はじめに

SSHできないうえにCloudWatchにもログが出ていない場合、
「そもそもEC2に通信が届いていない」可能性があります。

AWSのEC2にSSH接続しようとして、こんな状況にはまりました。

「ログが出ていない＝何も起きていない？」と思いましたが、
実際に検証してみるとそうではありませんでした。

本記事では、EC2へのSSH接続を意図的に失敗させ、
CloudWatchにどのようなログの違いが出るのか確認します。

まとめ

状態	エラー	ログ	EC2到達
成功	Accepted	⭕ 出る	⭕
鍵違い	Permission denied	⭕ 出る（preauth）	⭕
ユーザー違い	Permission denied	⭕ 出る（Invalid user/preauth）	⭕
接続未許可	timed out	❌ なし	❌

ログの有無を見ることで、「EC2に到達しているかどうか」を判断できます。
※環境によってログの出力内容は異なる場合があります

ポイントは「接続がどこで失敗しているか」です。

つまり、

ログが出る＝サーバーには到達している

ということになります。

ssh -i key.pem ec2-user@<IP>

Accepted publickey for ec2-user from xxx.xxx.xxx.xxx port xxxxx ssh2

→SSH接続および認証が正常に完了している状態。

ssh -i testkey ec2-user@<IP>  # 正しい形式の鍵だがEC2に未登録

Permission denied (publickey)

Connection reset by xxx.xxx.xxx.xxx port xxxxx [preauth]

SSH接続自体はEC2に到達しているが、公開鍵認証に失敗し、
認証処理の途中で接続が切断されている。

※環境によっては Failed publickey などのログになる場合もある

ssh -i key.pem ubuntu@<IP>

Permission denied (publickey)

Invalid user ubuntu from xxx.xxx.xxx.xxx port xxxxx

EC2には到達しているが、指定したユーザーが存在しないため認証前に拒否されている。

ssh: connect to host <IP> port 22: Connection timed out

→ なし

セキュリティグループでSSH通信が遮断されており、リクエストはEC2に到達していない。
そのためログは一切出力されない。

SSH接続エラーは種類が似ていて分かりにくいですが、
ログの有無を見ることで、原因の切り分けが容易になります。

同じようにハマった方の参考になれば幸いです。