直接答案：SSH 连接不上时，先完整记录客户端报错，并判断失败发生在 TCP 建连、SSH 握手、主机身份验证还是用户认证。Connection timed out、Connection refused、Host key verification failed、Permission denied (publickey) 不能用同一种方法修。任何涉及防火墙、端口、sshd_config 或密钥的操作，都应先保留当前可用会话，并确认云控制台/VNC/串口等带外入口可用。
不要一遇到问题就删除客户端 known_hosts、开放 22 给全网、启用密码登录或允许 root。那些做法可能让一次配置错误变成安全事件。排查目标是在不降低长期安全性的前提下恢复一条可验证的管理通道。
按错误文本进入正确分支
| 报错/现象 | 已到达哪一层 | 优先检查 |
|---|---|---|
Connection timed out |
TCP 未完成 | IP、端口、安全组、防火墙、路由 |
Connection refused |
目标可达但端口无服务或被主动拒绝 | sshd 状态、监听端口、监听地址 |
No route to host |
本地或中间路由失败，也可能防火墙返回不可达 | 路由、VPN、地址族、目标 IP |
Host key verification failed |
已连接到 SSH 服务 | 主机是否重装/换 IP，密钥是否真的改变 |
Permission denied (publickey) |
服务端拒绝用户认证 | 用户名、公钥、目录权限、认证策略 |
| 输入密码后失败 | 已进入密码认证 | 账号状态、密码策略、PAM、来源限制 |
先用客户端详细日志（如 ssh -vvv）确认停在哪一步。调试输出可能含用户名、主机、密钥路径和算法信息，分享前应脱敏；不要公开私钥内容。
超时：先证明请求有没有到服务器
核对公网 IP、DNS、SSH 端口和 IPv4/IPv6。若更换过端口，客户端必须显式指定。然后检查云安全组和系统防火墙的协议、来源 CIDR、端口、优先级。来源白名单常因办公出口 IP 变化而失效。
服务器有带外控制台时，可用 ss -lntp 确认 sshd 监听。若服务端抓包看不到客户端 SYN，问题位于服务器之前；若收到 SYN 但不响应，转查本机规则与监听。修复后可结合云服务器监控告警指南设置 SSH 可达性与异常登录告警。
拒绝：检查 sshd 与监听配置
在带外控制台查看 sshd 服务状态、启动日志和监听端口。常见原因包括配置语法错误、端口被占用、证书/主机密钥权限错误、磁盘满，或服务只监听私网地址。
修改配置后先运行 sshd -t 做语法验证；发行版的二进制路径和服务名可能不同，应按本机实际为准。推荐先在第二个端口或现有会话中测试新配置，成功后再关闭旧入口。不要直接结束唯一会话后重启服务。
主机密钥变化：先防中间人攻击
主机重装、恢复快照、重新生成 Host Key 或 IP 被分配给新机器，都会导致主机密钥变化；中间人攻击也会出现同样警告。因此不能把“删掉 known_hosts 对应行”当作第一步。
应从可信渠道获取服务器当前 Host Key 指纹，例如云控制台、带外终端或服务商确认，再与客户端警告比较。只有确认资产身份和变更原因后，才更新本地记录。若没有任何计划内变更，应暂停连接并调查 DNS、IP 与账号操作记录。
公钥认证失败：核对用户、文件和权限
服务端把公钥放在某个用户的 authorized_keys，客户端用户名必须一致。常见错误包括：把 key 放到 root，却使用普通用户登录；家目录或 .ssh 由错误用户拥有；目录/文件权限过宽被 sshd 拒绝；公钥在复制时换行损坏；配置使用了不同的 AuthorizedKeysFile。
建议按顺序检查：
- 客户端实际使用的用户名、私钥路径和公钥指纹；
- 服务端该用户是否存在、未锁定、登录 Shell 合法；
- 家目录、
.ssh、authorized_keys的所有者与权限； sshd -T展开的生效配置，而不是只读一处配置文件；- 认证日志中明确的拒绝原因。
不要把私钥上传到服务器或聊天工具。私钥应只保存在可信客户端，并设置文件权限和备份策略。
密码、root 与算法兼容问题
旧客户端可能只支持已禁用算法，旧服务器也可能不接受新客户端默认设置。不要为了兼容长期启用弱算法；优先升级客户端或服务端，并在短期兼容时限制来源、记录到期时间。
生产环境更推荐普通用户密钥登录后使用受控提权，关闭不必要的 root 远程登录和口令认证。但切换前必须验证至少两个独立管理员入口，避免单密钥丢失造成无法维护。完整加固可参考Linux 云服务器安全加固指南。
只有控制台可用时的恢复流程
- 记录原安全组、防火墙和 SSH 配置，先做备份。
- 查看 sshd 日志和
sshd -t，修复明确错误。 - 恢复一个限来源的临时管理入口，不开放全网。
- 新开客户端会话完成公钥认证与提权测试。
- 保持旧入口，验证重启后 sshd 自动启动。
- 删除临时规则，复核失败登录与未知公钥。
如果磁盘、系统文件或账号已严重损坏，可能需要从备份恢复或迁移。可结合云服务器备份与恢复演练和网站低停机迁移指南。需要新测试机时，可查看美国轻量云或美国弹性云服务器。
恢复后的验收
从授权网络测试公钥登录、提权和文件传输；从未授权网络确认仍被拒绝；重载或维护窗口重启后再次连接；核对主机指纹、登录日志、失败告警与自动封禁没有误伤管理员。至少保留一个经过验证的带外恢复入口，并记录当前端口、管理员、密钥轮换和回滚步骤。
常见问题
SSH 超时要先重启服务器吗？
不应。先判断请求是否到达服务器。重启不能修复错误安全组或本地网络，还会丢失现场和影响业务。
可以临时开启密码和 root 登录吗？
只有在风险评估、来源限制、强口令、短时间窗口和带外监控齐全时才考虑，恢复公钥后应立即关闭并审计登录记录。
为什么公钥内容正确仍被拒绝？
可能是用户名不一致、目录所有者/权限错误、配置读取了其他路径、账号锁定或算法不兼容。服务端认证日志通常会给出更具体原因。
重装系统后主机密钥变化正常吗？
通常会变化，但仍应通过可信控制台核对新指纹，不能只因为“刚重装”就忽略身份验证。
改成非 22 端口是否就安全？
只能减少扫描噪声。核心仍是密钥、最小来源、补丁、受控提权、日志和告警。