Linux SSH服务配置详解

本文深入解析Linux系统中SSH服务配置的完整排查链路，直击“SSH连接失败”这一高频痛点，系统性地拆解了服务运行、配置许可、网络放行三大必要条件缺一不可的核心逻辑，并针对服务未启动、监听地址限制、密码认证关闭、防火墙/SELinux拦截及云平台安全组遗漏等典型场景给出精准诊断步骤和实操命令，特别强调修改配置后必须重启服务、同步更新防火墙规则与客户端参数等极易被忽视的关键细节，助运维人员快速定位并彻底解决SSH连通性问题。

SSH服务默认可能未启用，或仅监听本地回环，直接尝试 ssh user@host 会连接拒绝或超时——必须确认服务运行、端口开放、配置允许登录，三者缺一不可。

检查并启动sshd服务进程

很多Linux发行版（如CentOS最小化安装、Ubuntu Server）默认不启动SSH服务。先确认进程是否存在且运行：

• 查服务状态：sudo systemctl status sshd（RHEL/CentOS）或 sudo systemctl status ssh（Ubuntu/Debian）
• 若显示 inactive (dead)，执行 sudo systemctl start sshd 启动
• 设为开机自启：sudo systemctl enable sshd
• 注意：systemd未生效时（如旧版SysV init），改用 sudo service sshd start

启动失败常见原因是端口被占用，或/etc/ssh/sshd_config语法错误，此时看日志：sudo journalctl -u sshd -n 20 --no-pager。

确认sshd_config关键配置项是否放开

即使服务跑起来了，也可能因配置限制导致连接被拒。重点检查以下几行（去掉注释并设值）：

• Port 22：确保监听端口未被注释；若改过端口（如Port 22022），客户端必须显式加 -p 22022
• ListenAddress 0.0.0.0 或 ListenAddress ::：避免只监听 127.0.0.1，否则外部无法连入
• PermitRootLogin no：生产环境应禁用root直连；若需临时启用，改为 yes 或 prohibit-password
• PasswordAuthentication yes：若想用密码登录，此项不能是 no；公钥登录则可关掉它
• AllowUsers 或 AllowGroups：若配置了该行，当前登录用户必须显式列在其中，否则直接拒绝

改完务必 sudo systemctl restart sshd，且注意：重启后当前SSH会话可能断开——建议提前开一个本地终端或console备用。

防火墙和SELinux是否放行SSH流量

服务跑着、配置也对，但还是连不上？大概率是网络层拦截：

• iptables/firewalld：sudo firewall-cmd --list-all 查当前zone，确认22/tcp（或自定义端口）在ports列表里；没开就执行 sudo firewall-cmd --add-port=22/tcp --permanent && sudo firewall-cmd --reload
• ufw（Ubuntu）：sudo ufw status，若为inactive需先 sudo ufw enable，再 sudo ufw allow OpenSSH
• SELinux：getenforce 若返回 Enforcing，临时测试可 sudo setenforce 0；长期解决需恢复上下文：sudo restorecon -Rv /etc/ssh 和 sudo semanage port -a -t ssh_port_t -p tcp 22022（若改了端口）

云服务器（如阿里云、腾讯云）还需额外检查安全组规则——系统防火墙开了，云平台安全组没开等于白搭。

验证连接时为什么提示“Connection refused”或“Connection timeout”

这两个错误含义完全不同，排查路径完全相反：

• Connection refused：目标主机的22端口有响应，但拒绝连接 → 说明网络可达，问题出在sshd服务本身（没运行、监听地址不对、ListenAddress写死了IP但不匹配）
• Connection timeout：发出去的SYN包根本没收到ACK → 网络不通，可能是防火墙DROP、安全组封锁、路由问题，或目标主机根本没开机
• 快速定位：在服务端执行 sudo ss -tlnp | grep ':22'，看是否有LISTEN状态且pid指向sshd；再从客户端用 telnet host 22 或 nc -zv host 22 测试端口连通性

真正容易被忽略的是：修改sshd_config后忘记restart，或者改了Port却没同步更新防火墙和客户端命令——这类低级失误占线上SSH连不上问题的七成以上。

好了，本文到此结束，带大家了解了《Linux SSH服务配置详解》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！