安全组放行22端口只是第一层关卡，后面还有好几道。先用 telnet 公网IP 22 或 nc -vz 公网IP 22 测端口连通性，如果超时说明包根本没到服务器。接着逐层查：系统防火墙（CentOS的firewalld、Ubuntu的ufw）有没有拦22端口；iptables规则里有没有DROP链；sshd服务是否正常、监听端口是不是被改过（ss -lntp | grep ssh 看一眼）；VPC网络ACL有没有额外限制。如果之前改过sshd_config的Port，安全组也得同步放行新端口。还有个容易忽略的——弹性公网IP绑对了没，重建实例后IP会变，你还用旧IP当然连不上。另外Connection timed out和Connection refused方向不同：前者是网络层没通，后者是端口没监听，别搞混排查方向。