遇到 ssh 无法连接新加坡机房时的快速排查清单

1. 本文为你提炼三大精华：快速定位 网络 与 端口 问题、验证 密钥 与 sshd 配置、判断是否为机房/ISP/安全组阻断。

2. 每一步都给出必跑命令（如 ssh -vvv、ping、traceroute、telnet）和判断依据，方便你立刻执行并得出结论。

3. 最后附上升级工单要点与取证清单，确保你能向售后或网络团队快速复现问题并拿到解决方案。

首先，确认基础可达性：本地先跑 ping 目标 IP，看是否有丢包或完全不可达；再用 traceroute 或 mtr 检查到 新加坡机房 的跃点是否在某跳出现大延迟或丢包，若中间就断，倾向于 路由 或 ISP 问题。

接着测试 TCP 层：用 telnet 主机 22 或 nc -vz 主机 22 验证 端口 是否开放。若 TCP 三次握手都没通过，问题不是 SSH 协议本身，而是被防火墙或 安全组（云厂商）拦截，或机房出口网络存在 ACL/NAT 限制。

若 TCP 端口通了但 SSH 握手失败，开启更详尽日志：本地使用 ssh -vvv 用户@主机，观察卡在哪一步（键交换、认证、连接重置等）。服务端查看 /var/log/auth.log 或 /var/log/secure，查 sshd 报错；必要时在服务端重启 sshd 并开启 Debug 模式。

验证认证方式：确认是用 公钥认证 还是 密码认证，检查 ~/.ssh/authorized_keys 权限（建议 600/700）；在 sshd_config 中确认 PubkeyAuthentication 和 PasswordAuthentication 设置符合预期。

检查本地与服务端防火墙：查看 iptables/ufw 规则、云控制台的 安全组、机房边界 ACL。如果近期有配置变更或自动规则（如 Fail2Ban、DDoS 防护）可能误封 IP，临时放行你的源 IP 做验证。

考虑密钥与算法兼容性：老旧服务器可能只接受 ssh-rsa 或不支持新算法，客户端或服务器更新后会产生不兼容，查看握手日志中关于 kex 或 host key 的报错并据此调整算法或更新密钥。

排查网络中间件：检查是否有 NAT、负载均衡、反向代理或公网弹性 IP 问题；若使用跳板机，请确认跳板机到目标机的路由和认证链路正常。对多跳环境，逐跳验证。

当问题复杂未立即定位时，收集取证信息：ssh -vvv 输出、服务端 sshd 日志、traceroute/mtr 结果、telnet/nc 测试截图、最近配置变更记录和故障发生时间线。这些是给机房或售后开单的核心证据。

避免误判的经验技巧：先排除本地网络（切换 4G、VPN 或另一出口）以确认是否为运营商问题；再尝试从不同地域或第三方探针（如 网络监测 或 RDP/SSH 测试站）连接以排查地域性阻断。

如果确认为机房侧问题（如骨干丢包、边界 ACL、云厂商安全策略），开工单时务必提供：目标IP/端口、时间戳、你的公网出口 IP、上述取证文件和期望的变更（临时放行/路由调整）。使用明确、可复现的步骤能大幅提速处理。

最后给出快速清单（逐项勾选）：1）ping、2）traceroute、3）TCP 检测（telnet/nc）、4）ssh -vvv、5）查看服务端 sshd 日志、6）检查防火墙/安全组、7）确认密钥与权限、8）尝试替代网络出口、9）收集证据并开单。

作为结语：排查 SSH 无法连接时，速度与证据同样重要。按这份清单从网络到认证再到机房策略逐层排查，你能在最短时间内定位问题根源并高效推进解决。作者为资深 运维 工程师，长期服务云主机与混合机房，实战经验直击要点，若需，我可根据你提供的 ssh -vvv 输出和 traceroute 结果做一对一诊断。

来源：遇到 ssh 无法连接新加坡机房时的快速排查清单