在阿里云国际站使用 ECS 实例时，SSH 无法连接或者业务端口不通是非常高频的网络故障。排查遵循由外到内思路：外部账号网络状态 → 云防火墙 → VPC 网络 ACL → 安全组 (网卡) → 操作系统内部防火墙 → 应用服务本身。
前置重要提示：
- 账号欠费冻结：国际站账户余额耗尽，ECS 公网 IP 会直接断网，安全组、系统配置全部正常，但所有端口全部超时，排障第一步优先确认账号账单状态。
- 安全组绑定在弹性网卡 ENI，不是绑定实例。多网卡场景，访问哪个网卡 IP，就检查该网卡绑定的安全组，不是主网卡安全组。
- VPC 网络 ACL 为无状态，同时要关注 ACL默认策略，若默认策略为拒绝，自定义放行规则不生效。
- 网络全部放行也可能 SSH 失败：问题出在 sshd 配置、密钥文件权限，并非网络拦截。
- VNC 控制台登录作为应急排障入口，部分自定义镜像需要独立 VNC 密码，密钥登录实例无法通过 VNC 获取私钥。
现象确认：识别拦截层级
排障前根据报错快速定位故障层级：
- SSH 超时 Connection timed out：网络层拦截，流量没抵达服务器，检查账号状态、云防火墙、ACL、安全组、公网 IP 有效性。
- 拒绝连接 Connection refused：流量到达服务器，端口没有服务监听，或者系统内部防火墙拦截。
- Ping 不通 Request timeout：ICMP 被拦截，检查安全组 ICMP 规则、系统内核禁 ping、实例网络状态。
- 可以连通但是 SSH 反复断开：大概率实例带宽跑满、CPU 过载，产生丢包。
第一层排查：账号与实例基础网络状态
- 确认阿里云国际账号无欠费，实例没有被冻结限流。
- 确认实例已分配公网 IP，公网 IP 没有被释放。
- 如果有多弹性网卡，确认访问 IP 对应的网卡。
第二层排查：安全组配置（网卡级别虚拟防火墙）
安全组绑定弹性网卡，是 ECS 第一道虚拟防火墙。
- 入方向规则确认：TCP 22 端口已显式放行。
- 规则优先级：数值越小优先级越高，确认没有高优先级 DROP 规则覆盖放行规则。
- 授权对象源 IP：填写你当前客户端公网 IP，建议使用/32做单点测试，不要直接0.0.0/0。
常见端口安全组配置规范
| 端口 | 常见服务 | 推荐授权对象 | 安全建议 |
| 22 | SSH(Linux) | 管理员固定公网 IP | 禁止全网开放，抵御暴力破解 |
| 3389 | RDP(Windows) | 管理员固定公网 IP | 避免全网开放，防范勒索病毒 |
| 80/443 | HTTP/HTTPS | 0.0.0.0/0 | 业务对外端口正常全网放行 |
| 3306 | MySQL | VPC 内网网段 | 严禁对公网开放，仅内网访问 |
排障测试临时放行 IP，故障修复之后务必清理临时规则，收紧攻击面。
第三层排查：VPC 网络 ACL 与云防火墙
安全组配置无误，继续检查子网层面网络控制。
- VPC 网络 ACL（交换机级别，无状态）
- 入方向放行对应业务端口（例如 22）
- 出方向放行临时端口范围 102465535，保证回程报文可以返回
- 重点检查 ACL 默认策略，默认拒绝会覆盖自定义放行规则。
- 云防火墙 Cloud Firewall如已开通互联网边界防火墙，检查策略是否存在 IP 封禁、端口阻断；查看访问控制日志确认是否命中拦截规则。
第四层排查：操作系统内部防火墙、服务与 SSH 配置
云端网络全部放行，仍然报Connection refused，使用控制台 VNC 登录实例内部排查。
Linux 系统
- 内部防火墙检查
- Ubuntu/Debian(UFW)：sudo ufw status，必要执行 sudo ufw allow 22/tcp
- CentOS/Alibaba Cloud Linux(firewalld)：sudo firewallcmd –state，添加端口–addport=22/tcp –permanent && firewallcmd –reload
- iptables：sudo iptables -L -n，检查是否存在 22 端口 DROP 规则
- SSH 服务与端口监听
systemctl status sshd
ss -tuln | grep 22
确认 sshd 处于 running 状态，22 端口正常监听。
SSH 应用层常见故障（高频）
- /etc/ssh/sshd_config配置禁止 root 登录、禁用密钥登录；
- 本地私钥文件权限过高，必须设置chmod 600 private_key；
- 查看登录日志定位报错：/var/log/secure（RHEL 系）、/var/log/auth.log（Debian/Ubuntu）。
Windows 系统
- 检查 Windows 防火墙入站规则放行 3389；
- 确认远程桌面服务 Remote Desktop Services 正常运行；
- 检查组策略是否禁止远程登录。
连通性验证：
不建议单纯依赖 telnet（本地电脑防火墙会干扰结果），推荐使用 nc、mtr 做双向测试：
nc -zv ECS公网IP 22
mtr ECS公网IP
故障解决完成，删除排障阶段临时添加的宽松安全组、ACL 规则。
常见问题解答 (FAQ)：
Q1：阿里云国际版 ECS 配置了安全组依然无法连接 SSH 怎么办？ A：第一步确认账号无欠费冻结；其次确认是哪个弹性网卡的安全组；接着检查 VPC 交换机网络 ACL 回程流量、云防火墙拦截日志。网络层全部正常，使用 VNC 登录系统，检查系统防火墙、sshd 服务状态、ssh 密钥与 sshd_config 配置，查看系统登录日志定位具体报错。
Q2：如何排查阿里云 ECS 公网 IP ping 不通的问题？ A：安全组入方向放行全部 ICMPIPv4；检查系统内核是否开启禁 ping；确认账号没有欠费、实例网络没有被冻结。注意：ping 通不代表业务端口可以访问，ICMP 和 TCP 端口互相独立。
Q3：阿里云 ECS 安全组和网络 ACL 在排障时的检查顺序是什么？ A：流量链路顺序：云防火墙 → VPC 网络 ACL (子网) → 弹性网卡安全组 → 操作系统内部防火墙。ACL 作用于整个交换机子网，层级高于安全组，如果 ACL 拦截流量，安全组放行不会生效。
Q4：安全组全部放行，SSH 可以连上但是频繁断开？ A：大概率实例带宽占满、CPU 高负载产生网络丢包；查看实例监控指标，排查业务进程占用资源情况。
Q5：多弹性网卡实例，访问辅助网卡端口不通？ A：安全组绑定在弹性网卡，访问辅助网卡 IP，要修改该辅助网卡绑定的安全组，修改主网卡安全组不会生效。