使用SSH Action部署项目时解决SSH握手失败问题

在持续集成/持续部署(CI/CD)流程中，使用SSH连接到远程服务器执行部署脚本是常见操作。本文将详细介绍在使用appleboy/ssh-action时遇到的SSH握手失败问题及其解决方案。

问题现象

开发者在GitHub Actions工作流中使用appleboy/ssh-action进行部署时，遇到了以下错误：

ssh: handshake failed: read tcp *****:*** ->*****:***: read: connection reset by peer

问题分析

这种SSH握手失败通常表明客户端与服务器之间的TCP连接被意外终止。可能的原因包括：

1. 服务器防火墙阻止了SSH连接
2. SSH服务未正常运行
3. 网络连接问题
4. 认证配置错误

排查步骤

1. 验证SSH密钥配置：

   • 确认公钥已添加到服务器的~/.ssh/authorized_keys文件
   • 检查GitHub Secrets中存储的私钥格式正确

2. 检查服务器SSH服务状态：

   • 确认SSH服务正在运行
   • 检查SSH服务监听的端口是否正确

3. 检查防火墙设置：

   • 查看服务器防火墙规则是否允许来自GitHub Actions IP范围的SSH连接
   • 确认端口未被其他安全组或网络ACL阻止

解决方案

在本案例中，问题最终定位到服务器防火墙配置。解决方案是：

1. 修改服务器防火墙规则，允许SSH端口(默认22)的入站连接
2. 如果使用非标准端口，确保防火墙规则中开放了相应端口
3. 对于云服务器，还需检查云平台的安全组设置

最佳实践建议

1. 测试SSH连接：在GitHub Actions工作流运行前，先在本地测试SSH连接
2. 详细日志：启用debug: true参数获取更多调试信息
3. 最小权限原则：为部署账户配置最小必要权限
4. 网络限制：如果可能，限制SSH连接来源IP为GitHub Actions的IP范围

总结

SSH连接问题在自动化部署中较为常见，大多数情况下与网络配置或安全设置相关。通过系统性的排查，可以快速定位并解决问题。记住，良好的日志记录和分步验证是解决这类问题的关键。

对于使用appleboy/ssh-action的用户，建议在实现完整工作流前，先建立一个简单的测试步骤验证SSH连接是否正常，这可以节省大量调试时间。