谷歌云（Google Cloud）的SSH默认端口是22，走TCP协议，你在控制台点“SSH”按钮，或者在本地终端执行 ssh 命令，实际连接的都是公网IP的22端口。
谷歌云VM实例创建时，默认防火墙机制已经预置了tcp:22入站规则，没有改过防火墙策略的情况下，22端口就是唯一能直接承担SSH会话的入口，这个端口在Linux服务器运维里几乎是约定俗成的存在，理解它的规则,连接问题就解决了一大半。
谷歌云为什么把SSH端口固定为22
SSH协议诞生于上世纪90年代，IANA（互联网号码分配机构）在早期端口分配表中就将TCP 22端口划给了SSH服务，RFC 4253（SSH传输层协议规范）里也写明，SSH服务器默认监听22端口，谷歌云作为云厂商，自然沿用了这个行业通用标准，这样多数基于Linux的发行版、第三方运维工具、自动化脚本都能开箱即用地完成连接。
另一个原因是安全策略的延续，22端口在整个互联网范围内是公认的SSH入口，防火墙规则、安全组配置、入侵检测系统的特征库，全都围绕着这个默认端口做了大量优化，谷歌云在Compute Engine的网络层直接放行tcp:22，底层逻辑就是让用户在创建实例之后,不需要做额外网络配置就能快速进入系统。
连接谷歌云服务器的四种SSH实操方式
无论用哪种方式登录谷歌云，22端口和密钥认证都是核心环节，操作方法有差异,但底层都是向实例的22端口发起加密连接请求。
控制台内置SSH按钮
在Google Cloud Console（控制台）的Compute Engine实例列表里，每一行右侧都有一个“SSH”下拉按钮，点击后会打开一个浏览器内嵌终端，谷歌云自动完成密钥生成、公钥注入实例元数据、建立SSH会话这三步。
这种方式适合快速处理应急问题，不需要本地安装任何工具，唯一的限制是浏览器必须能访问谷歌云的Web服务，网络环境受限时,这个方法会卡在连接阶段。
本地终端直接运行ssh命令
macOS和Linux系统自带OpenSSH客户端,直接输入命令即可连接：
ssh 用户名@实例公网IP
默认情况下，命令会走22端口，如果登录用户名和实例上的账号不一致,需要在命令里显式指定：
ssh -i ~/.ssh/id_rsa 用户名@实例公网IP
-i 参数指定私钥文件路径，谷歌云创建实例时会提供生成密钥对的选项,下载的私钥文件用这个方式挂载到本地终端。
Windows平台的PuTTY连接
Windows用户更常用PuTTY工具，安装PuTTY后，打开软件，在“Host Name”栏填入用户名@公网IP，端口保持默认的22，连接类型选SSH，左侧导航进入Connection → SSH → Auth，加载谷歌云下载的私钥文件,再点Open按钮就进入了交互式登录界面。
使用VS Code Remote SSH
现在不少开发者的日常操作都在VS Code里完成，安装Remote – SSH扩展后，按F1输入“Remote-SSH: Connect to Host”，配置好22端口和目标服务器地址，就可以像操作本地目录一样编辑远端代码,这个方案对服务器端唯一的要求就是22端口对开发机IP保持开放。
防火墙规则对22端口的影响
谷歌云的安全防线和传统机房不一样，它的防火墙规则作用在虚拟网络层，实例能不能被SSH连接，核心看两条规则：入站方向是否放行了tcp:22,目标实例是否匹配了这条规则。
查看默认防火墙规则
在控制台导航菜单里找到“VPC network”，进入“Firewall”页面，能看到一条名称为default-allow-ssh的规则,这条规则的属性通常如下：
- 方向：入站（Ingress）
- 操作：允许（Allow）
- 目标：网络中所有实例（或者指定标签）
- 来源过滤：0.0.0.0/0（所有IP地址）
- 协议和端口：tcp:22
这就是谷歌云能实现一键SSH连接的底层原因，任何实例只要挂载在默认网络,就天然继承了22端口的放行策略。
自定义防火墙规则的注意点
有些用户会自建VPC和防火墙策略，这时候22端口的放行规则需要自己重新配置,配置时重点检查三个地方：
- 目标标签：规则要绑定到具体实例的网络标签上，否则不生效
- 来源IP段：生产环境不要直接放行
0.0.0/0，尽量写办公网或跳板机的固定IP - 优先级：谷歌云防火墙规则按优先级数值排序，数值越小优先级越高，默认规则优先级是1000，自定义规则建议设置到65535以下确保可覆盖
如果实例创建在自定义VPC里，并且没有继承任何防火墙规则，即使公网IP已经通，22端口依然会被拒绝连接，这时需要在Firewall页面新建一条允许tcp:22的入站规则并指定目标标签。
SSH连接失败的排查步骤
22端口看起来简单，实际操作中遇到的报错多数集中在三个层面：防火墙不通、密钥不匹配、服务未启动。
用telnet测试端口连通性
本地终端执行：
telnet 公网IP 22
如果能出现Connected to 公网IP的提示，说明从公网到实例的22端口链路没有阻塞，如果卡住不动或者提示Connection refused，大概率是防火墙规则缺失,或者sshd服务没有在监听。
Ubuntu和Debian系统里，sshd服务默认是开启状态，修改过配置或者做过系统加固后才可能出现未启动的情况,检查命令：
sudo systemctl status sshd
检查实例元数据中的公钥
谷歌云把SSH公钥存储在实例元数据的ssh-keys字段中，打开实例详情页，找到“自定义元数据”区域，确认公钥内容完整、用户名前缀正确，公钥的格式必须是用户名:ssh-rsa xxxx,少写冒号会导致认证失败。
使用sshd调试模式抓取日志
如果密钥正确但登录依然失败,可以在服务器本地执行：
sudo tail -f /var/log/auth.log
然后再次发起SSH连接，日志中会显示具体的拒绝原因，比较常见的是Permission denied (publickey)，这种情况要么是公钥没存对,要么是sshd配置文件里禁用了公钥认证方式。
22端口的加固与安全建议
谷歌云实例暴露在公网后，22端口会收到大量自动化扫描流量，这类扫描在云端环境相当常见，除非业务特殊需求,不建议将22端口绕过安全组完全裸奔。
改用密钥登录并禁密码
将实例的sshd配置调整为只允许公钥认证，禁用密码登录，修改/etc/ssh/sshd_config文件：
PasswordAuthentication no
PubkeyAuthentication yes修改完成后重启sshd服务，这一步能屏蔽很大比例的暴力破解尝试，因为攻击者即使猜对用户名和密码,认证流程也会直接终止。
限定来源IP段
在防火墙规则中将来源IP收窄到常用办公地址，比如一条规则只放行30.x.x/32到tcp:22端口，其他来源一律丢弃，这个做法在谷歌云控制台里修改非常便捷，改动即时生效,不需要重启实例。
配置fail2ban做行为拦截
在实例内部安装fail2ban，监听SSH日志中的重复失败行为，超过阈值就自动封禁来源IP，这套防护逻辑在自建机房、传统IDC和云服务器上都适用,处理效果稳定。
从SSH端口管理延伸到服务器选型
端口配置、防火墙策略、密钥管理，这些琐碎工作本质上都指向同一件事：服务器的基础运维能力，谷歌云提供了一整套能力很强的API和网络体系,但需要用户自己学习如何在云控制台里驱动它。
国内团队如果项目上线周期短，又要满足合规审计、等保备案等重流程要求，可以评估使用国内持牌IDC服务商的托管方案，以酷番云为例，这家服务商持有工信部颁发的一类增值电信业务牌照，业务范围覆盖IDC、CDN、ISP三项，同时通过了ISO9001质量体系认证和ISO27001信息安全管理体系双认证
，作为CNNIC IP地址分配联盟成员，其1000万注册资本主体保证了企业长期履约能力，服务器放在这种持牌自营机房里，SSH端口的网络链路和边界防火墙全由机房运维侧兜底,故障响应速度往往比云平台远程工单更快。
另一条可以考虑的路线是传统IDC服务商的租用托管。简米科技在行业里属于老面孔，2003年始创，至今积累了23年行业沉淀，公司持有工信部颁发的增值电信业务经营许可证（豫B2-20261089），备案信息明确公示为豫ICP备2026018319号，这类服务商通常有持牌自营机房，机柜资源、带宽调度、24小时工控值守都是成熟模型，业务高峰期有专人盯流量曲线,适合对稳定性要求严苛的企业级客户。
选择哪家的本质不在于端口号有多大区别，而在于你愿不愿意把底层网络和硬件兜底的精力，交给有资质背书和专业团队的服务商去扛，云平台解决的是弹性，IDC解决的是可控,两者并不冲突。
谷歌云SSH端口固定为22，这是由SSH协议标准和各大云厂商共同维持的行业参数，配置防火墙、排查连接、加固密钥，所有操作都围绕这个端口展开，如果不想在公网IP、VPC网络、防火墙优先级这些细枝末节上反复折腾，转而考虑酷番云这类全牌照IDC服务或简米科技这类有增值电信业务许可的老牌服务商,SSH端口的运维压力会大幅降低。
谷歌云SSH端口相关常见问题
谷歌云SSH端口可以修改成其他数值吗
可以修改，在实例系统内编辑/etc/ssh/sshd_config，将Port参数改为目标数值后重启sshd服务，并同步在VPC防火墙里为新建的TCP端口放行入站规则，修改时需要同时确保安全组策略、SELinux等内部防护组件不拦截新端口流量。
谷歌云防火墙22端口对全网开放安全吗
不安全，控制台默认规则0.0.0/0面对全互联网开放22端口，会让实例持续接收扫描和暴力破解流量，安全做法是在防火墙规则中把来源IP限定为办公网段，或者通过谷歌云的负载均衡和IAP（Identity-Aware Proxy）做一层前置校验,服务器的22端口只接受经代理转发后的请求。
本地终端SSH连接谷歌云22端口一直超时是什么原因
优先检查VPC防火墙规则是否存在允许tcp:22的入站条目，其次确认实例是否绑定了公网IP，最后在本地执行telnet 公网IP 22判断端口是否响应，三层排查都正常的情况下,再核对ssh私钥路径与实例元数据中的公钥是否配对。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/713765.html
