1. 先分清：整台机器连不上，还是某个服务打不开#
把问题写成一句可复现的话，例如“家里宽带连接 SSH 超时，但手机热点可以”“首页能打开，登录后报 502”。这比“IP 坏了”更容易找到原因。Ping 测试的是 ICMP，应答正常不代表 SSH、网页或数据库端口也正常；不应答也可能只是禁用了 ICMP。
| 现象 | 优先检查 | 暂时不用做的事 |
|---|---|---|
| 所有网络都连接超时 | 实例运行状态、目标 IP、监听端口、防火墙 | 反复重置账户密码 |
| 立即显示 Connection refused | 程序是否启动、端口是否正确 | 购买新 IP |
| SSH 显示 Permission denied | 登录用户名、密钥或 root 密码 | 修改 DNS |
| IP 能访问，域名打不开 | A/AAAA、虚拟主机、TLS 证书 | 重装系统 |
| 只有某个运营商访问慢 | 同时段多线路测试、MTR | 清空服务器文件 |
2. 从控制台确认机器和端口#
打开服务商账户中的服务列表，进入对应实例的 KiwiVM，核对 IP 和 SSH Port。安装镜像可能使用非 22 端口；迁移后也应重新核对。Main Controls 显示运行状态，Interactive Shell 可在 SSH 不通时进入系统。
在控制台执行下列只读检查。ss 输出中的 Local Address:Port 是程序监听的地址和端口；只监听 127.0.0.1 的服务不能直接从公网连接。
ip -br address
ip route
sudo ss -lntp
systemctl --failed如果机器停止，先看是否有欠费、用量或维护提示，再正常启动。启动后仍进不了系统，转到控制台与救援入口，不要先点重装。
3. 分别测试 IP、端口和 HTTP#
以下地址和端口是示例，请换成自己的。Windows PowerShell 可运行 Test-NetConnection 203.0.113.10 -Port 22；macOS、Linux 可以使用 SSH 详细日志。
ssh -vv -o ConnectTimeout=10 -p 22 root@203.0.113.10
curl -I --connect-timeout 10 https://example.com/SSH 还没出现认证过程就超时，优先检查网络和端口；已经进入认证过程，说明连接基本建立，继续看凭据。分享日志时删掉自己的 IP、用户名和路径，不要贴私钥。
网页问题可在服务器上先请求本地服务，例如 curl -I http://127.0.0.1:8080。本地也失败，检查应用；本地正常、公网失败，再检查反向代理和防火墙。
4. 用多个地区的结果交叉判断#
同一时间用家庭宽带和手机热点各测一次，再使用公开多地区探测工具。服务商官方示例中，全红代表这些探测点没有收到应答，仍需结合实例状态和 TCP 端口判断。
如果只有部分地区持续丢包，记录运营商、时间和目的地址，按路由与丢包测试做 50 次左右的短测试。不要仅凭一张红图断言地址被限制，也不要把凌晨的结果和晚高峰结果直接比较。
5. 根据证据修复，并复测同一条路径#
程序停止就查服务日志；端口错误就修改客户端；防火墙缺规则就只补需要的端口。改防火墙前保留已有 SSH 会话，并确认控制台可用。不要把所有规则清空作为通用修复。
修复后用原来的设备、网络和端口再次连接，再换第二个网络确认。仍有问题时，把实例编号、故障时间及其时区、测试命令、简短结果发给支持人员。可以参考提交有效工单，需要更换地址时再阅读换 IP 的条件与后续检查。
完成后检查
最有用的结论是“哪一层开始失败”，而不是一次测速分数。保留可重复的最小测试。