AWS EMR主节点SSH连接被拒绝问题求助

看起来你卡在SSH连接EMR主节点的初始阶段了——只发起了连接请求但没建立成功，我来帮你一步步排查可能的问题：

1. 先修正SSH命令的参数顺序（最易忽略的低级错误） #

你当前的命令里参数顺序有误：-i选项需要直接紧跟密钥文件路径，但你把-vvv放在了-i后面，导致SSH无法正确识别密钥文件。正确的命令格式应该是：

ssh -vvv -i ~/.ssh/xxxx.pem hadoop@ec2-xx-xxx-xxx-xx.us-east-2.compute.amazonaws.com

先试试修正这个命令，看是否会输出更多调试信息，帮助定位问题。

2. 检查EMR主节点的安全组入站规则 #

AWS EMR默认的主节点安全组通常只允许VPC内部的SSH访问，你需要手动添加允许本地公网IP访问22端口的规则：

• 登录AWS控制台，进入EMR服务，找到你的目标集群
• 切换到「硬件」标签页，点击主节点对应的「安全组」链接
• 在安全组的「入站规则」中，添加一条新规则：
  • 规则类型：SSH（TCP/22）
  • 源：选择「我的IP」（控制台会自动识别你的公网IP），或者临时用0.0.0.0/0测试（测试完成后务必改回专属IP，避免安全风险）

3. 测试本地到EMR节点的端口连通性 #

如果修正命令和安全组后仍无进展，先确认本地网络能访问目标节点的22端口：

• 用telnet测试：

telnet ec2-xx-xxx-xxx-xx.us-east-2.compute.amazonaws.com 22

• 或者用nc（netcat）测试：

nc -zv ec2-xx-xxx-xxx-xx.us-east-2.compute.amazonaws.com 22

如果返回「连接超时」或「拒绝连接」，说明要么是本地网络（比如公司防火墙、家庭路由器）屏蔽了22端口，要么是AWS侧的网络ACL限制了流量。

4. 检查VPC网络ACL（若使用自定义VPC） #

如果你的EMR集群部署在自定义VPC中，需要确保网络ACL的入站和出站规则都允许SSH流量：

• 入站规则：允许TCP 22端口从你的公网IP访问
• 出站规则：允许TCP 1024-65535端口（SSH客户端的临时端口）的返回流量

5. 确认EMR主节点状态正常 #

最后检查EMR集群的主节点是否处于正常运行状态：

• 在EMR控制台确认集群状态为「Running」
• 进入EC2控制台，找到主节点对应的EC2实例，确认实例状态为「运行中」，无异常状态提示

内容的提问来源于stack exchange，提问作者Paul Bendevis