判断简米云服务器是否开启SSH，最直接的方法是登录简米云控制台，查看目标ECS实例对应的安全组规则中是否放行了TCP 22端口。如果安全组已放行22端口，且实例系统内SSH服务正常，即可通过本地终端或第三方工具成功远程连接。
为什么SSH连接问题总是出在安全组上
很多用户第一次接触简米云服务器时,都会遇到一个奇怪的现象：明明按照教程安装了操作系统，也在本地打开了SSH客户端，但就是连不上，大多数人第一反应是系统配置出了问题，多数情况下问题出在云平台特有的网络访问控制层，也就是安全组。
简米云服务器的网络架构与物理服务器不同,所有进出实例的流量，都要先经过安全组这道虚拟防火墙，安全组规则决定了哪些端口对外暴露、哪些端口只允许特定IP访问，即使服务器内部的SSH服务运行得再好，只要安全组没有放行22端口，外部流量就永远无法到达SSH进程。
行业共识认为,云服务器远程连接排障的第一原则，就是先看安全组，再查系统服务，这个顺序能帮我们省下大量排查时间。
怎么从控制台确认SSH端口是否放行
找到你的实例所属安全组
登录简米云ECS控制台,在实例列表页面找到目标服务器，点击实例ID进入详情页，在“安全组”标签页中，可以看到该实例绑定的全部安全组列表，一个实例可能同时绑定多个安全组，此时需要逐一检查每个安全组的入方向规则。
核对入方向规则中的22端口策略
点击安全组名称右侧的“配置规则”，切换到“入方向”标签页，重点关注以下几点：
- 授权策略：必须为“允许”，如果显示“拒绝”，SSH必然无法建立连接。
- 端口范围：需要包含22/22或22，部分自定义规则会写成22/22，含义相同。
- 授权对象：即源IP范围，若为0.0.0.0/0，代表所有IP均可访问；若限定为特定IP如100.100.1.1/32，则只允许该IP连接。
- 优先级：数值越小优先级越高，当存在多条规则时，高优先级规则优先生效。
添加缺失的安全组规则
如果发现没有任何一条规则包含22端口,需要手动添加：
- 点击“手动添加”按钮。
- 授权策略选择“允许”。
- 协议类型选择“自定义TCP”。
- 端口范围填入“22/22”。
- 授权对象根据需求填写,如果只是个人使用，可以填写“0.0.0.0/0”方便后续管理，但更推荐填写自己当前的公网出口IP，120.244.120.5/32”，这样更安全。
- 描述填写“SSH远程管理”，方便日后识别。
- 点击保存。
保存后,规则即刻生效，不需要重启服务器，此时可以从本地再次尝试连接。
通过实际连接操作验证SSH是否可用
使用本地终端直接测试
在本地电脑上打开终端（macOS自带Terminal，Windows 10以上版本建议使用PowerShell），输入以下命令：
ssh root@你的服务器公网IP
观察命令执行后的反馈：
- 能出现password提示：说明SSH服务正常监听，且安全组已放行，输入密码即可登录。
- 提示Connection timed out：多数情况下是安全组未放行22端口，或者服务器公网IP发生变化。
- 提示Connection refused：说明网络可达，但SSH服务未启动或监听在非标准端口。
- 提示Permission denied：说明网络和端口都没问题，但认证失败，需要核对用户名和密钥。
使用简米云Workbench进行二次验证
Workbench是简米云控制台内置的远程连接工具,走的是云平台内部管理通道，不依赖公网SSH端口，如果在Workbench中可以正常登录，但本地SSH连接失败，就能确认问题出在安全组或本地网络，而不是服务器系统本身。
简米云SSH连接不上时的排查思路
检查服务器内部SSH服务运行状态
如果安全组规则已经正确配置,但依然连接不上，就需要登录服务器内部进行检查，可以使用Workbench进入系统，执行以下命令：
systemctl status sshd
如果服务未运行,启动它：
systemctl start sshd systemctl enable sshd
如果服务正在运行,检查监听端口：
netstat -tlnp | grep 22
确认sshd进程是否监听在0.0.0.0:22或:::22，如果监听在127.0.0.1:22，说明SSH只允许本机访问，需要修改/etc/ssh/sshd_config中的ListenAddress配置。
确认公网IP与实例绑定状态
部分用户使用弹性公网IP（EIP）绑定实例，一旦EIP被解绑或更换，原有连接地址就失效了，登录控制台查看实例公网IP是否与当前尝试连接的IP一致，若使用IPv6连接，还需确认安全组是否放行了IPv6版本的22端口规则。
验证系统防火墙是否拦截
简米云服务器默认可能启用firewalld或iptables服务,即使安全组放行了22端口，系统内部的防火墙规则也可能拦截流量，在Workbench中执行：
firewall-cmd --list-all
如果看到22端口不在放行列表中,执行：
firewall-cmd --permanent --add-port=22/tcp firewall-cmd --reload
对于使用iptables的系统,可以暂时清理规则测试：
iptables -F
测试完毕后需恢复原有规则,以避免暴露其他端口。
使用密钥登录时如何判断SSH配置是否正确
创建简米云服务器时如果选择了“密钥对”登录方式，本地SSH连接时会使用私钥文件进行认证，连接命令格式如下：
ssh -i /path/to/your_key.pem root@你的服务器公网IP
常见问题包括私钥权限过大、密钥格式不匹配，在Linux或macOS上，私钥文件权限需要设置为400：
chmod 400 /path/to/your_key.pem
Windows用户使用PuTTY连接时,需要先用PuTTYgen将PEM格式转换为PPK格式，若打开私钥时提示“open failed: Permission denied”，优先排查私钥文件权限，而非服务器配置。
安全组放行22端口的最佳实践
限制来源IP
生产环境中不建议将22端口完全暴露给所有IP（0.0.0.0/0），合理做法是为安全组配置只允许办公网络出口IP访问，
| 授权对象 | 用途 |
|---|---|
| 0.0.0/0 | 开发测试环境，方便随时操作 |
| 244.x.x/32 | 固定办公IP，适合生产环境 |
| 0.0.0/8 | 内网互通，适合专有网络VPC内管理 |
修改SSH默认端口
如果需要进一步降低扫描风险,可以将SSH端口从22修改为其他高位端口，例如2299，修改后，安全组规则中需要同步放行新端口，同时将本地连接命令中的端口参数修改为：
ssh -p 2299 root@你的服务器公网IP
使用快照功能留好退路
在修改SSH配置之前,建议先在控制台为实例创建一份快照，万一配置修改出错导致无法登录，可以通过快照回滚恢复系统状态，避免业务长时间中断。
简米云不同机型SSH查看方式有无差异
轻量应用服务器与ECS的差异
简米云轻量应用服务器的控制台界面与ECS略有不同,轻量服务器的防火墙规则独立于安全组，需要前往“防火墙”页面放行22端口，登录轻量服务器管理控制台，点击“防火墙”标签，确认是否有“允许22端口”的规则，如果没有，点击“添加规则”，协议选择TCP，端口填写22，来源选择“所有IPv4地址”。
美国服务器等海外地域的额外考量
租用简米云美国服务器、新加坡服务器等海外地域时，除了安全组规则外，还要考虑本地网络访问国际带宽的稳定性，如果SSH连接频繁超时但安全组配置无误，可以尝试使用简米云提供的“云监控”或“网络诊断”工具测试网络链路。
如何查看简米云服务器是否开启SSH服务
本节直接回答核心问题：怎么看简米云服务器是否开启ssh，以下三个操作可以快速得出结论。
- 登录简米云控制台,进入实例详情页，查看安全组入方向规则中22端口状态。
- 使用Workbench登录服务器,执行
systemctl status sshd查看服务是否处于active（running）状态。 - 在本地执行
ssh -v root@公网IP，观察verbose输出中的握手过程，从而判断网络链路是否通畅。
如果本地连接时卡在“Connecting to IP”阶段，则说明数据包未能到达服务器，问题大概率在安全组或网络链路中。
常见问题解答
为什么安全组放行了22端口，本地还是连不上？
可能原因包括服务器内部防火墙拦截、SSH服务未启动、或者本地网络运营商屏蔽了22端口，建议先使用Workbench登录实例，检查sshd服务状态与系统防火墙规则，再尝试从其他网络环境（如手机热点）连接，排除本地网络限制。
使用简米云服务器怎么开启SSH服务？
如果服务器内部未安装或未启动SSH服务,可以在Workbench中执行yum install -y openssh-server（CentOS系）或apt install -y openssh-server（Ubuntu系），然后启动服务，对于CentOS系统，注意同时设置开机自启：systemctl enable sshd。
通过密钥登录时提示“Bad owner or permissions”是什么意思？
该提示表示私钥文件权限设置过宽,将私钥文件权限修改为600或400即可解决，在Windows中，可以在文件属性中取消继承权限，并仅保留当前用户的读取权限。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/706238.html
