2026年10月7日、AlmaLinux 9系とTera Term 5.7.0の現行情報に合わせて内容を再確認しました。
AlmaLinux 9のサーバーへTera TermでSSH接続できない場合、最初に確認したいのはTera Termのバージョンです。古いTera Term 4系では、AlmaLinux 9の標準的な暗号ポリシーと合わず、RSA鍵で認証に失敗することがあります。
Tera Termを公式サイトから5系の最新版へ更新し、同じ秘密鍵で再接続してください。2026年10月現在の最新版は5.7.0です。RSA鍵そのものが使えないわけではなく、古いクライアントがRSA/SHA-2に対応していないことが主な原因です。
Tera Term公式サイトから最新版を入手できます。非公式のダウンロードサイトではなく、公式サイトまたは公式GitHub Releasesを利用してください。
症状：AlmaLinux 9だけTera Termで接続できない
次のような状況なら、本記事の対処法が有効です。
- AlmaLinux 8や他の古いLinuxには接続できるが、AlmaLinux 9には接続できない
- AWS EC2で作成したRSA形式の秘密鍵をTera Term 4系で使っている
- PowerShellの
sshコマンドでは接続できるのに、Tera Termでは認証に失敗する - 「No supported authentication methods available」などの認証エラーが出る
タイムアウトや「Connection refused」の場合は、鍵ではなくネットワークやSSHサーバー側の問題である可能性があります。後半のチェックリストも確認してください。
原因：RSA鍵ではなく古いssh-rsa（SHA-1）の互換性
AlmaLinux 9はRHEL 9互換OSで、標準の暗号ポリシーではSHA-1を使う古い署名方式が制限されています。一方、古いTera Term 4系はRSA/SHA-2の扱いに制限があり、サーバーと安全な署名方式を合意できないことがあります。
「RSA鍵だから接続できない」という意味ではありません。同じRSA鍵でも、現行クライアントがrsa-sha2-256またはrsa-sha2-512を使えば接続できます。Tera Term 5系はこれらに対応しています。
RHEL 9系の暗号ポリシーについては、Red Hat公式のシステム全体の暗号化ポリシーも参照してください。
解決方法1：Tera Term 5系の最新版へ更新する
最も安全で簡単な方法です。旧バージョンを使い続ける理由がなければ、まずこれを試してください。
- Tera Term公式サイトを開く
- 公式GitHub Releasesから5系の最新版をダウンロードする
- インストール後、Tera Termを起動する
- 「ホスト」にサーバーのパブリックIPまたはホスト名を入力する
- サービスは「SSH」、TCPポートは通常「22」、SSHバージョンは「SSH2」を選ぶ
- AWSのAlmaLinuxではユーザー名に
ec2-userを入力し、秘密鍵を指定する
初回接続時にホスト鍵の確認画面が表示されたら、可能であればサーバー側のフィンガープリントと照合してから続行します。
解決方法2：PowerShellのSSHで切り分ける
Windows 11にはOpenSSHクライアントが用意されています。Tera Termの問題か、サーバーやネットワークの問題かを切り分けるため、PowerShellで次を実行します。
ssh -i "C:\Users\ユーザー名\.ssh\aws-ssh-key.pem" ec2-user@203.0.113.10203.0.113.10は実際のパブリックIPに置き換えてください。
- PowerShellでは接続できる：Tera Termのバージョンまたは秘密鍵の指定を確認
- PowerShellでもタイムアウトする：セキュリティグループ、IP、経路を確認
- PowerShellでも認証に失敗する：ユーザー名、秘密鍵、公開鍵の登録を確認
解決方法3：新規構築ならEd25519鍵を選ぶ
AWS EC2でLinuxインスタンス用のキーペアを新規作成する場合は、Ed25519を選択できます。既存のRSA鍵も現行クライアントなら利用できますが、新しく用意するならEd25519は扱いやすい選択肢です。
AWS公式ドキュメントでも、Linuxインスタンス用としてRSAとED25519のキーペアが案内されています。詳しくはAmazon EC2のキーペア作成手順を確認してください。
接続できない場合のチェックリスト
タイムアウトする場合
- 接続先のパブリックIPまたはDNS名が正しいか
- AWSセキュリティグループのインバウンドでTCP 22が許可されているか
- 送信元を「0.0.0.0/0」にせず、自分のグローバルIP/32に絞っているか
- インスタンスがパブリックサブネットにあり、必要な経路があるか
Connection refusedと表示される場合
サーバーのコンソールから、SSHサービスと待受ポートを確認します。
sudo systemctl status sshd
sudo ss -tlnp | grep ':22'停止している場合は次のコマンドで起動し、自動起動も有効にします。
sudo systemctl enable --now sshdAuthentication failedと表示される場合
- AlmaLinuxのAWS公式イメージでは、通常の初期ユーザー名は
ec2-userです（ec2userではありません） - 対象インスタンス作成時の秘密鍵を指定しているか確認する
- 秘密鍵とサーバーの
~/.ssh/authorized_keysに登録された公開鍵が対応しているか確認する
非推奨：DEFAULT:SHA1へ変更しない
古いTera Termへ合わせるために、次のようにシステム全体の暗号ポリシーを弱める方法は2026年現在は推奨しません。
sudo update-crypto-policies --set DEFAULT:SHA1これはSSHだけでなくシステム全体でSHA-1を再び許可するため、セキュリティを下げます。クライアント側のTera Termを更新してください。
以前この設定を行った場合は、影響を確認したうえで標準ポリシーへ戻し、再起動します。
sudo update-crypto-policies --set DEFAULT
sudo rebootあわせて読みたい
- PostgreSQLが起動しない・Unit not foundの解決方法
- WSL2でsystemctlを使う方法
- VirtualBoxがインストールできないときの対処法
- LinuxでLVMを作成・拡張する方法
まとめ
- AlmaLinux 9で古いTera Termだけ接続できない場合は、Tera Term 5系へ更新する
- RSA鍵そのものではなく、古いssh-rsa（SHA-1）署名の互換性が原因になりやすい
- PowerShellの
sshで、クライアント固有の問題か切り分ける - AWSではユーザー名
ec2-user、セキュリティグループ、接続先IPも確認する - サーバー全体を
DEFAULT:SHA1へ弱める方法は使わない
2026年現在は、サーバー側の安全性を下げるより、SSHクライアントを最新版にするのが最短で安全な解決方法です。
コメント