ssh自动登录失败主因是权限错误、端口监听异常、防火墙拦截及宝塔设置不一致：需chmod 700 ~/.ssh、600 authorized_keys；确保sshd监听0.0.0.0而非127.0.0.1；云平台安全组与系统防火墙均须放行对应端口；宝塔终端设置中的端口、用户、密钥路径须与系统实际配置严格一致。
SSH密钥文件权限错误导致自动登录失败
宝塔面板终端“自动认证”失败，十次里有七次是 .ssh 目录或密钥文件权限太松——OpenSSH 默认拒绝读取权限过宽的私钥，这是硬性安全策略，不是宝塔的 bug。
-
chmod 700 ~/.ssh：必须，否则ssh直接报错Permissions for '~/.ssh/id_rsa' are too open -
chmod 600 ~/.ssh/authorized_keys：公钥列表文件也必须严格限制写权限 - 如果用的是非 root 用户（比如
www），要确认该用户家目录可读：ls -ld /home/www输出中不能是drwx------（即其他用户无执行权限），否则 SSH 进程无法进入目录加载密钥 - 宝塔默认把密钥信息存到
/www/server/panel/config/ssh_info，但最终仍依赖系统级~/.ssh/authorized_keys，别只改配置不碰实际密钥文件
SSH 端口未监听或监听地址不对
宝塔面板显示“连接服务器失败”，但你确信密钥没问题？先看 SSH 服务本身有没有真正在“听”。netstat -tlnp | grep :22 返回结果如果是 127.0.0.1:22，说明它只接受本机连接，外部请求根本进不来。
- 检查
/etc/ssh/sshd_config中是否有ListenAddress 127.0.0.1这行，有就删掉或注释，保留默认全网监听 - 确认
Port行没被注释，且值与宝塔面板「终端 → 设置」里填的端口一致（比如你改成了5968，这里就必须是Port 5968） - 改完必须执行
systemctl restart sshd，仅 reload 不生效；重启后立刻用ss -tlnp | grep :5968验证是否监听到了0.0.0.0:5968 - 若用的是 CentOS 8+ 或 Ubuntu 20.04+，
sshd可能因 SELinux 拒绝绑定非标准端口，临时关 SELinux 测试：setenforce 0
安全组和系统防火墙双重拦截
云服务器上，哪怕 SSH 服务跑得好好的、密钥也对、端口也监听了，只要安全组或系统防火墙没放行，照样“Connection refused”。这不是故障，是设计如此。
- 阿里云/腾讯云控制台的安全组规则，必须在「入方向」添加一条：协议
TCP，端口范围填你实际用的 SSH 端口（如5968/5968），授权对象填0.0.0.0/0（测试用）或你办公 IP - 系统防火墙命令别混用：
firewall-cmd --add-port=5968/tcp --permanent && firewall-cmd --reload（CentOS/RHEL）；ufw allow 5968（Ubuntu/Debian） - 注意：宝塔「安全」页面里修改 SSH 端口，只会自动放行新端口给系统防火墙，**不会动云平台安全组**——这点最容易漏
- 验证是否通：本地用
nc -zv your-server-ip 5968，返回succeeded!才算真正打通
宝塔终端设置与实际 SSH 配置不一致
宝塔面板里的「终端 → 设置」只是个前端表单，它不改系统配置，只告诉面板“去连哪个地址和端口”。如果这里填错了，或者选了密钥但路径指向一个空文件，那当然连不上。
- 路径字段必须填绝对路径，比如
/root/.ssh/id_rsa，不能填~/.ssh/id_rsa（宝塔不解析波浪号） - 用户名必须与你打算登录的系统用户完全一致，比如服务器上只有
root而你填了admin，就会卡在认证环节 - 如果改过 SSH 端口，但宝塔设置里还写着
22，它就会固执地连22，而你服务其实在5968上——这种低级错误非常常见 - 密钥路径填完后，建议手动进服务器执行
ssh -i /root/.ssh/id_rsa -p 5968 root@localhost测试一遍，排除面板 UI 层干扰
最常被忽略的一点：改完 sshd_config 后忘记 systemctl restart sshd，或者重启了却没验证监听状态。很多问题其实就卡在这一步，而不是密钥或网络。
