腾讯云国际版 CVM 创建完成后，实例显示为运行中，并不代表 SSH 或远程桌面一定能够正常连接。Linux 服务器常见的情况包括连接超时、Connection refused、Permission denied，Windows Server 则可能出现 RDP 无法建立连接、3389 端口不通或者远程桌面服务异常。
这些问题看起来都是“服务器连不上”，实际可能分别出现在公网网络、安全组、操作系统防火墙、SSH/RDP 服务或者账号认证等不同环节。腾讯云官方针对 CVM 登录故障也采用分层排查方式，并提供实例诊断、VNC 和 TencentCloud Automation Tools（TAT）等工具辅助定位。
比较稳妥的处理顺序是：
实例状态 → 公网 IP → 安全组 → 端口 → SSH / RDP 服务 → 系统防火墙 → 登录认证 → VNC / TAT
不要一开始就重装系统，也不建议看到 SSH 连不上就直接修改大量系统配置。先确定问题发生在哪一层，通常可以减少很多无效操作。
如果服务器还处于购买和产品选择阶段，可以先看 腾讯云主机是什么，确认当前使用的是 CVM 还是 Lighthouse。两者都可以运行 Linux 或 Windows 业务，但网络、防火墙和控制台管理方式并不完全一样。
CVM 无法远程连接，先判断问题发生在哪一层
远程连接失败以后，第一步不是修改配置，而是看客户端返回了什么错误。
SSH 出现 Connection timed out，通常说明连接请求没有在预期时间内得到响应。问题可能位于公网网络、安全组、系统防火墙、服务器负载或者线路本身。尤其是服务器运行在海外地域，而访问端位于其他国家或地区时，公网线路质量也可能影响 SSH 连接稳定性。腾讯云官方也记录过跨境链路拥塞造成海外 CVM 登录延迟或不稳定的情况。
Connection timed out 与 Connection refused 不完全一样
Connection refused 通常意味着目标地址可以到达，但对应端口没有正常接受连接。例如 SSH 服务没有启动、SSH 实际监听的不是 22 端口，或者系统防火墙主动拒绝了连接。
而 Connection timed out 更适合优先检查公网 IP、安全组和网络链路。
这只是排查方向，并不能单凭一句报错直接确定原因。比较可靠的方法仍然是逐层验证。
Permission denied 更接近认证问题
如果已经出现：
Permission denied
Permission denied (publickey)
说明客户端通常已经与 SSH 服务建立了通信，此时重点应从“服务器能不能连”转向“用户名、密码、SSH Key 和 sshd 登录策略是否正确”。
腾讯云官方的 Linux SSH 故障文档中，也将密码认证、SSH Key、PasswordAuthentication、PermitRootLogin 等配置列为常见认证故障来源。
因此看到 Permission denied 时，没有必要第一时间去修改安全组。
先确认 CVM 实例本身是否正常
进入腾讯云国际版 CVM 控制台，先检查对应实例是否处于正常运行状态。
如果实例已经关机、欠费停服或者正在执行重启、重装等任务，公网远程连接自然无法正常建立。即使实例显示 Running，也还需要继续确认系统资源和网络使用情况。
CPU、内存和带宽异常也会影响登录
服务器并不是只有“开机”和“关机”两种状态。如果 CPU 长时间处于高负载、内存耗尽或者公网带宽已经被大量占用，SSH 和 RDP 都可能变得非常慢，甚至直接登录失败。
腾讯云的 Linux 登录故障排查文档将高带宽占用列为无法正常登录 CVM 的原因之一，并建议在远程登录失败时通过 VNC 进入实例进一步检查。
所以遇到连接超时时，可以先查看 CVM 监控中的 CPU、内存、网络流量和带宽数据，而不是连续重启实例。
如果发现问题主要发生在公网带宽不足或节点选择不合适，可以参考 腾讯云海外服务器选择指南 ，重新判断地域和带宽方案。
公网 IP 是远程连接首先要确认的入口
从自己电脑直接连接一台互联网 CVM，通常需要使用实例当前有效的公网 IP。
一个很常见的错误，是把腾讯云控制台中的内网 IP 复制到本地 SSH 或 RDP 客户端。内网 IP 主要用于同一 VPC 或已经建立私网连接的云资源之间通信，普通本地电脑不能直接通过互联网访问这个地址。
先确认正在连接正确的公网 IP
进入 CVM 实例详情页，检查当前公网 IPv4 地址，再与 SSH、PuTTY、FinalShell、MobaXterm 或 Windows Remote Desktop 中填写的地址进行比较。
尤其是实例进行过网络调整、重新分配公网地址或者绑定、解绑 EIP 后，不要继续依赖以前保存的连接配置。
如果 CVM 本身没有配置公网访问能力，那么从普通公网环境直接连接自然不会成功。这时需要根据现有网络架构使用 EIP、跳板机、VPN 或其他合适的连接方式。
这里也要区分“腾讯云账号无法登录”和“CVM 操作系统无法登录”。前者属于腾讯云账号、CAM 权限或者账号安全问题，后者才属于服务器连接问题。账号与权限管理可以参考 腾讯云账号使用指南 。
安全组是 SSH 和 RDP 排查的重点
公网 IP 没有问题以后，下一步应该检查 CVM 绑定的安全组。
腾讯云把安全组定义为用于控制云服务器网络访问的虚拟防火墙，可以通过入站和出站规则限制不同协议、端口和来源 IP。腾讯云目前提供的常用安全组模板会涉及 TCP 22、80、443、3389 和 ICMP，其中 22 通常用于 Linux SSH，3389 通常用于 Windows RDP。
常见场景可以先按下面判断：
| 场景 | 常见协议/端口 |
| Linux SSH | TCP 22 |
| Windows RDP | TCP 3389 |
| HTTP 网站 | TCP 80 |
| HTTPS 网站 | TCP 443 |
这里强调“常见端口”，是因为 SSH 和 RDP 都可以修改默认监听端口。如果服务器已经改成自定义端口，安全组也必须同步开放实际使用的端口。
开了 22 或 3389 仍然可能无法连接
安全组规则不仅要看端口，还要看来源 IP。
例如 TCP 22 已经存在一条 Allow 规则，但来源只允许某个固定公网 IP，而当前电脑换了网络，出口 IP 已经改变，那么 SSH 一样会连接失败。
腾讯云安全组支持使用 CIDR 指定访问来源，其中 0.0.0.0/0 代表所有 IPv4 地址。
排查阶段可以用规则确认问题，但生产环境并不建议为了省事长期把管理端口完全开放给互联网。SSH 和 RDP 这类管理端口更适合限制可信来源 IP，降低暴力扫描和攻击面。
安全组和系统防火墙要分开检查
腾讯云安全组放行端口，不代表 Linux 或 Windows 系统内部一定会放行。
可以把它理解成两层：
腾讯云安全组控制云平台这一层的网络访问，Linux UFW / firewalld / iptables 或 Windows Defender Firewall 控制操作系统内部的网络访问。
外层允许、内层拒绝，连接仍然无法建立。
Linux CVM 无法 SSH 登录的排查方法
Linux 的 SSH 故障最好按照实际报错继续往下判断，而不是把所有 SSH 问题都归结为 22 端口。
SSH 一直 Connection timed out
如果 SSH 长时间没有响应，先确认：
公网 IP 是否正确、安全组是否允许当前来源 IP 访问 SSH 端口、服务器是否存在带宽异常，以及系统防火墙是否进行了额外限制。
如果服务器修改过 SSH 默认端口，例如从 22 改成 2222，客户端和安全组都需要使用对应端口。
这种情况下，问题还没有进入用户名和密码验证阶段，反复修改密码通常没有意义。
SSH 出现 Connection refused
如果服务器直接返回 Connection refused，就要进一步检查 sshd 是否正常运行以及对应端口是否存在监听。
通过腾讯云 VNC 进入服务器以后，可以根据 Linux 发行版查看 SSH 服务。例如常见 systemd 系统可以使用：
systemctl status sshd
部分 Ubuntu 系统对应的服务名称可能是：
systemctl status ssh
还可以检查监听端口：
ss -lntp
如果 SSH 服务已经停止，需要先确认停止原因和配置是否正确，再决定是否重新启动服务。
不要看到 SSH 失败就直接删除 /etc/ssh/sshd_config 或照网上教程批量修改参数，这类操作反而可能把一个简单故障变成新的配置问题。
Permission denied 重点检查用户名和认证方式
如果已经进入认证阶段，重点检查实际登录用户名。
不同镜像的默认账号可能不同，另外服务器也可能禁用了密码登录，只允许 SSH Key；或者服务器绑定 SSH Key 后，原来的密码认证方式已经发生变化。腾讯云的密码管理文档也说明，不同实例创建方式对应的初始密码和登录认证方式可能不同。
如果使用 SSH Key，还要确认客户端使用的私钥与服务器上的公钥匹配。
对于 Permission denied (publickey)，不要为了快速解决问题就直接把服务器改成弱密码登录。先确认密钥文件、用户名和 sshd 配置，比降低服务器认证安全性更合理。
再检查 Linux 系统防火墙
Ubuntu 常见的是 UFW，可以先查看状态：
sudo ufw status
其他发行版还可能使用 firewalld 或直接配置 iptables。
Ubuntu 官方文档目前仍将 UFW 作为其常用主机防火墙管理工具。
排查的重点是确认 SSH 实际监听端口有没有被系统防火墙阻止，而不是直接关闭整个防火墙。生产服务器为了测试 SSH 而长期关闭防火墙并不是好的处理方式。
Windows CVM 无法通过 RDP 连接
Windows CVM 的思路与 Linux 类似，只是 SSH 服务换成了 Remote Desktop Services，常用端口从 TCP 22 变成 TCP 3389。
Microsoft 当前文档确认，Windows Remote Desktop 默认使用 3389 端口；远程连接故障排查同样需要检查 RDP 是否启用、服务器网络是否可用、端口是否被防火墙阻止。
先检查腾讯云安全组中的 3389
如果使用默认 RDP 配置，确认安全组存在允许 TCP 3389 的入站规则，同时检查来源 IP 是否覆盖当前使用的公网出口地址。
如果 Windows Server 修改过 RDP 默认端口，则安全组需要开放修改后的实际端口，而不是继续只开放 3389。
检查 Remote Desktop Services
如果安全组已经正常，但 RDP 仍然失败，可以通过 VNC 进入 Windows CVM，再检查 Remote Desktop Services 服务状态。
Microsoft 的 RDP 排查方式也包括检查 RDP Listener 和 TCP 3389 是否处于监听状态。例如可以通过：
netstat -a
确认对应端口是否处于 Listening 状态。
如果 RDP 服务根本没有监听，那么单纯调整腾讯云安全组不会解决问题。
Windows Defender Firewall 也可能阻止 RDP
即使腾讯云安全组已经允许 TCP 3389，Windows Defender Firewall 中的远程桌面规则仍然可能影响连接。
因此 Windows CVM 的网络排查至少要区分：
腾讯云安全组 → Windows 防火墙 → RDP 服务
三层都正常以后，再继续检查 Administrator 密码、远程登录权限以及系统策略。
SSH 可以登录，但网站打不开是另一类问题
服务器能够 SSH 登录，只能证明服务器管理通道基本正常，并不能证明网站已经能够通过 HTTP 或 HTTPS 对外访问。
如果 WordPress、Nginx、Apache、Node.js 或其他 Web 服务无法打开，应该另外检查 TCP 80、443 或应用实际监听端口。
例如 HTTPS 网站通常至少需要：
TCP 443
普通 HTTP 服务则通常使用：
TCP 80
腾讯云安全组的常用端口模板同样将 80 和 443 作为 Web 服务端口。
安全组正常以后，还要继续判断 Nginx、Apache 或应用程序本身是否启动，以及域名 DNS 是否已经解析到正确的公网地址。
如果源站本身可以正常访问，只是不同国家和地区访问速度差异较大，再考虑 CDN 或全球访问优化，而不是把 CDN 当成解决服务器端口故障的方法。相关配置逻辑可以继续参考 腾讯云国际版 CDN 怎么配合全球加速使用 。
SSH 和 RDP 都无法连接时，用控制台继续排查
远程登录失败并不等于服务器已经完全失去控制。
腾讯云 CVM 提供 VNC 登录方式。如果 OrcaTerm、SSH 客户端或其他远程工具无法正常进入 Linux 实例，腾讯云官方建议可以通过 CVM 控制台的 VNC 进入系统继续排查。
VNC 的价值在于，它可以帮助判断问题究竟发生在公网连接层，还是服务器操作系统内部。
例如 SSH 完全连不上时，可以通过 VNC 检查：
sshd 是否运行、磁盘是否已经占满、防火墙规则是否异常、SSH 配置是否被修改。
TAT 可以作为另一条排查路径
TencentCloud Automation Tools（TAT）允许通过腾讯云控制台向 CVM 执行命令。腾讯云目前同时支持在 CVM 和 Lighthouse 中安装和使用 TAT Agent。
在满足使用条件的情况下，即使常规 SSH 登录存在问题，也可以利用 TAT 获取部分系统状态。例如腾讯云官方的登录故障文档就给出了通过 TAT 执行 df -TH 查看磁盘状态的案例。
因此常规远程连接失败后的处理顺序可以是：
SSH / RDP 无法登录 → 控制台诊断 → TAT → VNC。
没有必要一开始就重装系统。
生产服务器不要边排查边大范围修改配置
测试服务器出现故障，可以快速尝试配置调整；但已经运行网站、数据库或业务系统的 CVM，排查方式应该更谨慎。
特别是准备修改 sshd、Windows 注册表、防火墙、磁盘或者网络配置之前，最好先确认有没有现成备份或快照。
如果服务器仍然具备控制台访问能力，优先找到故障原因，再进行最小范围修改。不要同时改安全组、系统防火墙、SSH 配置和网络配置，否则即使服务器恢复，也很难判断究竟是哪一项修改产生了作用。
如果最终发现服务器本身配置长期不足、带宽持续跑满，或者为了降低成本选择了明显不适合当前业务的实例规格，再考虑扩容或调整计费方案。成本部分可以参考 腾讯云服务器价格指南 。
腾讯云 CVM 无法远程连接的推荐排查顺序
实际处理腾讯云国际版 CVM 登录故障时，可以始终沿着一个固定顺序往下查。
先确认实例是否正常运行，然后确认连接使用的是正确公网 IP；公网入口没有问题，再检查安全组中的 SSH 或 RDP 规则；随后进入服务器内部检查 sshd、Remote Desktop Services、监听端口和系统防火墙；只有网络和服务都正常以后，才需要继续处理用户名、密码和 SSH Key 等认证问题。
如果常规 SSH 或 RDP 已经完全不可用，则转到腾讯云控制台，使用实例诊断、TAT 或 VNC 继续定位。
这套顺序的核心不是记住多少条 Linux 命令，而是先区分故障发生在云平台网络层、操作系统网络层、服务层还是认证层。
只要层级判断正确，大多数“腾讯云服务器突然连不上”的问题，都不需要靠反复重启或重装系统解决。
