SSH登录远程服务器出现“Connection timed out”如何处理？
当终端里出现"Connection timed out"的红色提示，每个运维工程师的血压都会瞬间飙升。这个报错本质是TCP三次握手未能完成，意味着客户端根本无法建立到目标服务器的连接通道。经历过数十次这类故障排查，我发现网络层面问题约占七成，服务端配置问题占两成，剩下的是各种稀奇古怪的case。
掏出你的终端输入ssh -v user@hostname，让调试模式揭开幕后真相。观察握手过程在哪个阶段卡住，如果连"Trying IP..."的提示都没有，大概率是路由或防火墙的问题。最近阿里云调整了安全组默认策略，不少用户因为没开放22端口导致暴雷。除了检查iptables、firewalld，云服务商的安全组规则需要同步验证，特别是跨可用区访问时VPC配置容易出问题。
路由追踪命令traceroute能定位网络断点，当看到跃点消失在某个网关节点，就该联系网管团队了。上周遇到的典型案例是公司SD-WAN改造后，旧路由策略未清理导致数据包在广域网里打转。使用telnet host 22或nc -zv host 22，能快速验证TCP层连通性。如果端口测试通过但SSH仍超时，可能遇上TCP Wrapper的hosts.deny拦截，这种情况日志文件/var/log/secure会留下蛛丝马迹。
服务端openssh-server的状态必须用systemctl status sshd确认。注意ListenAddress参数是否绑定了0.0.0.0，某些安全加固脚本会错误限制监听范围。检查/etc/ssh/sshd_config里的MaxStartups数值，当并发连接数超过阈值也会拒绝新请求。曾有客户将PasswordAuthentication设为no却未配置密钥，导致验证阶段诡异超时。
跨国连接时考虑MTU引起的碎片问题，在PPPoe环境中尤其明显。尝试设置MTU为1400进行调试，或者使用ssh -o MACs=hmac-sha1降低加密强度。某次数据中心迁移后，客户端的IPv6配置导致双栈环境优先选择不可达地址，禁用IPv6后立即恢复。企业级场景别忘记排查NAT网关的会话保持时间，TCP空闲超时设置过短会提前掐断长连接。
当所有常规手段失效时，数据包嗅探工具tcpdump是终极杀器。在服务端执行tcpdump -i eth0 port 22，同步在客户端发起连接，观察SYN包是否到达。如果发现服务端疯狂回复RST，可能是conntrack模块记录了错误的状态追踪。这种情况重启iptables服务往往有奇效，当然更新内核到5.x版本才能根本解决。
灾备方案永远值得准备，配置mosh替代传统SSH可以抵御网络抖动。日常维护时，在/etc/ssh/sshd_config添加ListenAddress 0.0.0.0:2222作为备用端口，能避免22端口被误封的尴尬。提醒：修改任何配置前请先开个screen会话，否则可能亲手把自己关在服务器门外。
更新时间：2025-06-19 16:29:38
上一篇：网站数据库配置方法错误会导致什么问题？网站无法打开？
下一篇：网站PHP二次开发功能清单？