使用 VIP 的 SSH 主机密钥验证问题

Question

我们在 VIP 上有 2 台生产服务器，一次只有一台在使用，例如：

myservice.mycompany.uk 通常指向 server1，如果 server1 出现故障，它会更改为指向 server2。

还有一些其他服务器需要通过 SFTP 将文件发送到 myservice.mycompany.uk，如果我们故障转移到 server2，它应该对它们完全透明。

问题是，虽然在 server1 和 server2 上都安装了密钥，但其他服务器会出现主机密钥验证问题，因为 server2 的主机密钥与 server1 的主机密钥不同。这会导致安全错误（因为启用了严格检查），必须从 known_hosts 中删除一行才能使其工作。

我们的 IT 人员建议我们可以在 known_hosts 中创建 2 个条目，一个使用 server1 的密钥，一个使用 server2 的密钥，两者都使用主机 myservice.mycompany.uk。

这可能奏效吗？如何在 Windows 上使用 putty/psftp 完成此操作？由于主机密钥存储在注册表中，因此不允许重复名称。有没有更好的方法，例如，我们可以强制服务器具有相同的主机密钥吗？

Answer 1

为了让客户端更容易，我只会在两台机器上使用相同的主机密钥。只需将其中一个密钥（当前正在使用的服务器中的一个）复制到第二台机器上。他们的钥匙在/etc/ssh/ssh_host_*.

另一种选择是停用对客户端的主机密钥检查。这可以通过调整它们ssh_config的使用来完成：

Host myservice.mycompany.uk
    StrictHostKeyChecking