4步排查解決云服務(wù)器無(wú)法SSH遠程連接問(wèn)題

在運維工程師的日常工作中，經(jīng)常需要登錄到服務(wù)器上對應用部署和維護，配置修改是很常規操作。但是在日常運維工作中，經(jīng)常也會(huì )遭遇“滑鐵盧”，當出現SSH無(wú)法遠程連接服務(wù)器的時(shí)候，我們需要沉著(zhù)冷靜，耐心分析報錯的癥結，方能更好的定位和排除問(wèn)題。

今天老劉博客就阿里云服務(wù)器ECS無(wú)法遠程連接的問(wèn)題，分享一波運維必備的問(wèn)題排查方法，說(shuō)明：以下操作在CentOS 6.5 64位操作系統中進(jìn)行過(guò)測試。

步驟1：檢查CPU負載、帶寬及內存使用情況

確認是否存在CPU負載過(guò)高的情況

• 如果在某個(gè)時(shí)間段CPU負載過(guò)高，可能導致遠程連接失敗，建議您查詢(xún)程序或者實(shí)例資源是否不滿(mǎn)足現有要求。
• 如果不存在CPU負載過(guò)高的情況，則繼續下一步檢查。

確認公網(wǎng)帶寬是否不足

無(wú)法遠程連接可能是公網(wǎng)帶寬不足導致的，具體排查方法如下：

• 登錄ECS管理控制臺。
• 找到該實(shí)例， 單擊管理進(jìn)入實(shí)例詳情頁(yè)面，查看網(wǎng)絡(luò )監控數據。
• 檢查服務(wù)器帶寬是否為“1k”或“0k”。如果購買(mǎi)實(shí)例時(shí)沒(méi)有購買(mǎi)公網(wǎng)帶寬，后來(lái)升級了公網(wǎng)帶寬，續費的時(shí)候沒(méi)有選擇續費帶寬，帶寬就會(huì )變成“1k”。

確認內存是否不足

遠程連接輸入用戶(hù)密碼登錄后，不能正常顯示桌面直接退出，也沒(méi)有錯誤信息。這種情況可能是服務(wù)器內存不足導致的，需要查看一下服務(wù)器的內存使用情況。具體操作如下：

• 使用控制臺遠程連接功能登錄到Linux實(shí)例。
• 查看內存使用情況，確認內存不足后，再進(jìn)行處理。

步驟2：客戶(hù)端排查

客戶(hù)端無(wú)法正常登錄時(shí)，先使用不同的SSH客戶(hù)端基于相同賬戶(hù)信息進(jìn)行登錄測試。如果能正常登錄，則判斷是客戶(hù)端配置問(wèn)題，需要對客戶(hù)端配置或軟件運行情況做排查分析。關(guān)于如何使用SSH客戶(hù)端登錄Linux實(shí)例，您可以參見(jiàn)遠程連接Linux實(shí)例。

使用管理終端登錄實(shí)例

無(wú)論何種原因導致無(wú)法遠程連接實(shí)例，請先嘗試用阿里云提供的遠程連接功能進(jìn)行連接，確認實(shí)例還有響應，沒(méi)有完全宕機，然后再按原因分類(lèi)進(jìn)行故障排查。

• 錄云服務(wù)器管理控制臺，單擊左側導航欄中的實(shí)例，然后在目標實(shí)例右側單擊遠程連接。
• 在首次連接或忘記連接密碼時(shí)，單擊修改遠程連接密碼，修改遠程連接的密碼。
• 然后通過(guò)遠程連接密碼連接實(shí)例。

檢查客戶(hù)端本地網(wǎng)絡(luò )是否異常

確認是否存在用戶(hù)本地無(wú)法連接外網(wǎng)的故障。

• 如果存在，則檢查網(wǎng)卡驅動(dòng)，如果存在異常，則重新安裝。使用管理終端登錄實(shí)例，查看/etc/hosts.deny文件，查看是否存在攔截IP，如果存在則刪除此IP配置即可。
• 如果不存在，則繼續下一步檢查。

重啟實(shí)例

在確保登錄密碼正確的情況下，確認之前是否曾重置過(guò)密碼。檢查重置實(shí)例密碼后是否未重啟實(shí)例，如果存在實(shí)例密碼修改記錄，但無(wú)重啟實(shí)例記錄，則參考以下操作步驟重啟實(shí)例：

• 登錄ECS管理控制臺，單擊左側導航欄中的實(shí)例。
• 在頁(yè)面頂部的選擇對應的地域，目標實(shí)例右側單擊更多>實(shí)例狀態(tài)>重啟，再單擊確定即可。

步驟3：中間網(wǎng)絡(luò )檢查

中間網(wǎng)絡(luò )包括網(wǎng)絡(luò )檢查和端口檢查。

網(wǎng)絡(luò )檢查

無(wú)法正常遠程連接Linux實(shí)例時(shí)，需要先檢查網(wǎng)絡(luò )是否正常。

• 用其他網(wǎng)絡(luò )環(huán)境中，不同網(wǎng)段或不同運營(yíng)商的電腦連接對比測試，判斷是本地網(wǎng)絡(luò )問(wèn)題還是服務(wù)器端的問(wèn)題。如果是本地網(wǎng)絡(luò )問(wèn)題或運營(yíng)商問(wèn)題，請聯(lián)系本地IT人員或運營(yíng)商解決。如果是網(wǎng)卡驅動(dòng)存在異常，則重新安裝。排除本地網(wǎng)絡(luò )故障后進(jìn)行下一步檢查。
• 在客戶(hù)端使用ping命令測試與實(shí)例的網(wǎng)絡(luò )連通性。

1. 網(wǎng)絡(luò )異常時(shí)，請參見(jiàn)網(wǎng)絡(luò )異常時(shí)如何抓取數據包進(jìn)行排查。
2. 當出現ping丟包或ping不通時(shí)，請參見(jiàn)使用ping命令丟包或不通時(shí)的鏈路測試方法進(jìn)行排查。
3. 如果出現間歇性丟包，ECS實(shí)例的網(wǎng)絡(luò )一直處于不穩定狀態(tài)時(shí)，請參見(jiàn)使用ping命令測試ECS實(shí)例的IP地址間歇性丟包進(jìn)行解決。
4. 系統內核沒(méi)有禁ping的情況下，使用ping命令測試ECS服務(wù)器，發(fā)現網(wǎng)絡(luò )不通，請參見(jiàn)Linux系統的ECS中沒(méi)有禁PING卻PING不通的解決方法。

端口檢查

網(wǎng)絡(luò )檢查正常后，進(jìn)一步檢查端口是否正常。

1. 使用管理終端登錄實(shí)例，執行如下命令，編輯SSH配置文件

vi /etc/ssh/sshd_config

2. 找到“#port 22”所在行，檢查默認端口22是否被修改，且前面的“#”是否刪除，如果沒(méi)有刪除，可以把前面的“#”刪除，然后將22改為其它的端口，再保存退出即可。

說(shuō)明：服務(wù)監聽(tīng)能使用的端口范圍為0到65535，錯誤配置監聽(tīng)端口會(huì )導致遠程桌面服務(wù)監聽(tīng)失敗

3. 執行如下命令，重啟SSH服務(wù)。

/etc/init.d/sshd restart

說(shuō)明：也可執行service sshd restart命令，重啟SSH服務(wù)。

4. 使用Python自帶的Web服務(wù)器創(chuàng )建臨時(shí)的監聽(tīng)端口進(jìn)行測試。

python -m SimpleHTTPServer [$Port]

5. 如果ECS安全組規則中未放行修改后的端口號，需要將修改后的端口號添加到ECS安全組規則中。

說(shuō)明：ECS的安全組規則中默認放行22端口。修改了遠程桌面的端口后，需要在安全組規則中放行修改后的端口號。

6. 通過(guò)上一步獲取的端口，參考如下命令，進(jìn)行端口測試，判斷端口是否正常。

telnet [$IP] [$Port]

說(shuō)明：

– [$IP]指Linux實(shí)例的IP地址。

– [$Port]指Linux實(shí)例的SSH端口號。

系統顯示類(lèi)似如下，例如執行telnet 192.168.0.1 22命令，正常情況下，系統會(huì )返回服務(wù)端中SSH的軟件版本號。

步驟4：安全組檢查

檢查安全組配置，是否允許遠程連接的端口。

• 參見(jiàn)查詢(xún)安全組規則，查看安全組規則。如果遠程連接端口沒(méi)有進(jìn)行配置，則參見(jiàn)Linux實(shí)例啟用SSH服務(wù)后設置對應的安全組策略配置。
• 確認是否存在無(wú)法ping通ECS實(shí)例，在排除Iptables和網(wǎng)卡IP配置問(wèn)題且回滾系統后，仍然無(wú)法ping通?？赡苁荅CS實(shí)例安全組默認的公網(wǎng)規則被刪除，則需要重新配置ECS實(shí)例的安全組公網(wǎng)規則。如果不存在，則繼續下一步驟檢查。