SFTP服务无法通过SSH正常访问，提示“connection refused”怎么办？

Question

当尝试通过SSH访问SFTP服务时，如果遇到“connection refused”错误提示，通常表明客户端无法连接到目标服务器的SSH端口。以下是一些常见原因及解决方法：1. 确认SSH服务是否已启动并监听默认的22端口（或自定义端口）。可通过`netstat -tuln | grep 22`检查；2. 检查防火墙设置，确保服务器的SSH端口未被阻止；3. 验证SFTP用户的访问权限，确认用户是否被允许通过SSH登录；4. 查看SSH配置文件（通常是`/etc/ssh/sshd_config`），确保SFTP相关配置正确且启用了Subsystem SFTP；5. 排查网络问题，确认客户端与服务器之间的连接正常。若以上均无误，可查阅SSH服务日志（如`/var/log/auth.log`）以获取更多信息。

Answer 1

1. 初步排查：确认SSH服务状态

当遇到“connection refused”错误时，首先需要确认SSH服务是否已启动并监听正确的端口。默认情况下，SSH服务会监听22端口，但有时管理员可能会更改默认端口。

• 使用命令`netstat -tuln | grep 22`检查SSH服务是否正在监听22端口（或自定义端口）。
• 如果未发现任何监听记录，说明SSH服务可能未启动或配置错误。

可以通过以下命令启动SSH服务：

sudo systemctl start sshd

2. 中级排查：防火墙与网络问题

即使SSH服务正常运行，客户端仍可能因防火墙或网络问题无法连接到服务器。

1. 检查服务器上的防火墙设置，确保SSH端口未被阻止。例如，在iptables中允许SSH流量：

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

1. 验证客户端与服务器之间的网络连通性。可以使用`ping`测试基本网络连接，或者通过`telnet`直接测试端口连通性：

telnet your_server_ip 22

若网络不通，需进一步检查路由、交换机或中间设备的配置。

3. 高级排查：用户权限与配置文件

在排除了服务状态和网络问题后，还需检查SFTP用户的访问权限及SSH配置文件。

步骤	操作
验证用户权限	确保目标用户被允许通过SSH登录。检查`/etc/ssh/sshd_config`中的`AllowUsers`或`DenyUsers`字段。
检查Subsystem配置	确认配置文件中包含以下行以启用SFTP： `Subsystem sftp /usr/lib/openssh/sftp-server`

修改配置文件后，记得重启SSH服务以应用更改：

sudo systemctl restart sshd

4. 深度排查：日志分析

如果以上所有步骤均无误，但仍无法连接，可以通过查看SSH服务日志获取更多信息。常见日志路径为`/var/log/auth.log`（Ubuntu/Debian）或`/var/log/secure`（CentOS/RHEL）。

以下是日志分析的基本流程：

tail -f /var/log/auth.log

通过观察日志输出，可以找到导致连接拒绝的具体原因，例如无效的用户名、错误的密钥认证或配置冲突等。

此外，还可以结合mermaid流程图来表示排查过程：

graph TD;
    A[开始] --> B{SSH服务是否启动};
    B --否--> C[检查netstat];
    B --是--> D{防火墙是否阻止};
    D --是--> E[调整iptables];
    D --否--> F{用户权限是否正确};
    F --否--> G[检查sshd_config];
    G --完成--> H[重启sshd];