阿里云服务器22的端口支持访问

阿里云服务器默认封了22端口，阿里这事我遇到过三次。云服第一次是器问给客户部署跳板机，安全组放行了22，口支SSH死活连不上。持访折腾半小时才发现，阿里问题根本不在安全组——是云服实例自带的iptables规则把入站22给拒了。你说气不气人。器问

22端口就是口支SSH的默认通道。谁控制了22，持访谁就捏住了服务器的阿里远程命脉。阿里云在这件事上很谨慎。云服新购的器问ECS实例，安全组默认只开80、口支443、持访3389，22得自己手动加规则。加完就完事了吗？没有。系统内部还有一层防火墙。CentOS 7以上默认跑firewalld，Ubuntu多半是ufw。两层都放行，SSH才能通。

安全组怎么配

登录阿里云控制台，找到实例，点安全组配置。入方向添加规则：协议类型选SSH(22)，授权对象填你的公网IP。别偷懒写0.0.0.0/0，那等于把门拆了。我见过有人图省事直接全网放行，第二天服务器就被挖矿脚本塞满了。授权对象写具体IP，比如“113.87.xx.xx/32”，精确到单台机器。如果你家宽带是动态IP，那就麻烦点，每次变了都得改。有些团队用VPN网关固定出口IP，一劳永逸。

出方向一般不用动，默认全放行。但如果你改过SSH端口，比如改成2222，那安全组里也得同步改。改端口这事本身能减少扫描量，不过治标不治本。真正管用的是密钥登录加禁用密码认证。

系统防火墙别漏了

安全组放行只是第一关。登不上服务器的时候，先看系统防火墙状态。CentOS上跑 firewall-cmd --list-all，看ports里有没有22。没有就加：firewall-cmd --permanent --add-port=22/tcp，然后reload。Ubuntu上查 ufw status，如果是inactive，那防火墙没开，问题不在这。如果是active但没放22，跑 ufw allow 22/tcp。

有个坑我踩过：改过SSH配置文件 /etc/ssh/sshd_config 里的Port，但防火墙没同步。结果重启sshd之后，旧端口关了，新端口被防火墙拦着，直接把自己锁在外面。最后靠VNC登录进去救回来的。所以改端口之前，先把新端口在安全组和系统防火墙里都放行，再改配置，再重启服务。顺序错了就是给自己找麻烦。

密钥比密码靠谱

22端口开了之后，认证方式才是安全核心。密码登录每天被爆破几千次很正常。换成密钥对，爆破就基本失效了。阿里云创建实例时可以选密钥对，也可以后期绑定。绑定后把私钥下载到本地，ssh -i key.pem root@ip 直接连。然后在sshd_config里设 PasswordAuthentication no，重启sshd。这一步做完，22端口暴露在公网也踏实很多。

有人问能不能把22端口关掉，用其他端口。可以，但不解决根本问题。扫描器全端口扫也就是几分钟的事。安全靠的是认证机制和访问控制，不是换个端口号。我自己的做法是：安全组只放行公司固定IP，密钥登录，禁用root远程登录，再装个fail2ban。四层下来，22端口开着也安心。

最后说个实际案例。上个月帮朋友查一台阿里云服务器，SSH时好时坏。安全组没问题，防火墙没问题，密钥也没问题。最后发现是安全组里有一条优先级更高的拒绝规则，把22给挡了。安全组规则是按优先级从高到低匹配的，拒绝规则一旦命中，后面的允许规则就不生效了。把拒绝规则删掉或者调低优先级，立马恢复。这种细节，文档里写得清楚，但真出问题的时候容易忽略。

22端口支持访问这件事，说到底就三层：安全组、系统防火墙、SSH服务本身。三层都通了，才能连上。哪一层断了，都白搭。排查的时候从外到内，先看安全组，再看防火墙，最后看sshd进程和配置。别跳步，跳步容易绕远路。

很赞哦!（119）