遇到 Linux 实例连不上时，先不要反复更换密钥或重装系统。Linux实例远程登录故障排查可以按“网络是否可达、SSH 端口是否开放、身份验证是否通过”的顺序进行。先记下客户端提示的错误，以及实例公网地址、登录用户名和 SSH 端口；这些信息能帮助区分连接超时、连接被拒绝和认证失败。
先从错误提示判断卡在哪一层
- 超时或无响应：客户端没有收到目标端口的回应，优先检查公网地址、路由、防火墙规则和实例状态。
- Connection refused：目标主机可达，但对应端口没有服务接受连接，检查 SSH 服务是否运行、端口是否配置正确。
- Permission denied：网络连接和 SSH 服务通常已经通了，重点核对用户名、私钥及服务器端授权配置。
提示信息不是绝对诊断结果：中间防火墙丢弃数据包也可能表现为超时，建议结合后续检查确认。
第一步：核对网络路径和访问规则
- 确认实例处于运行状态，使用控制台显示的公网 IP 或正确的 DNS 名称；实例只有内网地址时，需从同一私有网络或经批准的 VPN、跳板机访问。
- 在客户端测试地址解析和基本连通性。可执行 getent hosts 主机名 检查解析结果；ping 无响应不能单独证明主机不可达，因为 ICMP 可能被禁用。
- 检查云平台的入站规则是否允许当前来源地址访问 SSH 端口。规则常按来源网段、协议和端口匹配；不要为图省事长期向所有地址开放管理端口。
- 检查实例操作系统内的防火墙，例如使用 ufw status 查看 UFW 状态，或用 nft list ruleset 查看 nftables 规则。云端规则和系统防火墙是两层控制，任意一层拦截都可能导致连接失败。
第二步：确认端口与 SSH 服务
SSH 默认使用 TCP 22，但管理员可能改过端口。用 nc -vz 主机地址 22 测试端口连通性；若命令不可用，可使用系统提供的 TCP 测试工具。测试失败时，先确认目标端口，再检查云端入站规则和实例防火墙是否一致。
如果能通过云控制台的串口或其他已授权方式进入实例，可执行 sudo systemctl status ssh；部分发行版使用 sshd 作为服务名。再运行 sudo ss -lntp 查看监听地址与端口。修改 SSH 配置后，应先用 sudo sshd -t 检查语法，再按发行版重载或重启服务。保留现有管理会话，确认新连接成功后再退出，避免配置错误造成锁定。
第三步：检查用户名和密钥
使用明确的私钥和端口发起连接，例如 ssh -i ~/.ssh/id_ed25519 -p 22 用户名@主机地址。云镜像的默认用户名可能因发行版或镜像设置而异，应以实例创建说明或管理员提供的信息为准，不要猜测后连续尝试。
- 确认本机指定的是私钥文件，而不是以 .pub 结尾的公钥文件；私钥不要发送给他人。
- 在类 Unix 客户端上，可执行 chmod 600 ~/.ssh/id_ed25519 限制私钥文件权限。若私钥有口令，连接时按提示输入。
- 若显示认证失败，用 ssh -vvv -i 密钥路径 用户名@主机地址 查看客户端调试信息，确认是否选中了预期密钥。详细输出可能包含用户名和主机信息，分享前应先检查并遮盖敏感内容。
- 管理员可在服务器端核对用户的 ~/.ssh/authorized_keys 是否包含对应公钥，并检查用户主目录、.ssh 目录及文件权限。权限要求会受系统配置影响，修改前应确认文件归属正确。
按最小范围恢复连接
把每次验证结果记下来：已确认地址、端口测试结果、服务监听情况和认证错误。一次只改一项，避免同时放宽防火墙、改端口和替换密钥，导致无法判断真正原因。若仍无法解决，Linux实例远程登录故障排查应转向控制台日志、系统认证日志及云平台规则变更记录；日志路径随发行版而异，可在 Debian 或 Ubuntu 系统检查 /var/log/auth.log，在部分使用 systemd 的系统通过 journalctl -u ssh 查看服务记录。提供日志给他人前，先移除 IP、用户名等不必要的信息。
常见问题
改了 SSH 端口，为什么仍然超时？
新端口需要同时在 SSH 配置、实例防火墙和云端入站规则中放行，并在客户端用 -p 指定；少检查任意一处都可能连不上。
ping 不通就代表实例宕机吗？
不一定。ICMP 可能被网络规则屏蔽，应另外检查 TCP 端口和实例运行状态。
连接报 Permission denied，是否要重新生成密钥？
不必立刻重生成。先核对用户名、客户端选择的私钥、公钥授权内容和服务器端文件权限。
怎样降低排查时误锁定的风险？
保留现有会话或控制台入口，每次只调整一项；确认新连接成功后再关闭旧连接。
