连接失败的瞬间，先别慌
SecureCRT连接虚拟机失败，绝大多数情况下不是系统坏了，而是IP地址、SSH服务或网络模式这三处配置出了问题，按顺序排查，几分钟就能解决。
很多人在虚拟机里装好Linux系统后，兴冲冲打开SecureCRT准备远程连接，结果屏幕弹出”Connection refused”或者直接超时，这种挫败感很常见，但问题本身并不复杂，下面按出现频率从高到低,把最常见的原因和对应的解决办法拆开讲清楚。
检查虚拟机IP地址：最容易忽略的第一步
SecureCRT连不上虚拟机，第一个要确认的就是虚拟机有没有拿到正确的IP地址，很多人栽在这里，是因为虚拟机开机后，网络服务没有正常启动,压根没分配到IP。
在虚拟机终端里执行这条命令：
ip addr
如果看到eth0或ens33那一段没有类似168.x.x或x.x.x的地址，说明网卡没拿到IP,这时候分两种情况：
- DHCP没生效：执行
sudo dhclient或sudo dhclient ens33（网卡名按实际来）手动获取地址。 - 网卡没启动：编辑
/etc/network/interfaces（Debian/Ubuntu）或/etc/sysconfig/network-scripts/ifcfg-ens33（CentOS/RHEL），确认ONBOOT=yes,然后重启网络服务。
拿到IP后，在虚拟机里先ping www.baidu.com测试外网，再在宿主机上ping 虚拟机IP测试互通,这一步能快速把问题定位在网络层还是应用层。
确认SSH服务状态：SecureCRT连不上虚拟机的最常见原因
服务没启动，一切白搭
SecureCRT默认用SSH协议（端口22）连接Linux虚拟机，如果虚拟机里没装OpenSSH服务端，或者服务没启动,连接请求会被直接拒绝。
在虚拟机里执行：
sudo systemctl status sshd
如果显示inactive (dead),启动它：
sudo systemctl start sshd sudo systemctl enable sshd
如果是Ubuntu或Debian系，服务名可能是ssh而不是sshd，用sudo systemctl status ssh试一下，CentOS 7及以后版本用sshd，CentOS 6及更早版本用service sshd status。
端口被防火墙拦了
很多虚拟机的Linux系统默认开着firewalld或iptables，22端口没放行的话,从宿主机连过去必然是超时。
CentOS/RHEL系的放行命令：
sudo firewall-cmd --permanent --add-port=22/tcp sudo firewall-cmd --reload
Ubuntu的ufw则这样操作：
sudo ufw allow 22/tcp sudo ufw reload
排查防火墙时有个小技巧：在宿主机上执行telnet 虚拟机IP 22，如果端口通会看到SSH版本信息，不通就会卡住或直接拒绝,这一步能清晰区分是服务问题还是防火墙问题。
虚拟机网络模式设置：NAT和桥接的差异
虚拟机网络模式是SecureCRT连接失败的高发区，也是百度上很多人搜”虚拟机securecrt连接不上host key”之前应该先搞清楚的底层逻辑。
VirtualBox和VMware里,虚拟机网卡通常有三种模式：
- NAT模式：虚拟机通过宿主机上网，外部无法直接访问虚拟机,宿主机和虚拟机之间需要端口转发才能用SecureCRT连接。
- 桥接模式：虚拟机直接接入局域网，像一台独立电脑,宿主机可以直接通过IP访问。
- 仅主机模式：只能和宿主机通信,不能访问外网。
如果你在用NAT模式，SecureCRT连不上是正常的，因为这种模式下宿主机默认访问不到虚拟机,解决办法有两个：
- 在VirtualBox的”设置-网络-端口转发”里加一条规则，把宿主机的2222端口转发到虚拟机的22端口，然后用
localhost:2222连接。 - 直接把网络模式改成桥接，重启虚拟机后拿到局域网IP,再用这个IP连接。
VMware的NAT模式也是类似逻辑，实测中桥接模式在普通家庭路由器环境下最省心，但在公司网络有MAC过滤或严格DHCP策略时,NAT加端口转发反而更稳定。
排查SecureCRT自身配置：细节决定成败
协议和端口选对了吗
新建会话时，协议选SSH2，端口默认22，主机名填虚拟机IP，很多人在这里栽跟头：把端口填成3389（那是Windows远程桌面的端口），或者协议选成Telnet,自然连不上。
Host Key提示怎么处理
如果是第一次连接，SecureCRT会弹出Host Key验证窗口，让你确认服务器的指纹，这是正常的，选择”Accept Once”或”Accept and Save”即可，如果之前连接过，虚拟机系统重装后指纹变化，SecureCRT会报key不匹配，此时需要删除旧的Host Key记录。
操作路径：选项-全局选项-SSH2-Host Keys管理，找到对应IP的旧密钥并删除，然后重新连接，行业共识认为,这是虚拟机重装系统后SecureCRT连接失败的最常见原因。
用户名和认证方式
SSH连接支持密码和密钥两种认证方式，密码认证失败时，SecureCRT会提示”Authentication failed”，排除方法：在虚拟机终端里用普通用户登录，确认密码无误后，再检查/etc/ssh/sshd_config
里的PasswordAuthentication是否为yes。
sudo grep PasswordAuthentication /etc/ssh/sshd_config
如果是no，改成yes后重启sshd服务，用密钥认证的，要确认公钥已经追加到虚拟机的~/.ssh/authorized_keys里,且该文件的权限是600。
网络连通性测试：一步步缩小范围
在SecureCRT连接虚拟机之前，先用系统自带工具验证宿主机和虚拟机之间能不能通信，这一步很多教程里被一带而过,但恰恰是排查问题最有效的手段。
ping不通怎么办
宿主机ping虚拟机IP超时，说明网络层就有问题,按顺序检查：
- 虚拟机防火墙有没有禁ping（ICMP），Linux默认一般允许,但某些安全策略会挡住。
- 虚拟机的网卡是否真的绑定在桥接或NAT网段上,VMware的虚拟网络编辑器里可以查看当前网段的DHCP分配范围。
- 宿主机和虚拟机是否在同一网段，桥接模式下，两台机器的IP前缀必须一致，比如宿主机是192.168.1.5，虚拟机应该是192.168.1.x,子网掩码一致。
ping得通但SecureCRT连不上
这就基本锁定在SSH服务或认证环节，回头检查第二部分和第四部分的内容，还有一种少见情况：虚拟机里装了多个网卡，SSH服务监听在其中一个IP上，你连接的是另一个IP，用ss -tlnp | grep 22查看监听地址，确认是不是0.0.0:22，如果监听的是特定IP，修改sshd_config里的ListenAddress为0.0.0再重启服务。
虚拟机重启后连不上的诡异场景
有一种情况特别容易让人抓狂：虚拟机刚装好时SecureCRT能连上，重启一次后就废了,这类问题大多和应用层的自动启动服务有关。
解决办法是检查SSH服务是否设置为开机自启：
sudo systemctl is-enabled sshd
输出应该为enabled，如果是disabled或static,执行：
sudo systemctl enable sshd
另一个常见元凶是网络服务.在CentOS 7和较新版本的Ubuntu中，网络接口的命名规则从eth0变成了ens33或enp0s3，如果配置文件里的接口名和实际不一致，开机后网卡起不来，IP拿不到，SecureCRT自然连不上，这种场景下，用ip addr看到网卡是DOWN状态，但没有报错信息,容易误判为SSH问题。
专业用户常用的排查命令组合
经验丰富的运维在遇到SecureCRT连不上虚拟机时，通常不是一个个点去试，而是按一套固定流程快速定位,这里直接把常用命令组合列出来：
# 在虚拟机里执行 ip addr show # 查看IP systemctl status sshd # 查看SSH服务 ss -tlnp | grep 22 # 确认端口监听 iptables -L -n # 查看防火墙规则 # 在宿主机上执行 ping <虚拟机IP> # 网络连通性 telnet <虚拟机IP> 22 # 端口连通性
这套命令跑完，问题基本能定位到具体环节,不会来回瞎试。
虚拟化平台版本的隐藏影响
VMware Workstation和VirtualBox的不同版本，在网络适配器兼容性上也有差异，比如VMware 16及以上版本对Win11宿主机的桥接网络支持更完善,而老版本在Windows更新后可能出现虚拟网卡失效的情况。
如果你遇到的问题是”所有配置看起来都没问题但就是连不上”，试试在虚拟机的虚拟机设置里，把网卡类型从Intel PRO/1000换成VMXNET 3（仅VMware支持），或者反过来换成E1000,很多时候能解决奇怪的兼容性问题。
还有一种场景：宿主机本身用的是Wi-Fi而不是有线网络，桥接模式下，Wi-Fi信号不稳定或AP隔离开启，都可能导致虚拟机无法被宿主机访问，这时候改用NAT加端口转发,反而比桥接更靠谱。
举个例子，一个常见提问是”centos7虚拟机securecrt连接不上”，很多人的情况是：宿主机连的是公司Wi-Fi，虚拟机网络模式选的是桥接，但公司无线网络开启了AP隔离，导致宿主机和虚拟机之间虽然能ping通网关，却无法互相访问，换成NAT模式后,一切正常。
常见问题快问快答
SecureCRT提示”Connection refused”是什么意思？
指虚拟机上的SSH服务没有在监听22端口，常见原因包括SSH服务未安装、未启动、sshd_config配置错误导致服务崩溃、或防火墙主动拒绝了连接请求，按顺序检查服务状态和防火墙规则即可,不需要重装系统。
虚拟机的IP地址一直变化，导致SecureCRT连不上怎么办？
修改虚拟机的网络配置为静态IP，或者把主机名和IP绑定到宿主机的hosts文件里，以Ubuntu 22.04为例，编辑/etc/netplan/01-network-manager-all.yaml，为网卡指定静态IP、网关和DNS，然后sudo netplan apply生效，CentOS则修改/etc/sysconfig/network-scripts/ifcfg-ens33,把BOOTPROTO改成static并填入IP地址信息。
照着重装的系统，为什么SecureCRT还是报Host Key有问题？
因为SecureCRT把旧系统的Host Key存在本地了，新系统生成了新的密钥对，两者不一致导致校验失败，在SecureCRT的全局选项里找到SSH2的Host Key管理，删除对应IP的旧记录,重新连接并接受新指纹即可。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/securt%e8%bf%9e%e6%8e%a5%e8%99%9a%e6%8b%9f%e6%9c%ba%e5%a4%b1%e8%b4%a5%e6%80%8e%e4%b9%88%e5%8a%9e%ef%bc%9f%e5%b8%b8%e8%a7%81%e9%97%ae%e9%a2%98%e4%b8%8e%e8%a7%a3%e5%86%b3%e6%96%b9%e6%b3%95/
