若能ping通但ssh连接超时，说明网络层连通，问题出在tcp 22端口未建立连接，常见原因包括：ssh服务未运行或未监听正确地址、防火墙拦截、selinux限制、sshd_config配置错误（如listenaddress绑定本地）、或中间网络设备干扰。

如果您能成功ping通服务器，但SSH连接却超时，则说明网络层连通性正常，但TCP连接无法在22端口（或指定端口）完成建立。这通常意味着SSH服务未监听、被拦截、或在握手初期即被中断。以下是解决此问题的步骤：

一、验证SSH服务是否正在监听

SSH连接超时往往源于服务本身未运行或未绑定到预期端口。需确认sshd进程是否活跃且监听正确地址与端口。

1、通过救援模式或控制台登录服务器。

2、执行命令检查22端口监听状态：sudo netstat -tlnp | grep ':22'。

3、若无输出，说明sshd未监听；若显示LISTEN但绑定地址为127.0.0.1:22，则仅限本地访问，需修改配置。

4、若服务未运行，执行：sudo systemctl start sshd并启用开机自启：sudo systemctl enable sshd。

二、检查防火墙规则是否放行SSH端口

即使网络可达，系统级防火墙（如firewalld或iptables）可能主动丢弃或拒绝22端口的入站连接请求，导致连接超时而非拒绝。

1、检查firewalld是否运行：sudo systemctl is-active firewalld。

2、查询22端口是否开放：sudo firewall-cmd --query-port=22/tcp。

3、若返回no，执行：sudo firewall-cmd --add-port=22/tcp --permanent && sudo firewall-cmd --reload。

4、若使用iptables，运行：sudo iptables -L INPUT -n | grep 22，确认存在ACCEPT规则。

三、排查SELinux对SSH通信的限制

SELinux处于Enforcing模式时，可能依据安全策略阻止sshd绑定端口或接受远程连接，造成连接无响应，表现即为超时。

1、查看当前SELinux状态：getenforce。

2、若输出为Enforcing，临时切换至Permissive模式测试：sudo setenforce 0。

3、立即尝试SSH连接；若恢复成功，说明SELinux是根源。

4、恢复强制模式：sudo setenforce 1，再执行：sudo setsebool -P sshd_can_network_connect 1。

四、确认sshd_config中ListenAddress与Port配置

SSH服务可能被配置为仅监听特定IP（如内网地址）或非标准端口，客户端未指定对应参数时将无法建立连接。

1、打开配置文件：sudo nano /etc/ssh/sshd_config。

2、检查ListenAddress行：若存在且值为127.0.0.1或私有IP，请注释该行或改为0.0.0.0。

3、检查Port行：若值非22，客户端必须显式指定，例如：ssh -p 2222 user@ip。

4、确认PermitRootLogin和PasswordAuthentication未被意外禁用（除非明确使用密钥且已部署）。

五、使用QoS参数绕过网络中间设备干扰

某些企业级防火墙、QoS策略或运营商设备会对SSH流量进行深度检测或限速，导致SYN包虽抵达但ACK丢失，表现为连接超时。

1、在客户端执行带QoS选项的连接：ssh -o IPQoS=throughput user@server_ip。

2、若仍超时，尝试更激进的QoS值：ssh -o IPQoS=lowdelay user@server_ip。

3、也可结合详细日志定位卡点：ssh -vvv -o IPQoS=throughput user@server_ip，观察是否卡在Connection established之后。