基础排查步骤
确认实例运行状态
| 检查项 | 操作方法 | 预期结果 |
|---|---|---|
| 控制台查看 | 登录华为云管理控制台 → 进入“弹性云服务器”页面 → 点击目标实例名称 | 状态应显示为【运行中】 |
| SSH端口监听 | 执行命令 netstat -tulnp | grep :22（Linux）或通过安全组策略验证 |
确保22端口已被正确监听/开放 |
网络连通性测试
- 本地Ping测试：在终端输入
ping <公网IP>，若超时则可能存在路由阻断或防火墙拦截。 - Traceroute追踪：使用
traceroute <公网IP>定位丢包节点，判断是否为跨运营商链路问题。 - Telnet验证端口：执行
telnet <公网IP> 22，成功建立连接说明基础网络可达。
安全组配置核查
| 关键参数 | 推荐设置 | 常见错误场景 |
|---|---|---|
| 入方向规则 | 允许来源设为0.0.0/0，协议类型选择TCP+UDP |
误删默认放通规则导致全阻 |
| 端口范围 | SSH(22)/HTTP(80)/HTTPS(443)等必要端口需显式添加 | 仅开放ICMP却未配数据端口 |
| 优先级排序 | 确保自定义规则位于系统默认策略之上 | 低优先级规则覆盖高优先级生效 |
凭证与认证机制故障排除
密钥对匹配性验证
- 私钥路径检查：确认使用的私钥文件与创建实例时绑定的完全一致（可通过MD5校验对比）。
- 权限属性设置：Linux系统下需保证私钥文件权限为600（chmod 600 ~/.ssh/id_rsa）。
- 尝试替代方案：临时启用密码登录（修改/etc/ssh/sshd_config中的PasswordAuthentication=yes）。
用户名规范性确认
| 操作系统类型 | 默认登录用户 | 特殊注意事项 |
|---|---|---|
| CentOS | root | 禁止用普通用户直接sudo提权 |
| Ubuntu | ubuntu | 首次登录强制修改密码 |
| Debian | admin | 部分镜像预装定制化账户体系 |
防火墙双层防御体系突破
主机级防护（iptables/firewalld）
# CentOS示例：查看已启用的规则链 iptables -L -n --line-numbers # Ubuntu示例：列出当前生效的UFW规则 sudo ufw status verbose
👉 解决方案：执行 systemctl stop firewalld 或 ufw disable 进行临时禁用测试。
云平台内置屏障
- VPC访问控制列表（ACL）：检查子网级别的出入站规则是否误拒合法流量。
- 企业项目标签隔离：确认当前IAM用户所属的项目组未被策略限制访问。
高级诊断工具应用
云端日志分析
- 操作审计追踪：在“操作日志”服务中筛选最近1小时内的错误事件代码（如403 Forbidden）。
- NFS挂载异常检测：若采用CSI存储卷，需检查Cinder组件的健康状态指标。
抓包定位协议栈故障
# 安装tcpdump并启动捕获（持续60秒自动停止） sudo apt install tcpdump && sudo tcpdump -i any port 22 -w capture.pcap count 60 # Wireshark解析PCAP文件可直观看到握手失败原因
典型场景修复指南
| 现象特征 | 根本原因 | 快速恢复方案 |
|---|---|---|
| “Connection refused” | SELinux强化模式拦截 | setenforce 0 后重启sshd进程 |
| “Host key verification failed” | known_hosts缓存污染 | rm ~/.ssh/known_hosts |
| “Permission denied” | root登录被Pamd模块限制 | visudoers添加ALL=(ALL) NOPASSWD:ALL |
相关问题与解答
Q1: 如果所有排查步骤都正常但依然无法连接怎么办？
✅ A: 建议新建一台相同配置的测试实例，逐步迁移业务数据进行对比验证，可能是底层硬件故障导致的静默丢包，此时联系技术支持提供实例ID和抓包文件最有效。
Q2: 如何预防此类连接中断再次发生？
✅ A: 实施以下三层监控：①云监控服务设置TCP连接数告警阈值；②部署Prometheus+BlackboxExporter定期探测；③启用ELK Stack集中管理认证日志，同时推荐使用堡垒机作为跳板机统一入口，避免直接暴露实例公
原创文章，发布者：酷盾叔，转转请注明出处：https://www.kd.cn/ask/76608.html
