外网登录linux系统

你人在家里，外网想连公司那台Linux服务器。登录中间隔着运营商、外网路由器、登录防火墙，外网还有一堆你根本看不见的登录网络设备。这事儿听起来挺复杂，外网实际上也确实不简单——但能搞定。登录

最省事的外网办法是SSH。Linux系统自带OpenSSH服务，登录大多数发行版默认就装好了。外网你在本地终端敲一行：ssh username@公网IP，登录回车，外网输密码。登录如果对面服务器没改过配置、外网防火墙也放行了22端口，这一下就连上了。问题是，现实里很少这么顺利。我见过太多人卡在第一步：连不上，然后开始怀疑人生。

先查端口。在服务器上跑ss -tlnp | grep 22，看看sshd到底有没有在监听。有些系统装是装了，服务没起来。再确认防火墙——iptables、firewalld、ufw，每个发行版用的都不一样。CentOS 7默认开firewalld，Ubuntu Server通常用ufw。放行命令分别长这样：firewall-cmd --add-port=22/tcp --permanent，或者ufw allow 22/tcp。这两条命令我打错过无数次，后来干脆写进笔记里。

端口通了，还有一层：路由器。如果服务器在家里，宽带运营商给的是动态公网IP，或者压根就是内网IP（比如100.64开头的CGNAT地址），那你在外面根本连不进来。这种情况得做端口映射，或者用内网穿透工具。frp、ngrok、Tailscale，各有各的用法。我自己用frp比较多，配置稍微麻烦点，但稳定。服务端跑在带公网IP的VPS上，客户端跑在内网机器上，一条SSH隧道就打通了。

安全这块不能偷懒。22端口暴露在公网上，每天被扫几百次是常态。我有一台小VPS，刚上线那会儿没改配置，日志里全是暴力破解记录，来自俄罗斯、巴西、越南的IP轮着来。后来做了三件事：禁用密码登录，改用密钥对；改默认端口，比如换成22222；装fail2ban，连续失败几次直接封IP。这三招下去，日志立刻清净了。密钥对生成用ssh-keygen -t ed25519，然后把公钥扔到服务器的~/.ssh/authorized_keys里，权限设成600。私钥留在本地，别传。

有时候你连上了，但速度慢得离谱。敲个命令等三秒才回显，那多半是DNS反向解析的问题。sshd默认会去查客户端IP的主机名，查不到就卡在那儿。解决办法是在/etc/ssh/sshd_config里加一行UseDNS no，重启服务。这个坑我踩过两次，第一次折腾了半天以为是网络问题，后来才发现是DNS。

还有一种情况：公司内网。服务器没有公网IP，但你在外面需要连。这时候得先拨VPN进内网，再SSH。OpenVPN、WireGuard、或者公司自己搭的SSL VPN，方式看IT怎么配。WireGuard配置最简单，一个配置文件搞定，但需要内核支持。老一点的系统可能得自己编译模块。

手机也能连。Termius、JuiceSSH，安卓和iOS都有。应急的时候挺管用，比如半夜服务器挂了，你不想开电脑，掏出手机就能上去重启服务。我试过用手机改Nginx配置，屏幕小，打字慢，但能救急。

说到底，外网登录Linux的核心就三件事：网络通、端口开、认证过。任何一环断了都连不上。排查的时候从下往上走——先ping公网IP，再telnet端口，最后看SSH日志/var/log/auth.log或者journalctl -u sshd。日志里写得清清楚楚，比瞎猜强得多。