Rainbond自建集群添加CentOS节点时SSH隧道设置失败问题解析

问题背景

在使用Rainbond平台自建集群时，当尝试添加运行CentOS系统的节点时，可能会遇到SSH隧道设置失败的错误。错误信息明确指出无法访问Docker socket文件，并提示在RedHat/CentOS系统上不能使用root用户进行操作。

错误现象

具体错误表现为：

Failed to set up SSH tunneling for host [XXXXX]: Can't retrieve Docker Info: error during connect: Get "http://%2Fvar%2Frun%2Fdocker.sock/v1.24/info": Unable to access the Docker socket (/var/run/docker.sock). Please check if the configured user can execute `docker ps` on the node, and if the SSH server version is at least version 6.7 or higher. If you are using RedHat/CentOS, you can't use the user `root`. Please refer to the documentation for more instructions. Error: ssh: rejected: administratively prohibited (open failed)

问题原因分析

1. 用户权限问题：在RedHat/CentOS系统中，Rainbond出于安全考虑禁止直接使用root用户进行节点添加操作。

2. SSH配置限制：CentOS系统的SSH服务默认配置可能限制了某些操作，导致SSH隧道无法正常建立。

3. Docker访问权限：指定的用户可能没有足够的权限访问Docker socket文件(/var/run/docker.sock)。

解决方案

1. 创建专用管理用户

在CentOS节点上创建一个专门用于Rainbond管理的非root用户：

useradd rainbond
passwd rainbond

2. 配置用户Docker权限

将新创建的用户添加到docker组中：

usermod -aG docker rainbond

3. 配置SSH免密登录

在Rainbond管理节点上生成SSH密钥对，并将公钥添加到CentOS节点的authorized_keys文件中：

# 在Rainbond管理节点执行
ssh-keygen -t rsa
ssh-copy-id rainbond@<CentOS节点IP>

4. 修改SSH配置

在CentOS节点上编辑SSH配置文件/etc/ssh/sshd_config，确保包含以下配置：

AllowTcpForwarding yes
PermitTunnel yes

然后重启SSH服务：

systemctl restart sshd

5. 使用新用户添加节点

在Rainbond UI中添加节点时，使用新创建的rainbond用户而非root用户。

验证步骤

1. 测试SSH连接：

ssh rainbond@<CentOS节点IP>

2. 验证Docker权限：

docker ps

3. 检查SSH隧道功能：

ssh -N -L 8080:localhost:80 rainbond@<CentOS节点IP>

注意事项

1. 确保CentOS节点的SSH服务版本不低于6.7，否则可能不支持必要的功能。

2. 如果使用SELinux，可能需要调整相关策略以允许SSH隧道操作。

3. 建议定期审计管理用户的权限，遵循最小权限原则。

通过以上步骤，应该能够成功解决在Rainbond平台中添加CentOS节点时遇到的SSH隧道设置失败问题。如果问题仍然存在，建议检查系统日志(/var/log/messages和/var/log/secure)获取更详细的错误信息。