服务器刚才还能登录，过一会儿就连不上了，这种情况运维人员大多遇到过。阿里云服务器无法远程连接时，原因常分散在安全组、实例状态、系统服务和本地网络几处，只看一处很难定位。下面按从外到内的顺序走一遍，每一步都能直接在控制台或命令行里对照操作。
一、常见原因
- 安全组没有放行SSH的22端口（Linux），或远程桌面的3389端口（Windows）。
- 实例已停止或欠费，或者公网IP已经变了。
- firewalld、ufw、iptables等系统防火墙拦截了连接，或者sshd服务被停掉。
- 密码过期、密钥文件和实例不匹配，或者用户名写错。
- 磁盘写满或内存被占满，sshd无法及时响应。
- 本地网络、代理或公司防火墙挡住了出站连接。
二、先查安全组
安全组是最容易被忽略的一环。创建实例时用的是默认规则，后来为了收紧权限改了入方向规则，却顺手把远程管理端口也关掉了。
进入ECS控制台，找到实例绑定的安全组，查看入方向规则，重点核对三件事：授权对象是否包含你当前的出口IP，端口范围是否覆盖实际在用的端口，协议是否为TCP。办公网如果是动态IP，IP一变，原来的白名单就失效了，这种情况很容易被当成服务器故障。
安全组只管入站流量，修改后一般立即生效，不需要重启实例。
三、确认实例状态和公网地址
在控制台看实例是否处于“运行中”，账户余额是否充足。按量付费的测试机欠费后被释放，连接自然不可能成功。
没有绑定弹性公网IP的实例，停机重启后公网地址可能已经变化。别拿旧地址反复尝试，直接在控制台核对当前的公网IP。
四、进入系统检查服务
安全组和实例状态都正常，就要进到服务器内部看。SSH登录不上时，可以用ECS控制台的远程连接功能（Workbench或VNC）进入系统，这是后面所有排查的前提。
1. 看sshd是否在运行
用系统服务命令查看sshd的状态。如果已停止，重新启动并设置开机自启。启动失败时，去看日志里的具体报错，配置文件语法错误是常见原因，改完后再重启一次。
2. 核对端口和登录配置
检查sshd_config里的Port。如果有人把端口改成了2222之类的非默认值，安全组和系统防火墙都要放行新端口，漏掉任何一处，连接都只会超时。顺带确认PermitRootLogin和PasswordAuthentication与你现在的登录方式一致。
3. 检查系统防火墙
确认firewalld、ufw或iptables是否开启，SSH端口是否在放行列表里。系统防火墙和安全组是两层独立的规则，哪一层拦截，连接都会失败。
4. 看资源占用
磁盘写满、内存耗尽或CPU长期满载，sshd也会变慢甚至没有响应。进入系统后用df和free之类的命令看一眼占用情况，清理日志或释放占用资源的进程后，连接通常会恢复。
五、两个典型场景
下面两种情况在团队里并不少见，排查思路可以直接套用。
第一种是改了端口却忘了改安全组。为了降低暴力破解的风险，有人把SSH端口从22改成了2288，系统防火墙也同步调整了，安全组却没动。第二天同事连接全部超时，最后通过控制台远程连接进入系统核对配置，补上2288的放行规则才恢复。改端口时，安全组和系统防火墙要一起检查。
第二种是fail2ban误封了办公网IP。团队成员在测试机上多次输错密码，fail2ban触发规则，把办公室的出口IP封掉了。同一网络里的其他人全部连不上，很容易误判成服务器挂了。解除对应IP的封禁后就恢复了，之后可以调整封禁阈值，并把办公网出口IP加入白名单。
六、提前做好的几件事
- 给重要实例绑定弹性公网IP，避免重启后地址变化。
- 修改SSH端口、防火墙或安全组前，先记录变更内容，改完同时检查安全组和系统防火墙两层。
- 保留一个可用的管理员账号和密钥备份，并提前试一次控制台远程连接，确认它能正常使用。
- 在云监控里给磁盘使用率和实例状态设置告警，磁盘快满时能提前处理。
- 办公网出口IP如果会变化，就固定下来，或者定期更新白名单。
阿里云服务器无法远程连接时，按安全组、实例状态、系统服务、本地网络的顺序走一遍，大多能找到原因。先用控制台远程连接进入系统，比在外面反复尝试更省时间。
