宝塔安装后SSH连不上大概率因脚本将SSH端口从22改为8888等值且未提示；需先关宝塔SSH防护、删port.pl和ssh_port.py，再通过双连接安全改回22端口。
宝塔安装后SSH连不上，大概率是脚本改了/etc/ssh/sshd_config
宝塔官方安装脚本（尤其是旧版本或非官网渠道的镜像）在初始化时会检测 SSH 服务状态，并**自动把默认端口从 22 改成 8888 或其他值**，且不提示、不备份原配置。你没动过 SSH 配置，但连不上，八成就是这一步干的。
常见现象：ssh: connect to host x.x.x.x port 22: Connection refused，但用 telnet x.x.x.x 8888 却能通——说明端口真被挪了。
- 检查方法：通过 VNC / 控制台登录服务器，运行
sudo grep "^Port" /etc/ssh/sshd_config - 如果输出是
Port 8888或类似非22的值，确认中招 - 别急着改回来——先确认宝塔是否已启动（
bt start），避免改完 SSH 又进不去面板
改回端口前，必须先关掉宝塔的“SSH 端口防护”功能
宝塔面板后台有个隐藏逻辑：只要开启“SSH 管理”或“端口安全策略”，它会在重启 sshd 后**自动还原自己设的端口**，哪怕你手动改回 22，下次 systemctl restart sshd 又会被覆盖。
- 进宝塔面板 → 安全 → 找“SSH 管理”或“端口安全策略”，关闭它
- 再确认
/www/server/panel/data/port.pl文件是否存在，存在就删掉（这是宝塔记录自定义端口的文件） - 删完立刻执行
rm -f /www/server/panel/class/ssh_port.py（部分版本会通过这个脚本劫持端口）
安全改回 22 端口的三步操作
不能只改配置就 reload，否则可能锁死连接。必须保证至少一条通道始终可用：
- 第一步：用当前能连上的端口（比如
8888）开一个 SSH 连接，别断开 - 第二步：运行
sudo sed -i 's/^Port .*/Port 22/' /etc/ssh/sshd_config，然后sudo systemctl restart sshd - 第三步：新开一个终端，尝试
ssh -p 22 user@ip；成功后再关掉旧连接 - 如果失败，立刻用原连接执行
sudo systemctl restart sshd回滚（前提是没删port.pl）
为什么新版宝塔还会有这问题？
不是所有版本都改端口，但以下情况高发：bash install.sh 脚本来自第三方镜像站、CentOS 7 未更新至最新内核、或安装时检测到 “SSH 服务异常” 就强行接管端口。它本意是防暴力破解，但逻辑太粗暴——没判断用户是否已有防火墙规则，也没问要不要改。
真正该做的，是配 fail2ban 或改 sshd_config 里的 PermitRootLogin no 和 PasswordAuthentication no，而不是一刀切换端口。这点容易被忽略，等真被锁在外面才反应过来。
