ssh代理转发需本地ssh-agent启动并加载密钥、每跳~/.ssh/config显式配置forwardagent yes、跳板机sshd_config中allowagentforwarding yes三者缺一不可；仅$ssh_auth_sock有值不等于可用，必须ssh-add -l验证指纹一致且能执行git clone等实际操作。
SSH 密钥配合代理转发不是“配一次就通”，而是需要本地 agent、逐跳配置、服务端许可三者严丝合缝。核心在于：私钥不离身，签名能力透传，每跳都得主动放行。
本地必须启动并加载密钥的 ssh-agent
代理转发依赖本地运行的 ssh-agent 进程提供签名服务，不是靠磁盘上的私钥文件。
- 运行 eval $(ssh-agent) 确保 agent 已启动（多数桌面环境自动完成，但脚本或终端复用时可能未激活）
- 用 ssh-add ~/.ssh/id_rsa（或你实际使用的密钥路径）把私钥加载进 agent；带密码的只需输一次
- 执行 ssh-add -l 确认指纹已列出——这是后续所有验证的起点
~/.ssh/config 必须逐跳显式开启 ForwardAgent yes
转发不是继承式，而是每跳连接都需单独声明。Host * 会覆盖具体配置，务必避免放在开头。
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 跳板机配置块中写：ForwardAgent yes
- 目标服务器配置块中，若通过 ProxyJump 连接，仍建议显式加上 ForwardAgent yes（虽可继承，但显式更可靠）
- 示例：
Host bastion<br> HostName 192.168.1.10<br> User admin<br> ForwardAgent yes<br><br>Host app-server<br> HostName 10.0.2.5<br> User deploy<br> ProxyJump bastion<br> ForwardAgent yes
跳板机必须允许代理继续向下转发
跳板机本身不存私钥，但它要充当“可信中继”。sshd 默认允许，但加固策略常禁用它。
- 登录跳板机，检查 grep AllowAgentForwarding /etc/ssh/sshd_config
- 确认输出为 AllowAgentForwarding yes（不是 no，也不是被注释掉）
- 改完保存即可生效，无需重启 sshd 服务
- 顺手确认 PasswordAuthentication no 已启用，防止攻击者绕过密钥降级登录
验证是否真正在远端拿到签名能力
只看 $SSH_AUTH_SOCK 有值是假阳性。关键看能否调用本地密钥完成实际认证。
- 连上目标服务器后，先运行 echo $SSH_AUTH_SOCK —— 应输出类似
/tmp/ssh-XXXXX/agent.XXXX - 再运行 ssh-add -l —— 输出的指纹必须和本地 ssh-add -l 完全一致
- 最后测试真实场景：ssh -T git@github.com 或 git clone git@github.com:me/private.git
- 失败常见原因：跳板机没开 AllowAgentForwarding、config 没写 ForwardAgent、或用了 ssh -i 直连（绕过了 agent）
