在迁移过程中遇到连接问题，核心原因通常在于网络链路的访问权限受限，针对安全组防火墙_SMS.3806 源端连接目的端22端口发生错误，连接拒绝这一报错，最直接有效的解决方案是：立即检查目的端服务器的安全组入方向规则，确保放行了源端IP地址对22端口的访问，同时排查Linux主机内部的防火墙配置，该错误本质上是一个典型的网络连通性问题，意味着源端服务器发出的SSH请求在到达目的端之前被拦截，或者目的端主动拒绝了连接,只需按照网络分层模型逐步排查即可快速恢复。
深入解析错误成因与连接逻辑
当系统提示“连接拒绝”时，表明TCP三次握手过程中，目的端返回了RST（复位）包，或者请求在传输层被安全设备丢弃，在云迁移场景下，这通常指向三个核心层面的问题：云平台安全组设置、操作系统内部防火墙策略、以及SSH服务的运行状态。
安全组防火墙_SMS.3806 源端连接目的端22端口发生错误，连接拒绝这一故障，往往发生在迁移任务刚启动或网络环境变更后，理解其成因需要建立清晰的网络排查路径,避免盲目操作。
云平台安全组配置排查（最常见原因）
安全组作为云服务器的虚拟防火墙，是控制出入流量的第一道关卡，据统计，超过80%的此类报错均由安全组配置不当引起。
-
检查入方向规则
登录目的端服务器所属的云控制台，找到对应的实例，查看“安全组”配置,重点检查入方向规则列表。- 优先级确认：查看是否存在拒绝策略，且优先级高于允许策略，安全组规则存在优先级匹配机制,高优先级的拒绝规则会覆盖低优先级的允许规则。
- 端口范围：确保规则中包含TCP协议的22端口，部分用户误配置为全端口开放但协议错误,或仅开放了其他端口。
- 授权对象：这是排查的关键，源端IP地址必须包含在授权对象中，建议在排查阶段暂时设置为“0.0.0.0/0”进行测试，验证通过后再修改为具体的源端IP段,以确保安全性。
-
多安全组冲突检测
如果云服务器绑定了多个安全组，规则会叠加生效，需逐一检查所有绑定的安全组，确认是否存在冲突规则，安全组A允许22端口，但安全组B拒绝22端口,最终可能导致连接失败。
操作系统内部防火墙策略验证
即便安全组放行，操作系统内部的防火墙（如iptables、firewalld或UFW）仍具备拦截能力，这是第二道防线,也是容易被忽视的盲区。
-
Linux防火墙状态检查
通过控制台VNC登录目的端服务器,执行相关命令查看防火墙状态。
- 对于使用Firewalld的系统（CentOS 7+）,检查是否放行了SSH服务。
- 对于使用UFW的系统（Ubuntu）,检查入站规则是否允许22端口。
- 建议在迁移期间,临时关闭防火墙或添加明确的允许规则。
-
iptables规则深度排查
部分旧版本系统或特定软件可能会直接修改iptables规则，使用命令列出所有规则，查看INPUT链中是否存在针对22端口的DROP或REJECT动作，特别注意规则的顺序，Linux防火墙规则是从上至下匹配，一旦匹配成功则不再继续，如果拒绝规则排在允许规则之前,连接将被阻断。
SSH服务运行状态与端口监听
排除了网络拦截后，必须确认目的端服务是否正常“听”在22端口上，如果SSH服务未启动或监听端口变更,同样会导致连接拒绝。
-
检查服务进程
登录目的端服务器，检查sshd服务是否处于运行状态，如果服务停止，客户端发起连接时，操作系统内核会直接返回连接拒绝（Connection refused）。 -
核实监听端口
检查SSH配置文件（通常位于/etc/ssh/sshd_config），确认Port参数是否被修改，云服务器默认为22端口，但为了安全，部分用户可能将其修改为高位端口，如果实际监听端口与迁移配置中填写的端口不一致，必然导致连接失败，检查监听地址是否为“0.0.0.0”或具体的内网IP,避免仅监听本地回环地址。
网络连通性辅助测试
为了精准定位问题,建议使用网络测试工具进行验证。
-
Telnet端口测试
在源端服务器上，使用Telnet命令测试目的端IP的22端口连通性，如果提示“Connection refused”，通常指向服务未开启或端口错误；如果长时间无响应提示“Connection timed out”,则大概率是安全组或防火墙拦截。 -
抓包分析
在目的端进行抓包，查看是否收到了源端发来的SYN包，如果收到了SYN包但没有回应，说明问题出在目的端主机内部；如果没有收到SYN包,说明数据包在到达目的端前已被安全组丢弃。
总结与最佳实践
解决安全组防火墙_SMS.3806 源端连接目的端22端口发生错误，连接拒绝问题，核心在于遵循“由外向内、由简入繁”的排查原则，先云平台安全组，后系统防火墙，最后检查应用服务，在日常运维中，建议建立标准化的安全组模板，明确标注开放端口及其用途，避免因规则混乱导致的连接故障，定期审计系统防火墙规则,确保关键服务端口处于受控且可用的状态。
相关问答
为什么安全组已经放行了所有端口，依然提示连接拒绝？
这种情况通常有两个原因，第一，操作系统内部的防火墙（如iptables或firewalld）开启了拦截规则，安全组只是云平台层面的第一道门，系统防火墙是第二道门，两者必须同时放行，第二，SSH服务本身未启动或端口被修改，如果SSH服务崩溃，操作系统会主动拒绝连接，这与防火墙拦截的表现不同,需要登录服务器检查服务状态。
如何区分是安全组拦截还是系统防火墙拦截？
可以通过抓包或Ping测试辅助判断，如果Ping不通目的端IP，且安全组未放行ICMP协议，大概率是安全组问题，如果Ping通但端口不通，使用Telnet测试时，若提示“Connection refused”通常意味着数据包已到达主机但被拒绝（系统防火墙或服务未启动）；若提示“Connection timed out”或无任何反应,通常是安全组或网络ACL拦截了数据包。
如果您在迁移过程中也遇到了类似的网络阻断问题,欢迎在评论区留言分享您的排查思路。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/106827.html
