修改 Linux 默认 SSH 端口为 2222 后无法连接怎么排查配置？

修改 SSH 端口后连不上，绝大多数情况不是 SSH 服务坏了，而是防火墙或云平台安全组没放行新端口，或者服务只监听了本地地址。操作前请务必保持当前 SSH 会话不要关闭，直到新端口验证成功，以防配置失误导致失联。

先说结论：先确认服务是否监听新端口，再处理系统防火墙与云安全组规则，最后验证客户端连接命令是否正确。

先确认：sshd 进程是否正在监听 2222 端口且地址为 0.0.0.0
先处理：放行操作系统防火墙及云平台安全组的 2222/TCP 入站规则
再验证：使用 telnet 或 nc 测试端口连通性并查看服务端日志

命令速用版

# 检查端口监听状态
ss -tlnp | grep 2222

# 检查防火墙状态 (CentOS/RHEL)
firewall-cmd `--list-all`

# 检查防火墙状态 (Ubuntu/Debian)
ufw status

# 检查 SELinux 状态
getenforce

# 重启 SSH 服务 (修改配置后必须执行)
systemctl restart sshd

前置依赖检查

若服务器开启了 SELinux，使用semanage命令前需确保已安装策略管理工具，否则命令会报错找不到。

# CentOS/RHEL 8+
yum install policycoreutils-python-utils -y

# CentOS/RHEL 7
yum install policycoreutils-python -y

# Ubuntu/Debian
apt install policycoreutils -y

分步处理

1. 确认服务监听状态
登录服务器本地终端（或通过 VNC/控制台），执行ss -tlnp | grep 2222。正常输出应包含0.0.0.0:2222或:::2222。如果只显示127.0.0.1:2222，需检查/etc/ssh/sshd_config中的ListenAddress配置，确保未绑定本地回环地址。

2. 检查操作系统防火墙
不同发行版工具不同。CentOS 7+ 常用 firewalld，执行firewall-cmd `--permanent` `--add-port`=2222/tcp后执行firewall-cmd `--reload`生效。Ubuntu 常用 ufw，执行ufw allow 2222/tcp。注意：生产环境严禁直接systemctl stop firewalld，除非你在控制台操作且有备用连接方式。

3. 检查云平台安全组
如果是阿里云、腾讯云等云服务器，必须在控制台安全组规则中添加入方向规则，协议 TCP，端口 2222，授权对象 0.0.0.0/0 或特定 IP。这是最容易被忽略的一环，云平台安全组优先级高于系统防火墙。

4. 检查 SELinux 策略
若getenforce显示 Enforcing，默认只允许 SSH 监听 22 端口。需执行semanage port -a -t ssh_port_t -p tcp 2222添加策略。若命令报错，请先执行前置依赖检查中的安装步骤。

怎么验证是否生效

在客户端机器执行telnet 服务器 IP 2222或nc -zv 服务器 IP 2222。若显示 Connected 或 succeeded，说明网络层已通。若仍无法 SSH 登录，查看服务端日志/var/log/secure（CentOS）或/var/log/auth.log（Ubuntu）获取具体拒绝原因。

常见坑

会话失联风险：修改配置重启服务前，务必保留一个旧端口（22）的 SSH 会话不要关闭。若新端口测试失败，可通过旧会话回滚配置。
客户端命令错误：修改端口后，客户端连接必须显式指定端口，如ssh -p 2222 user@host，默认 ssh 命令仍会尝试 22 端口。
配置未生效：修改sshd_config后必须重启 sshd 服务，仅重载配置可能不生效端口变更。
监听地址限制：配置文件中若有ListenAddress 127.0.0.1，外网将无法连接，需改为0.0.0.0或注释该行。
多 Port 指令冲突：配置文件中若有多个 Port 行，确保没有语法错误或冲突，建议只保留需要的端口。