SSHで接続できない時の切り分け手順｜ssh -vvvとsshd -Tでクライアント・サーバー両面から原因を特定する

この記事のポイント

・ssh -vvvで接続試行の詳細ログを確認できる
・sshd -Tでサーバーの有効な設定値を即確認できる
・「connection refused」はポートとsshdの起動状態を最初に確認
・鍵認証失敗は~/.ssh/authorized_keysのパーミッションが原因なことが多い

# 自分のPC（クライアント）で実行する
ssh -vvv user@192.168.x.x

# ポートを指定する場合
ssh -vvv -p 2222 user@192.168.x.x

# 鍵ファイルを明示する場合
ssh -vvv -i ~/.ssh/id_ed25519 user@192.168.x.x

# connection refused の場合の出力例
OpenSSH_8.7p1, OpenSSL 3.0.7 20 Sep 2022
debug1: Reading configuration data /home/user/.ssh/config
debug2: resolve_canonicalize: hostname 192.168.x.x is address
debug1: Connecting to 192.168.x.x [192.168.x.x] port 22.
debug1: connect to address 192.168.x.x port 22: Connection refused
ssh: connect to host 192.168.x.x port 22: Connection refused

# sshdの起動状態を確認
sudo systemctl status sshd

# sshdが実際にリッスンしているポートを確認
sudo ss -tlnp | grep sshd

# タイムアウトの場合の出力例
debug1: Connecting to 192.168.x.x [192.168.x.x] port 22.
debug1: connect to address 192.168.x.x port 22: Connection timed out
ssh: connect to host 192.168.x.x port 22: Connection timed out

# まず疎通確認（ICMPが通るか）
ping 192.168.x.x

# ポートが開いているかtelnetで確認（22ポートに接続を試みる）
telnet 192.168.x.x 22
# 繋がれば『SSH-2.0-OpenSSH_8.7』のようなバナーが返る
# タイムアウトすればfirewallのDROPルールが疑われる

# 鍵認証失敗の場合の出力例（-vvvの末尾部分）
debug1: Authentications that can continue: publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/user/.ssh/id_rsa
debug3: no such identity: /home/user/.ssh/id_rsa: No such file or directory
debug1: Trying private key: /home/user/.ssh/id_ed25519
debug3: sign_and_send_pubkey: no mutual signature supported
debug2: we did not send a packet, disable method
debug1: No more authentication methods to try.
user@192.168.x.x: Permission denied (publickey).

# サーバー側（rootまたはsudo可能なユーザーで実行）
sudo sshd -T

# よく確認する項目だけgrepで絞り込む
sudo sshd -T | grep -E 'port|listenaddress|permitrootlogin|pubkeyauth|passwordauth|allowusers|denyusers|maxauthtries'

port 22
listenaddress 0.0.0.0
listenaddress ::
permitrootlogin prohibit-password
pubkeyauthentication yes
passwordauthentication no
maxauthtries 6
allowusers admin deploy

# 設定ファイルの構文チェック（エラーがなければ何も出力されない）
sudo sshd -t

# エラーがある場合の出力例
/etc/ssh/sshd_config: line 34: Bad configuration option: AllowUsers2

# AllowUsers/DenyUsers の設定を確認
sudo sshd -T | grep -i 'allowusers\|denyusers\|allowgroups\|denygroups'

# 出力がなければ制限なし（全ユーザーがSSH可能）
# allowusers admin  →  admin だけがSSH可能

# 自分のユーザー名を確認
whoami

# sshdの状態確認
sudo systemctl status sshd

# sshdが停止していれば起動
sudo systemctl start sshd

# 自動起動の有効化
sudo systemctl enable sshd

# sshdが実際にリッスンしているポートと設定されたポートを比較
sudo sshd -T | grep '^port'
sudo ss -tlnp | grep sshd

# firewalldの場合
sudo firewall-cmd --list-services
sudo firewall-cmd --list-ports

# sshサービスが含まれていれば許可済み
# 含まれていなければ追加
sudo firewall-cmd --add-service=ssh --permanent
sudo firewall-cmd --reload

# iptablesの場合
sudo iptables -L INPUT -n -v | grep -E 'dpt:22|ssh'

# サーバー側のパーミッション確認と修正
# ~/.ssh ディレクトリ: 700が必須
chmod 700 ~/.ssh

# authorized_keys ファイル: 600が必須
chmod 600 ~/.ssh/authorized_keys

# ホームディレクトリの所有者を確認（他人が書き込めるとNG）
ls -ld ~

# sshdのエラーログでパーミッション問題を確認
sudo journalctl -u sshd | tail -20

# 以下のエラーログが出た場合は鍵のパーミッションが原因
Authentication refused: bad ownership or modes for directory /home/user/.ssh

# SELinuxの状態確認
getenforce

# SSHに許可されているポートを確認
sudo semanage port -l | grep ssh

# 出力例:
# ssh_port_t  tcp  22

# 非標準ポート（例：2222）を追加する場合
sudo semanage port -a -t ssh_port_t -p tcp 2222

# SELinuxの拒否ログを確認
sudo ausearch -c 'sshd' --raw | tail -20