JSch 算法协商与 OSX El Capitan 协商失败

Question

我们有一个构建脚本，它使用 Ant <scp> 任务将文件上传到 Mac 服务器。 运行OSX 10.8(Mountain Lion(的服务器已经运行了一年或更长时间，但是我们最近将其升级到OSX 10.11(El Capitan(，现在<scp>任务失败，出现以下异常：

com.jcraft.jsch.JSchException: Algorithm negotiation fail

打开详细模式，日志如下所示：

[scp] Connecting to **SERVER-ADDRESS**:2220
[scp] Connecting to **SERVER-ADDRESS** port 2220
[scp] Connection established
[scp] Remote version string: SSH-2.0-OpenSSH_6.9
[scp] Local version string: SSH-2.0-JSCH-0.1.51
[scp] CheckCiphers: aes256-ctr,aes192-ctr,aes128-ctr,aes256-cbc,aes192-cbc,aes128-cbc,3des-ctr,arcfour,arcfour128,arcfour256
[scp] CheckKexes: diffie-hellman-group14-sha1
[scp] diffie-hellman-group14-sha1 is not available.
[scp] SSH_MSG_KEXINIT sent
[scp] SSH_MSG_KEXINIT received
[scp] kex: server: [e-mail],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1
[scp] kex: server: ssh-rsa,ssh-dss,ecdsa-sha2-nistp256,ssh-ed25519
[scp] kex: server: [e-mail],aes128-ctr,aes192-ctr,aes256-ctr,[e-mail],[e-mail]
[scp] kex: server: [e-mail],aes128-ctr,aes192-ctr,aes256-ctr,[e-mail],[e-mail]
[scp] kex: server: [e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-256,hmac-sha2-512,hmac-sha1
[scp] kex: server: [e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-256,hmac-sha2-512,hmac-sha1
[scp] kex: server: none,[e-mail]
[scp] kex: server: none,[e-mail]
[scp] kex: server:
[scp] kex: server:
[scp] kex: client: diffie-hellman-group1-sha1,diffie-hellman-group-exchange-sha1
[scp] kex: client: ssh-rsa,ssh-dss
[scp] kex: client: aes128-ctr,aes128-cbc,3des-ctr,3des-cbc,blowfish-cbc,aes192-cbc,aes256-cbc
[scp] kex: client: aes128-ctr,aes128-cbc,3des-ctr,3des-cbc,blowfish-cbc,aes192-cbc,aes256-cbc
[scp] kex: client: hmac-md5,hmac-sha1,hmac-sha2-256,hmac-sha1-96,hmac-md5-96
[scp] kex: client: hmac-md5,hmac-sha1,hmac-sha2-256,hmac-sha1-96,hmac-md5-96
[scp] kex: client: none
[scp] kex: client: none
[scp] kex: client:
[scp] kex: client:
[scp] Disconnecting from **SERVER-ADDRESS** port 2220

所以问题在于客户端和服务器都不支持单个算法，正如这篇类似的 SO 帖子中所讨论的那样：JSchException：算法协商失败和其他各种地方。 但是，从日志来看，客户端和服务器都支持至少一种算法，即"aes128-ctr"：

[SCP] KEX： 服务器： [e-mail]，AES128-CTR，AES192-CTR，AES256-CTR，[e-mail]，[e-mail]

和

[SCP] KEX： 客户： AES128-CTR，AES128-CBC，3DES-CTR，3DES-CBC，河豚-CBC，AES192-CBC，AES256-CBC

所以我不明白为什么他们不能协商算法，但即便如此，我还是继续安装了 JCE 无限强度管辖权策略文件，正如另一个 SO 问题中所建议的那样 - 您可以在上面的行中看到客户端现在支持 256 位算法。 这没有区别，大概是因为服务器支持"aes256-ctr"，客户端支持"aes256-cbc"。 但我仍然不明白为什么它不能使用"aes128-ctr">

请注意，客户端计算机正在运行 Windows，因此根据我在其他地方读到的内容(不记得确切的位置(，我也尝试清除 Putty 的 SSH 密钥缓存 - 这也没有什么区别(不是我期望的 - 我现在只是在尝试东西......

令人沮丧的是，看起来这篇文章 - 算法协商失败在 OSX"El Capitan"中部署 iOS 应用程序 - 处理同样的问题，并且有一个解决方案，但回答者只是说问题在他的产品中得到了修复，而没有解释修复是什么，我没有足够的声誉来发表评论要求更多详细信息

Answer 1

算法协商不仅涉及密码，还涉及密钥交换和 MAC。您没有任何通用的密钥交换算法：

[scp] kex: server: [e-mail],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1
[scp] kex: client: diffie-hellman-group1-sha1,diffie-hellman-group-exchange-sha1

客户端集非常小。您可能必须在客户端允许其他 Kex 方法。