腾讯云国际站代理商：云服务器经常超时连不上？VPC、安全组、路由排查步骤

本文由 腾讯云国际站代理商『云枢国际✈️✈️✈️ TG-@yunshuguoji - 腾讯云国际服务器服务商』撰写，可在 TG（小飞机）搜索小编，如需转载请注明！

腾讯云国际CVM连接超时，先不要直接改安全组或路由。可以按以下顺序排查：记录故障并确认访问目标、核对访问入口、检查实际生效的访问规则、按访问路径检查VPC与网络ACL，最后检查实例内服务和客户端网络。超时只能说明连接未在预期时间内建立，不能单凭这一现象判断是哪一层出了问题。

一、排查前：留下可复现的故障记录

准备好实例标识、查看网络配置的权限，以及必要时登录实例系统的权限。先记录一条完整的失败样本：发生时间、客户端所在网络、目标地址、端口、协议、访问方式和报错原文。应区分SSH连接超时、远程桌面连接超时，以及业务页面迟迟没有响应。

修改任何规则前，保存原配置及其关联对象，注明修改人和修改时间。

建立连接时超时，优先检查目标地址、访问路径或访问控制。明确提示连接被拒绝，检查目标端口的服务状态。已建立连接但页面或应用无响应，查看应用状态与相关日志。这张表只用于安排检查顺序，不能据此判定故障原因。

二、先确认连的是不是这台CVM

核对失败记录中的目标地址，确认它仍是目标CVM当前使用的地址；同时确认客户端走的是公网访问还是VPC内网访问。若通过域名连接，单独核对域名当前解析结果。

这里需要补充一个容易被忽略的原因：按流量计费的弹性公网IP在账户欠费超过2小时后，绑定的CVM会被解绑并释放EIP，控制台可能仍显示关联关系但实际已失效。排查时先确认IP是否为弹性公网IP且状态为已绑定，再通过ping和telnet从本地测试目标IP的端口。

预期结果是地址、实例和访问方式能够对应。如果对应不上，先修正测试目标。

三、核对实际生效的安全组规则

查看目标CVM当前关联的安全组，而不是只查看名称相似或以前使用过的规则。核对测试流量所需的协议、目标端口、来源地址范围。

这里需要先理清两个容易误解的机制。第一，腾讯云安全组未添加任何规则时默认拒绝所有入站流量，你只需要添加允许规则，不需要也不应该尝试添加兜底拒绝规则，默认行为就是拒绝。第二，安全组是有状态的：入站方向被放行过的连接，其回包会被自动允许出站，即使出站规则写的是拒绝。所以如果你只关心SSH入站，放行TCP 22入站就够了，不需要配出站回包规则。

安全组规则按列表从上到下依次匹配，一旦匹配成功即停止判断。如果一个实例绑定了多个安全组，按安全组优先级顺序依次匹配。如果之前存在一条优先级更高且范围覆盖该端口的拒绝规则，即使后面加了允许规则也不生效。

客户端换用办公网、家庭网络或移动网络后，实际出口地址可能变化。某条规则已放行不等于本次来源一定落在允许范围内。如需临时调整，限定为本次测试所需的最小范围，记录变更内容后复测。

四、网络ACL：安全组放行了但回包被丢的那一层

如果安全组已正确放行，连接仍然超时，需要检查子网绑定的网络ACL。这是安全组开了22端口但SSH依然超时的一个常见原因，但容易被跳过。

网络ACL工作在子网层面，是无状态的。它不判断连接，只判断包。入站放行了一个请求，但出站规则如果没有放行回包，SYN-ACK会被网络ACL丢弃。表现就是：服务端抓包能看到SYN-ACK发出去了，客户端却一直收不到，最终超时；服务端应用和日志一切正常，看起来服务是活的。

排查方法：在服务端用tcpdump抓包，确认SYN-ACK有没有从网卡发出。如果发出了但客户端没收到，问题很可能在子网边界的网络ACL。检查网络ACL的入站和出站规则是否都放行了对应端口，以及规则顺序是否把流量拦在了允许规则之前。

五、云侧未见异常，再查实例与客户端

具备登录条件时，进入实例系统，检查目标服务是否正在运行、是否监听预期端口，以及系统防火墙是否允许这次连接。如果端口连接已成功建立但业务不响应，转查应用状态和日志。

随后从原故障客户端再次测试相同地址、端口和协议，并在具备条件时用另一测试网络做对照。若仅原网络失败，调查该客户端的出口网络、代理或本地限制；若两个网络都失败，结合实例监听、系统防火墙、安全组和网络ACL继续定位。

六、复测、回滚与资源清理

每次只改变一项待验证配置，记录变更时间和结果。故障排除后，用最初失败的客户端复测，确认业务本身可用。最后撤销临时放宽的规则，恢复不再需要的测试配置。

常见问题：

问：腾讯云安全组能配置拒绝规则吗？

腾讯云安全组规则确实有允许和拒绝两种策略。但你需要理解默认行为：安全组未添加任何规则时，默认拒绝所有入站流量，所以你只需要添加允许规则即可。如果确实需要显式拒绝某个来源，可以添加拒绝规则，但要注意规则按列表顺序从上到下匹配，拒绝规则的位置必须在允许规则之前才生效。

问：安全组已放行，为什么SSH或远程桌面仍然超时？

先确认放行规则覆盖本次协议、端口和客户端来源，且关联的是目标实例。如果这些都已核对，检查子网绑定的网络ACL。网络ACL是无状态的，入站放行了请求但出站没有放行回包，回包会被丢弃，表现为超时但服务端看起来正常。另外确认公网IP没有因欠费被释放。

问：什么时候需要检查CVM所在子网的路由和VPC访问控制？

当目标地址与安全组已核准，而实际访问路径涉及相应子网、网络ACL或额外启用的控制项时，再核查它们。先确认流量路径，再按当前官方资料检查适用配置，不要把每次公网入站超时都直接归因于路由。