多此一举"地尝试使用本地密钥文件进行认证，从而触发了FortiGate的警告响应。

解决方案

要彻底解决这个问题，需要在Paramiko连接参数中明确禁用密钥认证相关的行为：

python

import paramiko

# 创建SSH客户端
client = paramiko.SSHClient()

# 自动添加主机密钥（仅限测试环境）
client.set_missing_host_key_policy(paramiko.AutoAddPolicy())

try:
    # 建立连接
    client.connect(
        hostname='your_firewall_ip',
        username='your_username',
        password='your_password',
        look_for_keys=False,  # 关键参数：禁用本地密钥查找
        allow_agent=False,    # 辅助参数：禁用SSH代理
        timeout=10
    )
    
    print("连接成功！")
    
    # 执行命令示例
    stdin, stdout, stderr = client.exec_command("get system status")
    output = stdout.read().decode()
    print(output)
    
    # 关闭连接
    client.close()
    
except Exception as e:
    print(f"连接失败: {e}")
    if 'client' in locals():
        client.close()

关键参数解析

1. `look_for_keys=False`（主要解决方案）

作用：禁止Paramiko查找本地SSH密钥文件
效果：彻底避免了因尝试使用无效密钥而触发的警告
重要性：这是解决此问题的最关键参数

2. `allow_agent=False`（辅助解决方案）

作用：禁用SSH代理，防止Paramiko通过代理获取密钥
效果：提供额外的保障，确保不会通过任何途径尝试密钥认证
重要性：虽然不是主要原因，但建议同时设置以彻底解决问题

生产环境最佳实践

对于生产环境，不建议使用AutoAddPolicy()，因为它会自动接受未知的主机密钥，存在安全风险。推荐的做法是：

python

import paramiko
from paramiko import SSHClient

# 更安全的方式：使用已知主机密钥
client = SSHClient()
client.load_system_host_keys()  # 加载系统已知主机密钥

try:
    client.connect(
        hostname='your_firewall_ip',
        username='your_username',
        password='your_password',
        look_for_keys=False,
        allow_agent=False,
        timeout=10
    )
    # ... 执行操作 ...
except paramiko.ssh_exception.SSHException as e:
    print(f"SSH连接错误: {e}")
except Exception as e:
    print(f"其他错误: {e}")
finally:
    client.close()

为什么这两个参数有效？

理解Paramiko的默认行为有助于我们明白为什么这两个参数如此有效：

默认的认证尝试顺序：
- SSH代理中的密钥
- 本地密钥文件中的密钥
- 密码认证
问题产生的原因：
- Paramiko在前两个步骤中尝试了密钥认证
- FortiGate因未配置对应公钥而返回错误
- 但Paramiko继续尝试密码认证并成功
解决方案的效果：
- look_for_keys=False跳过了本地密钥查找
- allow_agent=False跳过了SSH代理查询
- 两者结合确保Paramiko直接使用密码认证

总结

在使用Paramiko连接FortiGate防火墙时出现的SSH密钥警告问题，根本原因是Paramiko的默认行为会先尝试密钥认证，即使我们打算使用密码认证。

通过设置两个关键参数：

look_for_keys=False（主要作用）
allow_agent=False（辅助作用）

我们可以彻底避免不必要的密钥认证尝试，从而消除令人困惑的警告信息，同时确保连接的安全性和稳定性。

这一解决方案不仅适用于FortiGate防火墙，对于其他网络设备（如Cisco、Juniper等）在类似场景下也可能有效。希望本文能帮助你在网络自动化项目中更加顺利地进行设备连接与管理。