设备能 ping 通却登录不上
能不能 ping 通设备，说明的是控制平面可达；能不能登录，取决于管理服务有没有在跑、会话是否可用、来源是否被策略放行。这三件事互相独立，所以排查顺序应当固定下来：先看服务状态，再看 TCP 会话与线路占用，最后核对来源限制与账号认证。按这个顺序走，绝大多数「连不上」都能在两三条命令内定位。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 服务状态命令 | display ssh server status、display telnet server status、show ip ssh |
| 会话与线路命令 | display tcp status、show tcp brief、show line vty 0 4 |
| 权限要求 | 查看类命令用户视图即可 |
| 常见现象 | 能 ping 通、端口连接超时、登录被拒、认证通过后立刻断开 |
典型使用场景
- 能 ping 通但 SSH 连接超时：确认 SSH 服务是否开启、端口是否被策略拦截
- 登录被拒：核对账号权限、认证方式与来源地址限制
- 有人能登、有人不能登：检查 VTY 来源 ACL 与对方所在网段
- 登录后立刻断开：查看认证通过但授权缺失、或会话被挂起
- 批量设备失联：确认是否因管理 VLAN 变更或会话数被占满
华为 VRP
华为 VRP
<Huawei> display ssh server status # SSH 服务开关与参数
<Huawei> display telnet server status
<Huawei> display tcp status # 23 与 22 端口是否在监听
<Huawei> display users # 当前登录用户，确认是否被占满
<Huawei> display current-configuration | include acl # 核对 VTY 来源限制思科 IOS
思科 IOS
SW-CORE-01# show ip ssh # SSH 版本与启用状态
SW-CORE-01# show tcp brief # 查看监听会话
SW-CORE-01# show line vty 0 4 # 线路状态与占用情况
SW-CORE-01# show users # 已登录用户
SW-CORE-01# show running-config | section line vtyH3C Comware
H3C Comware
<H3C> display ssh server status
<H3C> display telnet server status
<H3C> display tcp status
<H3C> display users三段查法与对应命令
| 段 | 核对内容 | 命令要点 |
|---|---|---|
| 服务是否开启 | SSH 与 Telnet 服务开关 | display ssh server status、show ip ssh |
| 端口是否在听 | 22 或 23 端口监听状态 | display tcp status、show tcp brief |
| 线路是否可用 | VTY 线路占用与挂死会话 | display users、show line vty 0 4 |
| 来源是否放行 | VTY 上的 ACL 是否包含自己网段 | 查看线路视图下的来源限制配置 |
| 认证与授权 | 账号是否存在、权限是否足够 | 本地用户或 AAA 方案配置 |
历史会话挂死会把 VTY 线路占满，新连接直接被拒：这类问题在 show line vty 或 display users 里能看到同一批空闲会话，处理方式是清理挂死会话，并把 idle-timeout 调到合理值，避免长期占用。