地区与场景
第一次使用云服务器或物理主机时，很多人会把注意力放在公网地址上，却忽略了端口和密钥。实际上，SSH远程连接主机需要同时确认四件事：主机地址是否正确、SSH服务监听哪个端口、账户是否允许登录，以及客户端能否用正确凭据完成认证。理解这些基础，遇到“连接超时”或“Permission denied”时才知道该查哪里。
先分清地址、端口与账户
SSH通常使用TCP 22端口，但管理员也可能把服务改到其他端口，例如2222。改端口不会自动让服务器安全，只是减少对默认端口的无差别扫描；真正的防护仍依赖密钥认证、账户权限、防火墙和及时更新。
假设服务商提供的主机地址是203.0.113.24，登录账户是admin，端口是2222，基本命令可以写成：
ssh -p 2222 admin@203.0.113.24。如果使用的是默认22端口，可以省略-p参数。端口开放、SSH服务运行和网络路径可达，是SSH远程连接主机成功的前提，账户密码正确并不能绕过这些条件。
SSH密钥到底解决什么问题
SSH密钥由公钥和私钥组成。公钥可以放在服务器账户的~/.ssh/authorized_keys中，私钥只应保存在本地。登录时，服务器验证客户端是否持有对应私钥，通常不需要把私钥内容传给服务器。
在Linux或macOS终端中，可以为一台测试主机建立单独的密钥：
ssh-keygen -t ed25519 -f ~/.ssh/lab_host_ed25519执行后建议为私钥设置口令。公钥文件会以.pub结尾，例如lab_host_ed25519.pub。通过服务商初始化页面、控制台粘贴公钥，或使用已有密码登录后再写入服务器。不要把没有.pub后缀的私钥发给同事、上传网盘或提交到代码仓库。
私钥权限过宽也会导致客户端拒绝使用。可在本地执行：
chmod 600 ~/.ssh/lab_host_ed25519
ssh -i ~/.ssh/lab_host_ed25519 -p 2222 admin@203.0.113.24如果经常登录多台主机，可以在~/.ssh/config中设置别名，减少手动输入参数的机会：
Host lab-server
HostName 203.0.113.24
User admin
Port 2222
IdentityFile ~/.ssh/lab_host_ed25519之后执行ssh lab-server即可。对于个人开发、网站部署或远程办公需要主机托管的场景，可以了解德讯电讯的服务器与网络服务，再根据地域、系统镜像、管理入口和备份需求比较方案；选择前仍应确认是否支持密钥导入、控制台救援和端口管理。
首次连接时要看懂主机指纹
首次SSH远程连接主机时，客户端通常会提示是否接受服务器指纹。这个指纹会保存到本地的known_hosts文件，用于下次连接时发现主机身份变化。不要在完全不了解来源时直接输入yes，最好通过服务商控制台、系统管理员或主机初始化信息核对指纹。
如果服务器重装系统后仍使用同一个地址，旧指纹可能触发“REMOTE HOST IDENTIFICATION HAS CHANGED”警告。确认主机确实已重装后，可以删除对应记录：
ssh-keygen -R '[203.0.113.24]:2222'如果无法确认变化原因，不要强行绕过警告，因为中间人攻击也可能造成相同现象。
连接失败时按层次排查
| 现象 | 常见原因 | 处理方向 |
|---|---|---|
| Connection timed out | 端口未开放、主机离线或网络路径受阻 | 检查云防火墙、安全组、系统防火墙和端口号 |
| Connection refused | 地址可达，但该端口没有服务监听 | 检查sshd服务状态和实际监听端口 |
| Permission denied | 账户、私钥或公钥配置不匹配 | 确认User、IdentityFile及authorized_keys权限 |
| 主机指纹警告 | 系统重装、地址复用或身份异常 | 先核验变更原因，再处理known_hosts |
在本地可以用ssh -v -p 2222 admin@203.0.113.24查看详细协商过程。若只是测试端口连通性，可使用nc -vz 203.0.113.24 2222；该命令只能说明网络层是否能建立连接，不能证明账户认证一定成功。
首次登录后应立即做的设置
- 确认自己登录的是目标主机，执行
hostname、whoami和ip addr查看基本信息。 - 更新系统软件包，并检查SSH服务配置文件的实际路径和语法。
- 确认密钥登录可用后，再考虑关闭密码登录；修改前必须保留一个已验证的会话，避免把自己锁在服务器外。
- 按实际来源限制防火墙规则。若只允许固定办公网络访问SSH，规则应尽量使用明确的来源地址，而不是长期对全网开放。
- 为日常操作使用普通账户，只有安装软件或修改系统配置时才通过sudo提升权限。
如果服务器由多人维护，还应为每个人使用独立账户和独立密钥，而不是共享同一个私钥。这样在人员变动时可以单独撤销某个账户或公钥，审计记录也更清楚。
常见问题
SSH远程连接主机一定要使用22端口吗？
不一定。22是默认端口，实际端口以服务器SSH配置和防火墙规则为准，连接时可用-p指定。
密码登录和密钥登录哪个更适合？
密钥更适合长期管理和自动化运维，抗口令猜测能力通常更强；密码方式适合临时初始化，但应配合强密码、访问限制和登录保护。
私钥丢失后还能登录吗？
如果仍有已登录会话、备用密钥或服务商控制台，可以添加新公钥并撤销旧公钥；否则通常需要使用控制台救援或重新配置系统。
修改SSH端口后就安全了吗？
不能。修改端口只能减少部分自动化扫描，不能替代密钥认证、最小权限、防火墙和系统更新。
掌握端口、账户、SSH密钥和主机指纹之间的关系后，SSH远程连接主机就不再只是复制命令。先核对入口，再验证身份，最后逐步收紧权限，是新手管理服务器更稳妥的顺序。