阿里云国际站 ECS 连不上 SSH 怎么办：安全组、系统防火墙与 sshd 排查步骤

在阿里云国际站买完 ECS，最让人着急的不是选配置，而是第一次登录就卡住：终端一直转圈后提示 Connection timed out，或者秒回一句 Connection refused，又或者密码明明没错却反复 Permission denied。很多人第一反应是「账号是不是被风控了」，其实绝大多数情况跟账号无关，是网络层、安全组、系统防火墙或 SSH 服务配置里某一处没对上。

这篇按「从外到内」的顺序，把阿里云国际站（alibabacloud.com）Linux 实例 SSH 连不上的排查步骤整理成一张清单。操作和规则以阿里云国际站官方文档为准，文中给出了对应的官方链接，方便你对照控制台操作。如果你还没有账号，可以先看阿里云代开的开通方式；已经有实例的话，直接往下按步骤查就行。

一、先看报错，判断问题大概在哪一层

SSH 客户端的报错信息是最快的线索。不同的报错，对应的排查方向完全不同，先对号入座能省很多时间。

官方的无法连接 Linux 实例的排查方法把原因分成两类：没有明确报错的，按网络、端口与安全组、资源占用的顺序手动排查；有明确报错的，按 PAM 安全框架、系统环境、SSH 服务配置三个方向对照处理。下面的步骤也按这个思路展开。

二、第一步：用官方诊断和 Workbench 排除服务端问题

1. 先跑一次一键诊断

阿里云的诊断工具可以检测安全组配置、实例内部防火墙以及常见应用端口的监听状态，并给出诊断报告和修复建议链接。在控制台进入目标实例，切换到实例所在地域后运行诊断，看报告里有没有「入方向端口未放通」之类的异常项。诊断能直接定位的，按建议修复即可，比自己一项项猜快得多。

2. 用 Workbench 测一下能不能登录

在 ECS 控制台进入实例详情页，点击「远程连接」，选择通过 Workbench 登录。官方文档的判断逻辑很清楚：

• Workbench 也登不上：它会返回具体的错误提示和解决方案，按提示处理后再测；
• Workbench 能登上：说明实例里的 SSH 服务本身在正常运行，问题更可能出在你本地网络、公网路径或安全组放行的来源 IP 上。

需要注意，Workbench 是从阿里云自己的网段发起连接的，安全组里要放行官方文档列出的 Workbench 网段才能用，具体网段以安全组使用场景文档为准。

三、第二步：检查网络和实例状态

连接超时时，官方文档给出的排查顺序是：公网 IP 是否正确、安全组是否放行端口、实例是否处于运行状态，然后用控制台的诊断功能查异常。具体可以这样做：

1. 核对公网 IP：在实例详情的配置信息里确认公网 IP。实例重建、释放后重买或换绑 EIP 之后，IP 可能变了，本地保存的旧 IP 自然连不上。
2. 确认实例在运行中：停止中的实例不能 SSH。另外，如果账号欠费导致实例被停机，也会表现为连不上，这时候要先处理账单，而不是改网络配置。
3. 换个网络对比：用手机热点或另一条宽带试一下。如果换网络就能连，问题在本地网络或运营商线路。
4. 看公网带宽：官方文档提到，如果实例配置信息里公网带宽是 0 Mbps，说明购买时没有购买公网带宽，需要升级带宽后才能从公网访问。
5. ping 和链路测试：本地 ping 公网IP；丢包或不通时可以用 mtr 或 tracert 看是哪一跳出了问题。注意系统内部防火墙也可能丢弃 ping 包，ping 不通不一定代表网络断了。

地域选得离你太远、跨境线路高峰拥堵，也会让 SSH 变得很卡甚至超时。如果你还在选地域阶段，可以参考《阿里云国际站地域怎么选》，按访问人群和线路来挑。

四、第三步：安全组入方向规则（最常见的原因）

ECS 的流量要先过安全组，再过操作系统防火墙，两层都放行才能到达 SSH 服务。官方在管理 Linux 实例的系统防火墙里说得很直接：安全组没放行 22 端口时，无论实例内部防火墙怎么配，外部请求都会在这一层被直接拒绝。普通安全组默认拒绝所有入方向访问，所以「新建实例后没加规则」是连不上的头号原因。

1. 添加一条放行 SSH 的规则

在实例详情页的「安全组」页签里，入方向增加一条规则，参数可以参考官方排查文档：

官方特别提醒，来源填 0.0.0.0/0 表示允许任意 IP 访问远程端口，风险较高。更稳妥的做法是只放行自己的公网 IP；如果你家宽带的 IP 经常变，可以临时放行，用完再收紧。安全组规则的其他写法可以看官方的使用安全组文档。

2. 用 telnet 或 nc 测端口

规则加好以后，在本地执行：

telnet 公网IP 22
# 或者
nc -vz 公网IP 22

返回 Connected 或 succeeded 说明端口已经通了，可以继续排查认证问题；仍然不通，就进入下一步检查系统防火墙和 sshd。

3. 轻量应用服务器不是安全组

如果你买的是轻量应用服务器而不是 ECS，端口放行要在服务器的「防火墙」页签里操作。按官方轻量应用服务器防火墙设置文档，Linux 服务器默认放行 TCP 22、80、443 端口；如果你手动删除或禁用了 22 端口的规则，控制台会提示影响远程连接，重新添加或启用即可。两种产品的差别可以看《阿里云国际站轻量应用服务器和 ECS 怎么选》。

五、第四步：系统防火墙和 sshd 监听端口

安全组放行了，端口还是不通，或者报 Connection refused，就要进实例内部看了。SSH 已经登不上，所以先用 VNC 进去。

1. 用 VNC 登录实例

按官方通过 VNC 连接实例文档，VNC 不受安全组设置和实例内运行软件的限制，正适合用来排查其他连接方式的异常。在实例详情页点击「远程连接」，展开其他登录方式，选择通过 VNC 远程连接，再输入登录用户（如 root 或 ecs-user）和实例密码。几点注意：

• VNC 闲置超过 300 秒会自动断开，需要重新连接；
• 实例没有默认密码，没设置或忘了密码，要先在「全部操作」里重置实例密码；
• 轻量应用服务器里对应的功能叫「救援登录」。

2. 检查系统防火墙

官方文档说明 Linux 实例的系统防火墙默认是关闭的，但如果你或某个一键脚本启用了 firewalld 或 ufw，又没放行 SSH，就会把自己挡在外面。

# Alibaba Cloud Linux / CentOS / Red Hat
sudo firewall-cmd --state
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload

# Ubuntu / Debian
sudo ufw status
sudo ufw allow ssh

官方给的原则是「先放行，后启用」：在没配好允许规则前直接启用防火墙，会导致连接被切断、实例失联。

3. 核对 sshd 的配置端口和实际监听端口

改过 SSH 端口却没同步，是另一类常见问题。官方因端口配置错误导致 SSH 无法连接文档给出的检查方法是对比两条命令的结果：

sshd -T | grep -i ^port      # 配置文件里的端口
ss -tlnp | grep sshd         # sshd 实际监听的端口
systemctl status sshd        # 服务是否在运行

如果两个端口不一致，修改 /etc/ssh/sshd_config 让它与实际需要的端口一致，然后执行 systemctl restart sshd。改端口时要记得三件事一起做：安全组放行新端口、sshd_config 改成新端口、本地连接时用 ssh -p 新端口 用户名@IP。漏掉任何一步都会连不上。

六、第五步：认证失败（Permission denied）

能看到登录提示、但认证不通过，说明网络和端口都没问题了，重点看账号和凭证。

1. 用户名对不对：官方说明 Linux 实例默认登录名是 root；如果创建实例时选了 ecs-user，就要用 ecs-user 登录。
2. 密码是否设置过：阿里云不会给 ECS 设置默认或初始密码。忘记密码时，按实例登录名、密码、密钥对管理文档重置：在线重置不用重启，但依赖实例里安装的云助手 Agent；在线重置不可用或失败时，改用离线重置，需要重启实例才生效。
3. 是不是该用密钥：如果实例绑定的是密钥对，或者 sshd 关闭了密码登录，就要用私钥连接，例如 ssh -i 你的私钥.pem root@公网IP。本地私钥文件权限太宽时 OpenSSH 会拒绝使用，可以先 chmod 400 再试。
4. 是否被锁定：官方排查文档列出过多次输错密码导致用户锁定、Too many authentication failures、User root not allowed 等案例，遇到这些报错时按对应文档处理 PAM 或 sshd_config 里的限制。

七、第六步：资源被占满导致连不上

偶尔能连上、偶尔超时，或者连上后很快断开，要看一下资源占用。官方文档提到，CPU 负载过高、公网带宽不足、内存不足都可能导致无法远程连接；排除正常业务后 CPU 仍被异常占满，要警惕挖矿程序。处理方式是先用 VNC 登录查看 top、free -m，确认是业务负载还是异常进程，必要时升级规格或带宽。

防止服务器被入侵后反复失联，最有效的还是从一开始就把入口收紧：只对自己的 IP 开放 SSH、用密钥代替密码、给主账号开 MFA、日常操作用 RAM 子用户。具体做法在《阿里云国际账号购买后防封号清单》里有完整步骤。

八、一张表总结排查顺序

常见问题

刚买的实例马上就连不上，是账号被风控了吗？

一般不是。新实例连不上最常见的原因是安全组没放行 22 端口、来源 IP 填错，或者没有购买公网带宽。账号层面的限制通常会在控制台或邮件里有明确提示，实例本身也会显示异常状态。先按本文第三、四步排查网络和安全组。

安全组已经放行了 22 端口，为什么还是超时？

依次确认：规则加在了实例实际绑定的安全组上、方向是入方向、协议是 TCP、来源 IP 是你当前的公网 IP（宽带 IP 可能已经变了）。然后用 VNC 进去看系统防火墙和 sshd 实际监听端口。

我改了 SSH 端口后再也连不上了怎么办？

用 VNC 登录，执行 ss -tlnp | grep sshd 看 sshd 现在监听的是哪个端口，再去安全组确认这个端口已放行，最后本地用 ssh -p 端口号 连接。三者有一处不一致就会失败。

代开的阿里云国际账号，服务器连不上找谁？

实例的网络、安全组和系统配置都在你自己的账号控制台里，按本文步骤基本都能自己处理。在云大仙办理的阿里云国际开户账号是 alibabacloud.com 上的独立账号，控制台和工单功能与自己注册的一样；如果排查后怀疑是账号状态或账单问题，可以在 Telegram（@daxiancloud）找我们协助确认。

VNC 也登不进去怎么办？

先确认实例处于运行中或停止中这两种支持 VNC 的状态，再确认用户名和密码；忘记密码就在控制台重置实例密码。如果 VNC 显示黑屏，官方说明是系统休眠，按任意键唤醒即可。仍有问题，可以在阿里云国际站控制台提交工单，附上诊断报告截图。

---

还在准备第一台服务器？可以先看《阿里云国际站免信用卡开户实操》里的首台 ECS 部署清单，把安全组、密钥和 MFA 一次配好，后面就很少会遇到「连不上」的问题。需要开通账号的话，可以直接在自助平台下单。