奇怪！同一个 VSSH 居然有的工具能连上，有的连不上？排查思路全解析

最近折腾服务器，遇到了一个挺玄学的问题：手边的 Codex（或者其他某款专用终端/JuiceSSH等）连接服务器顺滑无比，但本地的 PowerShell 却死活连不上，一直报错或者超时。这种情况确实挺让人抓狂的，明明是同一台机器，同一个 IP 和端口，为什么表现天差地别？

其实，这类问题大多不是服务器坏了，而是不同的客户端对 SSH 协议的支持细节不一样。今天就把排查这种“半残”连接问题的思路和解决方案整理一下，帮大家少踩坑。

1. 先看报错，别瞎猜

首先，连不上具体是什么报错？是超时、拒绝连接，还是“握手失败”？

• 超时： 通常是防火墙、安全组或者本地网络问题，或者是服务器端的 SSH 服务挂了。
• 拒绝连接： 端口没开，或者 SSH 服务没监听。
• 密钥交换/算法不匹配： 這就是导致“Codex 能连、PowerShell 连不上”最常见的罪魁祸首。

SSH 连接失败报错信息：找不到匹配的密钥交换方法

2. 典型原因：加密算法不兼容

很多现代的移动端 SSH 客户端或者特定工具（Codex）内置的 SSH 协议栈比较新，能支持多种加密套件和密钥交换算法。而 Windows 自带的 PowerShell 虽然好用，但它在某些旧版本中，基于 OpenSSH 的实现可能比较保守，或者干脆不支持服务器端强制要求的一些老旧算法（反之亦然，如果服务器很新，强制用了旧客户端不支持的算法，也会崩）。

怎么确认？ 在 PowerShell 里使用最高 verbosity 模式尝试连接：

ssh -vvv root@your_server_ip

多看几行输出，如果你看到类似 no matching key exchange method found 或者 no matching cipher found 的字眼，那就实锤了。

3. 解决方案来了

遇到这种情况，通常有两种解决路径。

方案 A：修改服务器端配置（推荐）

我们希望服务器兼容性好一点，让更多客户端能连上来。编辑服务器上的 /etc/ssh/sshd_config 文件。

修改服务器端 sshhd_config 配置文件以提高兼容性

找到或添加如下行，显式指定一套通用的加密算法（Ciphers 和 MACs），以及密钥交换算法：

# 强制使用更通用的算法，兼容性更好
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,[email protected],[email protected]
KexAlgorithms [email protected],ecdh-sha2-nistp256,ecdh-sha2-nistp384,diffie-hellman-group14-sha256
MACs hmac-sha2-256,hmac-sha2-512

改完后记得重启 SSH 服务：

systemctl restart sshd
# 或者 Debian/Ubuntu 系用
service ssh restart

然后再回去试试 PowerShell，通常就能搞定了。

方案 B：升级 Windows OpenSSH（最省事）

如果你不想动服务器配置，那就检查一下你本机的 OpenSSH 版本。有时候问题仅仅是因为 PowerShell 绑定的 OpenSSH 客户端太老了。

在 PowerShell 里输入：

ssh -V
``

如果版本低于 8.0，建议去 Windows 设置里的“应用管理” -> “可选功能”，找一下 OpenSSH 客户端，或者去 GitHub 下载最新版的 PowerShell/Windows Terminal Preview，内置的现代 SSH 协议栈通常能解决大部分兼容问题。

4. 还有个小坑：known_hosts 文件

如果你的 SSH 公钥指纹变了，或者服务器重装过，PowerShell 可能会因为本地的 known_hosts 文件里有冲突记录而直接拒绝连接。

解决很简单，删掉对应的指纹记录即可：

ssh-keygen -R your_server_ip

总结

遇到工具 A 能连、工具 B 连不上的情况，90% 都是协议兼容性问题。不要急着换服务器，先用 -vvv 模式抓取日志，定位是算法不匹配还是密钥交换失败。稍微调整一下服务器的 sshd_config，或者升级一下本地终端，问题往往迎刃而解。

希望这篇小教程能帮到正在对着屏幕发愁的你！