阿里云香港服务器ssh链接不上时的端口和防火墙排查技巧

为何SSH连接会失败——一眼判断的快速结论

SSH连不上，多数由端口被阻断、实例安全组策略或主机防火墙导致；网络路由或云侧ACL也会拦截流量。

短句：先别慌。接下来按优先级排查，省时间。下一步，我们从最容易忽视的端口检查开始。

先查端口：本地到服务器的连通性验证（步骤化）

用telnet/nc或ss命令验证目标22端口是否能到达，若被阻断立刻定位到网络层或云安全组。

• 本地：telnet IP 22 或 nc -vz IP 22（Windows用Test-NetConnection）。
• 云端：在实例内运行 ss -tnlp | grep sshd 或 netstat -tnlp 查看22端口监听。

经验句：连通性测试先行，能直接筛掉50%以上误判；若端口可达，说明问题集中在认证或主机防火墙上。下面看安全组设置。

检查阿里云安全组与入方向规则（Feature Snippet）

安全组常把IP段或端口误配成拒绝，需在阿里云控制台检查实例所属安全组的入方向规则是否允许22/TCP。

在控制台确认安全组后，检查：是否限制来源IP、是否绑定正确实例、是否有策略优先级冲突。下一步转到VPC与路由。

VPC、子网与ACL：路由与云端网络策略排查

如果安全组放行但仍不通，检查VPC路由表、子网的NAT或网络ACL（NACL）是否拦截SSH流量。

不少同行反馈——跨可用区或使用对等互联时，路由规则容易被忽略；确认目标IP和下一跳一致后再测。继续看主机防火墙。

主机防火墙（iptables/firewalld/ufw）与sshd配置

在实例上用iptables -L -n、firewall-cmd --list-all或ufw status查看本机防火墙是否拒绝22端口。

• 检查sshd_config：Port、PermitRootLogin、PasswordAuthentication是否被改动。
• 若改端口，记得安全组同步修改。

结论句：主机防火墙和sshd配置往往是“同一问题两处表现”，同时检查能快速定位原因。下面看更细的抓包和日志办法。

抓包与日志：确定是被谁丢弃的包

tcpdump -i any port 22可在服务器侧捕获到达包，结合阿里云监控流量日志可判断包在云侧还是主机侧被丢弃。

实战经验：抓到SYN但无返回，就在主机拦截或sshd未监听；抓不到SYN，多为云侧或路由问题。接下来讨论常见误区。

常见误区与不可踩的坑（反向排除）

误区一：只看安全组，不看路由表；误区二：修改sshd后忘记重启服务；误区三：误以为云防火墙默认放行。

别做无意义的重启。先做可复现的测试，再做变更。下一段给出一键排查清单，便于立刻执行。

一键排查清单（Checklist）

按顺序执行以下命令或控制台检查，能在多数场景下在10分钟内定位问题来源。

• 本地：telnet/nc 测试端口到达性。
• 控制台：确认安全组入方向允许22或实际端口。
• 控制台：确认VPC路由、NAT网关和网络ACL无阻断。
• 实例内：ss/netstat 检查sshd监听，检查sshd_config并重启sshd。
• 实例内：iptables/firewalld/ufw 状态检查；必要时临时放通端口测试。
• 抓包：tcpdump 排查包是否到达；查看/var/log/secure或/var/log/auth.log。

这些步骤环环相扣，完成后若仍无法连通，建议联系阿里云支持或核对ISV侧流量策略。下一段是进阶建议。

进阶技巧：针对香港节点的特殊考量

香港节点可能存在对等互联、跨区域带宽或BGP线路差异，需排查高防策略与运营商链路白名单。

举例：使用高防IP或流量清洗服务时，源IP可能被替换，导致安全组基于原始IP放行失效。下一步给出落地的下一动作。

落地下一步：如果仍连不上你该做什么

当以上检查都无果，按以下顺序执行并记录每一步的输出，便于与运维或云厂商沟通。

1. 截取tcpdump和sshd日志的时间片段，并保存为附件。
2. 向阿里云工单提交安全组、VPC路由和公网EIP的配置快照。
3. 在同行或论坛搜索相似案例，或临时开通临时安全规则进行对比测试。

行动提示：有证据、有步骤地提工单，处理效率最高。文章最后给出可复制的短清单作为收尾。

可落地的最终清单（可复制）

将下列项按顺序执行并记录结果：1) 本地端口测试；2) 安全组入方向；3) VPC路由与NACL；4) 主机防火墙与sshd；5) 抓包与日志；6) 提交云厂商工单。

一句话总结：先测端口，再看云侧配置，最后看主机；按证据走流程，你会更快恢复访问。

来源：阿里云香港服务器ssh链接不上时的端口和防火墙排查技巧