通过SSH协议访问VMware ESXi主机是虚拟化管理员深入底层系统、进行高效故障排查以及执行自动化运维的核心手段，虽然vSphere Web Client提供了图形化管理界面，但在面对性能瓶颈、网络异常或虚拟机卡死等复杂场景时，SSH命令行界面（CLI）往往是解决问题的唯一途径，掌握ESXi SSH虚拟机管理技术，不仅能够突破GUI的功能限制，还能大幅提升运维效率，是构建高可用虚拟化环境不可或缺的专业技能。
启用ESXi SSH服务的标准流程
在管理ESXi主机之前,首要任务是安全地启用SSH服务，VMware提供了两种主要途径来实现这一操作，管理员应根据实际环境选择最适合的方式。
第一种方式是通过ESXi主机控制台（DCUI）启用，直接在主机物理显示器或通过KVM切换器登录，按F2进入系统自定义界面，输入root密码后，选择“Troubleshooting Options”，在此菜单下开启“Enable ESXi Shell”和“Enable SSH”，这种方式适用于网络故障导致无法通过Web客户端访问时的紧急维护。
第二种方式是通过vSphere Web Client进行远程启用，登录Web管理界面，选中目标主机，进入“管理”选项卡，在“服务”列表中找到“TSM-SSH”，点击“启动”即可运行服务，为了管理方便，建议将服务启动策略设置为“与主机一起启动和停止”，但出于安全考虑，生产环境通常建议在需要时手动启动，用完即关。
核心管理命令与实战应用
连接ESXi SSH通常使用PuTTY、SecureCRT或系统自带的终端工具，默认端口为22，用户名为root，成功登录后，管理员将面对的是基于BusyBox的Linux环境，ESXi的命令体系主要分为esxcli和vim-cmd两大类，前者是现代框架下的标准工具，后者则用于更深层次的虚拟机生命周期管理。
esxcli是进行系统诊断和配置的首选工具，在排查存储性能问题时，可以使用esxcli storage core device list查看所有存储设备的状态，结合esxcli storage core device stats get获取详细的I/O延迟和吞吐量数据，对于网络故障排查，esxcli network ip connection list能列出当前所有的网络连接，类似于Linux的netstat命令，帮助管理员快速定位异常连接，查看系统日志对于分析崩溃原因至关重要，vim-cmd hostsvc/maintenance_mode_get可以检查主机是否处于维护模式，而cat /var/log/vmkwarning.log或tail -f /var/log/hostd.log则能实时监控系统警告和主机守护进程日志。
在虚拟机管理方面,vim-cmd提供了强大的控制能力，当Web Client中某个虚拟机状态显示为“不可用”或操作卡死无法通过界面强制关机时，SSH是唯一的解决方案，使用vim-cmd vmsvc/getallvms获取所有虚拟机的列表及对应的VMID（World ID），找到目标虚拟机的ID后，执行vim-cmd vmsvc/power.getstate [VMID]查看当前电源状态，若需强制关闭，可使用vim-cmd vmsvc/power.off [VMID]；若该命令无效，可进一步使用esxcli vm process kill --type=force --world-id=[WorldID]从进程层面直接终止卡死的虚拟机，这是处理生产环境虚拟机僵死问题的专业且有效的解决方案。
安全加固与最佳实践
虽然SSH功能强大,但它也是攻击者眼中的主要突破口，遵循E-E-A-T原则中的安全与可信度要求，必须对SSH访问进行严格限制。
严禁长期开启SSH服务，完成运维任务后，应立即通过DCUI或Web Client关闭TSM-SSH服务。修改默认SSH端口，虽然ESXi基于BusyBox，修改配置相对复杂，但通过编辑/etc/ssh/sshd_config文件（需注意重启主机后配置可能重置）或利用防火墙规则限制访问，可以有效降低被扫描攻击的风险，建议在ESXi防火墙中配置仅允许特定的管理IP地址访问SSH服务，命令如下：esxcli network firewall ruleset set -e true -r sshClient，然后结合esxcli network firewall ruleset allowedip add添加信任IP。
避免使用root账户直接进行日常自动化脚本执行，虽然ESXi本地用户管理功能有限，但在集成vCenter时，应尽量利用vCenter的权限体系进行操作，减少直接对ESXi root账户的暴露，定期检查/var/log/auth.log或/var/log/secure.log（视版本而定），分析异常的登录尝试，也是维护系统安全的重要环节。
独立见解：SSH与vCenter API的协同
专业的虚拟化运维不应将SSH视为孤立的工具,而应将其纳入自动化运维体系中，在编写自动化脚本时，建议采用混合模式：对于配置下发和状态监控，优先使用vCenter API（如PowerCLI），因为它们具有事务性和更好的错误处理机制；而对于紧急故障恢复、底层网络抓包（如pktcap-uw）或主机级性能调优，则通过SSH调用ESXi Shell命令，这种组合策略既能保证运维的规范性，又能保留底层操作的灵活性，是构建企业级虚拟化运维平台的最佳实践。
相关问答
Q1：如果忘记了ESXi主机的root密码，如何通过SSH或相关模式进行重置？
A1： 如果忘记密码，你无法通过SSH登录，因为SSH需要认证，解决方案是重启ESXi主机，在启动画面看到“ESXi Boot”倒计时界面时，按Shift+O（字母O），在出现的行尾空格处输入reset并回车，系统将进入重置模式，按照屏幕提示输入新密码即可，这是一种物理接触主机或通过KVM访问时的标准恢复流程。
Q2：如何在ESXi SSH中查看虚拟机对应的网络适配器MAC地址？
A2： 可以通过组合命令来实现，首先获取虚拟机ID：vim-cmd vmsvc/getallvms，假设目标VMID为1，然后执行vim-cmd vmsvc/device.getconfig 1，输出结果中会列出该虚拟机所有设备的信息，查找deviceType = "ethernet"的部分，其中的macAddress字段即为该网卡的MAC地址，也可以使用esxcli network vm port list命令，它能更直观地列出虚拟机名称、端口ID以及对应的MAC地址和交换机连接信息。
希望以上关于ESXi SSH虚拟机管理的深度解析能帮助您在实际运维中解决棘手问题，如果您在操作过程中遇到特定的报错代码或命令执行异常，欢迎在评论区留言，我们一起探讨解决方案。
