ssh连接失败需同时满足服务运行、端口开放、配置允许登录三条件；须检查sshd状态、listenaddress、port、passwordauthentication等配置，重启服务，并确认防火墙、selinux及云安全组放行。
SSH服务默认可能未启用，或仅监听本地回环，直接尝试 ssh user@host 会连接拒绝或超时——必须确认服务运行、端口开放、配置允许登录，三者缺一不可。
检查并启动sshd服务进程
很多Linux发行版（如CentOS最小化安装、Ubuntu Server）默认不启动SSH服务。先确认进程是否存在且运行：
- 查服务状态：
sudo systemctl status sshd（RHEL/CentOS）或sudo systemctl status ssh（Ubuntu/Debian） - 若显示
inactive (dead)，执行sudo systemctl start sshd启动 - 设为开机自启：
sudo systemctl enable sshd - 注意：systemd未生效时（如旧版SysV init），改用
sudo service sshd start
启动失败常见原因是端口被占用，或/etc/ssh/sshd_config语法错误，此时看日志：sudo journalctl -u sshd -n 20 --no-pager。
确认sshd_config关键配置项是否放开
即使服务跑起来了，也可能因配置限制导致连接被拒。重点检查以下几行（去掉注释并设值）：
-
Port 22：确保监听端口未被注释；若改过端口（如Port 22022），客户端必须显式加-p 22022 -
ListenAddress 0.0.0.0或ListenAddress ::：避免只监听127.0.0.1，否则外部无法连入 -
PermitRootLogin no：生产环境应禁用root直连；若需临时启用，改为yes或prohibit-password -
PasswordAuthentication yes：若想用密码登录，此项不能是no；公钥登录则可关掉它 -
AllowUsers或AllowGroups：若配置了该行，当前登录用户必须显式列在其中，否则直接拒绝
改完务必 sudo systemctl restart sshd，且注意：重启后当前SSH会话可能断开——建议提前开一个本地终端或console备用。
防火墙和SELinux是否放行SSH流量
服务跑着、配置也对，但还是连不上？大概率是网络层拦截：
- iptables/firewalld：
sudo firewall-cmd --list-all查当前zone，确认22/tcp（或自定义端口）在ports列表里；没开就执行sudo firewall-cmd --add-port=22/tcp --permanent && sudo firewall-cmd --reload - ufw（Ubuntu）：
sudo ufw status，若为inactive需先sudo ufw enable，再sudo ufw allow OpenSSH - SELinux：
getenforce若返回Enforcing，临时测试可sudo setenforce 0；长期解决需恢复上下文：sudo restorecon -Rv /etc/ssh和sudo semanage port -a -t ssh_port_t -p tcp 22022（若改了端口）
云服务器（如阿里云、腾讯云）还需额外检查安全组规则——系统防火墙开了，云平台安全组没开等于白搭。
验证连接时为什么提示“Connection refused”或“Connection timeout”
这两个错误含义完全不同，排查路径完全相反：
-
Connection refused：目标主机的22端口有响应，但拒绝连接 → 说明网络可达，问题出在sshd服务本身（没运行、监听地址不对、ListenAddress写死了IP但不匹配） -
Connection timeout：发出去的SYN包根本没收到ACK → 网络不通，可能是防火墙DROP、安全组封锁、路由问题，或目标主机根本没开机 - 快速定位：在服务端执行
sudo ss -tlnp | grep ':22'，看是否有LISTEN状态且pid指向sshd；再从客户端用telnet host 22或nc -zv host 22测试端口连通性
真正容易被忽略的是：修改sshd_config后忘记restart，或者改了Port却没同步更新防火墙和客户端命令——这类低级失误占线上SSH连不上问题的七成以上。
