运维和网络圈最怕的不是连不上，而是"昨天还好好的"。
最近就有这么一档子事：团队里一批服务器换成了 Ubuntu 24.04，同事照常打开 SecureCRT，弹窗直接拒绝——密钥交换失败。重输密码、查防火墙、ping 了一遍，全都正常。邪门的是，命令行里敲 ssh 能进，旁边同事的 Xshell 也能进，唯独他那台用了七八年的 CRT 死活进不去。
这不是密码问题，也不是网络问题。大概率是老版本 SecureCRT 和新系统之间，谈不拢"用什么加密算法"。这篇把这事一次说透：怎么确认、怎么修、三条路各自什么代价。
先搞懂：SSH 连不上，可能连密码这一步都没走到
SSH 握手的第一步不是输密码，而是算法协商：客户端和服务器各自抛出一份自己支持的算法清单，密钥交换、主机密钥、加密方式各来一轮，双方找交集。只要有哪一类找不到共同项，握手直接失败，压根轮不到你输密码。
所以这类故障的典型特征很鲜明：ping 通、端口开着、密码没错，报错却是 “Key exchange failed” 或 “no matching key exchange method”。而命令行 ssh 和 Xshell 能连，是因为它们支持的算法清单更长，跟新系统能对上。
为什么这两年集中爆发：服务端在"淘汰旧算法"，客户端没跟上
这不是偶发，是趋势撞上了存量。
一边是 OpenSSH 持续收紧：2021 年 9 月的 8.8 版本起，默认禁用了 ssh-rsa（SHA-1）签名；Ubuntu 24.04、Rocky 9 这批近两年集中铺开的新系统，默认安全策略更严，SHA-1 一族的老算法基本都被拒之门外。另一边，SecureCRT 在圈内一直算"保守派"，新算法给得慢，版本越老，能谈的清单越短。
社区里已经有人实测踩坑：老版本 CRT 连 Ubuntu 24.04、Rocky 9、CentOS Stream 这类新系统，大概率握手失败，换到 9.6.4 就通了。知乎VanDyke 自己也在补课——9.7.1 的更新日志里出现了 diffie-hellman-group17-sha512 这类新密钥交换算法，9.7.3 也在今年 7 月 1 日发布了。可以预期，这条算法清单以后只会越补越长。
还有个反方向也得留神：客户端太新，连老设备也可能失败。不少网工手里还有只能提供 group1-sha1 等老算法的旧交换机、旧路由器，CRT 升级后反而连不上了。本质是同一个问题——两边的"共同语言"没了。
另外提一个容易混淆的"服务开了却连不上"：华为交换机开 stelnet 时，如果只开了服务、没生成本地 RSA 密钥，表现也是服务显示开启却握手失败。知乎上手排查时看一眼设备本地公钥在不在，别什么都往算法问题上归。
3 分钟自查：先确认它真是算法问题
动手之前，花三分钟分诊，别上来就重装：
第一步，在同一台机器上用自带命令行连一次：`ssh -vvv 用户名@主机`。命令行能进、CRT 进不去，基本锁定客户端算法清单问题；`-vvv` 输出里能看到双方抛出的算法列表，对一下交集就明白卡在哪。
第二步，命令行也连不上，就查服务端：Linux 看 sshd 是否监听、安全策略是否改过；网络设备看本地密钥是否生成。
第三步，连端口都不通、ping 也不稳，才轮到查网络、防火墙和中间设备。
三条路，代价不一样
确认是算法问题后，选项其实就三个，适合的人群完全不同。
路径一：升级 SecureCRT。 影响面最小，公司有授权或愿意补票的首选。9.7.3 已在 7 月 1 日发布，注意 9.7 系列把系统门槛抬了：macOS 要求 14 以上，Linux 只提供 Ubuntu 22.04/24.04 的官方安装包。知乎还依赖老系统办公的，可以先停在 9.6 系列，连目前主流新系统够用。
路径二：换工具。 Xshell 有免费个人版，默认就支持新算法，从 Windows 用户切换成本最低；WindTerm、Tabby 开源免费，跨平台。但如果你手里攥着几百个分组会话、天天要用串口连交换机、靠脚本批量发命令，CRT 这套东西目前没有完全对位的替代品，别硬迁。
路径三：在服务端放开旧算法。 最不推荐。这等于把整台服务器的安全水位往回拉，而且影响所有连它的客户端，审计这关基本过不去。万不得已要临时用，先和安全口打招呼，并给自己定一个恢复期限。
最后避个坑：升级可以，别乱下载安装包
如果决定升级或重装，有个老坑必须再提一遍：搜"SecureCRT 下载"，排在前面的结果里大部分不是官方渠道。知乎各种"绿色版"“汉化版”"破解版"一直是木马的重灾区——2024 年初就有安全资讯曝出，黑产团伙通过破解软件下载站传播 Mac 远控木马，SecureCRT、FinalShell、Navicat 都在中招名单里。哔哩哔哩你在 CRT 会话里存的那些设备账号密码，恰恰是别人最想要的东西。
稳妥做法就一条：认准 vandyke.com 官网，先试用 30 天，觉得合适再决定去留。知乎下载完再用 `certutil -hashfile` 对一下哈希，确认安装包没被加料。
往后看
SSH 算法只减不增的收缩趋势不会回头，Ubuntu 24.04 LTS、Rocky 9 的换机潮还在进行中，这类"连不上"只会越来越多。记住一个信号就够了：哪天 CRT 报"密钥交换失败"，先别怀疑密码，怀疑你的客户端算法清单旧了。 用命令行 `-vvv` 分诊，按影响面从小到大选路径，比盲目重装快得多。
