香港服务器SSH登录失败原因
2025-11-25 03:01:38 丨 来源：紫云
香港服务器 SSH 登录失败的常见原因与排查要点
一 常见原因分类
- 网络与访问控制
- 云厂商的安全组/NACL未放行你的来源 IP 与 SSH 端口（默认 22），或仅临时放行后过期。
- 服务器本机的 iptables/firewalld 未放行 SSH 端口，或规则顺序导致被 DROP/REJECT。
- 修改过 SSH 端口后，安全组、系统防火墙、sshd_config 三者未同步更新。
- 本地或上游网络对 ICMP/22 端口有限制，或存在国际链路波动导致超时。
- 服务器侧安全软件/登录审计策略对未知来源 IP进行拦截（常见于企业安全策略）。
- 服务与端口
- sshd 服务未运行/崩溃，或系统未安装 OpenSSH 服务器。
- SSH 未监听正确的 IP/端口（如仅监听内网或注释了 Port 22）。
- 端口被其他进程占用或未处于 LISTEN 状态。
- 认证与会话
- 用户名/密码错误，或账号被锁定/过期。
- root 登录被禁用（PermitRootLogin 为 no 或 prohibit-password）。
- 密钥认证配置错误：本地私钥权限不当（应为 600）、服务器侧 ~/.ssh/authorized_keys 未正确写入或权限错误。
- 客户端主机密钥缓存干扰（known_hosts 冲突）。
二 快速排查步骤
- 在云控制台确认实例运行状态正常，并在安全组入方向放通你的来源 IP/网段与 SSH 端口（默认 22）；若修改过端口，确保规则同步更新。
- 本地执行基础连通性测试：
- ping 服务器公网 IP（判断是否能到达）。
- telnet 服务器IP 22（或自定义端口）（“Connection refused”多为端口未开放，“超时”多为防火墙丢弃/网络不通）。
- 通过VNC/控制台登录服务器，检查：
- 服务状态：systemctl status sshd；必要时重启：systemctl restart sshd。
- 监听端口：ss -tulpen | grep ':22' 或 netstat -tulpen | grep ':22'；确认监听 0.0.0.0:22 而非仅 127.0.0.1 或内网地址。
- 配置文件：/etc/ssh/sshd_config 中的 Port/PermitRootLogin/PasswordAuthentication/AllowUsers 等关键项；修改后重启 sshd。
- 本机防火墙：firewall-cmd --list-all 或 iptables -L -n，确保放行 SSH 端口。
- 复核认证要素：
- 密码登录：确认用户名与密码正确，账号未过期/锁定。
- 密钥登录：本地私钥权限 600，服务器侧 ~/.ssh/authorized_keys 包含你的公钥且权限正确（600/700）。
- 清理 known_hosts 冲突或使用 ssh -o StrictHostKeyChecking=no 临时绕过（仅测试用）。
- 若“国内访问海外偶发超时”，使用 MTR/traceroute 定位路由波动节点，并考虑更换出口线路或联系运营商。
三 典型报错与对应处理
| 报错现象 | 高概率原因 | 处理要点 |
|---|
| Connection refused | SSH 服务未运行/端口未监听/防火墙拒绝 | 启动 sshd；确认监听 22/自定义端口；放行安全组与系统防火墙 |
| Connection timed out | 安全组/防火墙完全丢弃/网络不通/上游限制 | 放通安全组与防火墙；检查本地与云侧网络限制；做 ping/MTR 排查 |
| Authentication failed / Access denied | 用户名/密码错误；账号过期/锁定；root 被禁用；密钥未正确配置 | 核对凭证与账号状态；检查 PermitRootLogin/PasswordAuthentication；修正密钥与权限 |
| read: Connection reset by peer | 修改端口后未同步安全组/防火墙/sshd_config；或策略中断连接 | 同步更新安全组、系统防火墙与 sshd_config 的端口并重启 sshd |
| Host key verification failed | known_hosts 记录冲突 | 清理对应条目或临时使用 StrictHostKeyChecking=no（测试） |
| Permission denied (publickey) | 私钥权限不当；公钥未写入 authorized_keys；用户不在 AllowUsers | 设置私钥 600；正确追加公钥；检查 AllowUsers/DenyUsers 配置 |
四 香港节点的额外注意
- 跨境链路相较国内更易出现时延抖动与丢包，偶发超时属常见现象；建议用 MTR 持续采样定位问题节点，并在关键业务时段选择更稳定的出口或链路。
- 出于安全合规，建议仅放通可信来源 IP，并尽量使用非 22 端口配合密钥登录，同时保留控制台应急访问通道。
