阿里云服务器连接失败，安全组、密钥和 SSH 端口怎么排查

云服务器连不上，多数时候出在某一层设置没对上。第一次接触阿里云 ECS 的人，看到公网 IP、密钥对、安全组、端口这些名词，往往不知道该先看哪里。这篇文章按实际操作的顺序，说明连接前要确认什么、常见连接方式怎么用，以及连接失败时怎么一层层排查。

连接前先确认四件事

动手连接之前，花两分钟核对下面几项。绝大多数连接失败，原因都在这里。

实例状态：在 ECS 控制台确认实例是“运行中”。已停止的实例连不上，欠费导致的停机也是同样结果。
公网 IP 或弹性公网 IP：记下实例的公网地址。如果实例只有私网 IP，本地直接连接是不通的，需要先绑定 EIP，或者通过 VPN、专线接入同一个 VPC。
登录凭证：确认创建实例时选的是密码还是密钥对。Linux 实例更推荐密钥对，密码一旦泄露或被爆破，风险比密钥高得多。
登录用户名：不同镜像的默认用户不一样，常见的有 root、ubuntu 等，具体以控制台或镜像说明为准。用户名写错时，服务器会直接拒绝认证，报错信息也容易被误认为是密钥问题。

macOS、Linux 终端，或者装好 OpenSSH 客户端的 Windows PowerShell，都可以直接使用 ssh 命令。假设实例公网 IP 是 203.0.113.10，密钥文件是 my-key.pem，命令大致如下：

ssh -i ~/.ssh/my-key.pem root@203.0.113.10

第一次登录时，终端会询问是否信任主机指纹，输入 yes 即可。另外要注意密钥文件的权限。权限过宽时，ssh 会提示 UNPROTECTED PRIVATE KEY FILE 并拒绝使用这把钥匙。执行 chmod 400 ~/.ssh/my-key.pem 就能解决。

习惯图形界面的话，Xshell 和 PuTTY 都够用。新建会话时填写主机地址、端口（默认 22）和用户名，再到认证选项里导入密钥。PuTTY 通常需要把密钥转换成 .ppk 格式，可以用 PuTTYgen 完成。这一步很容易被跳过，之后会一直报认证失败，排查起来很绕。

本地网络受限，或者安全组暂时没放行 22 端口时，可以在 ECS 控制台直接使用“远程连接”，通过 Workbench 在浏览器里登录。它不依赖本地客户端，适合临时排障。这个通道主要用来救急，日常运维还是应该走正规的访问渠道。

Windows 实例默认使用 3389 端口。在本地运行 mstsc，输入公网 IP 和管理员账号即可。首次连接前，要确认安全组已经放行 3389，同时在控制台重置好管理员密码。密码忘记时，先重置再连，别在远程桌面登录框里反复尝试。

某电商团队在新购的 ECS 上部署测试环境。本地执行 ssh 后，终端一直停在 Connecting，最后超时。团队起初怀疑是运营商网络有问题，换了几种网络环境，结果都一样。

后来工程师按由外到内的顺序逐项检查。先用 ping 确认公网 IP 能通，结果正常。再看安全组规则，发现入方向只放行了 80 和 443，22 端口根本没开。把 SSH 端口加入安全组，并将来源限定为运维办公网的出口 IP 之后，连接马上恢复。

这个案例里，超时的根源在安全组，客户端本身没有问题。Connection timed out 通常意味着请求没有得到回应，这时应优先检查网络层和安全组，而不是急着更换网络或重装客户端。

连接失败时，错误信息通常已经指出了方向。下面是几类高频报错：

Connection timed out：请求发出去没有回音。先查安全组入方向规则和实例状态，再看本地防火墙或公司网络是否拦截了出站流量。
Permission denied (publickey)：多半是密钥与实例上的公钥不匹配，或者用户名写错，也可能是密钥文件权限过宽。
Connection refused：网络是通的，但目标端口没有服务在监听。登录服务器检查 sshd 是否在运行，端口是否被改过。
Host key verification failed：实例重装系统后，主机指纹会变化。如果确认是自己操作的，可以清理本地 ~/.ssh/known_hosts 里对应的旧记录。如果不是自己操作的，要先查清原因，不要直接删除。

排查时加上 ssh -v 参数，终端会输出握手过程的详细日志。日志能看出卡在哪一步，比反复猜测快得多。

能连上只是开始，接下来的设置同样重要。建议禁用 root 密码登录，改用密钥认证。22 端口的来源要限制在固定 IP 段，不要对全网开放。安全组规则也需要定期清理，把不再使用的端口删掉，避免留着一堆没人记得用途的口子。

如果团队有多人参与运维，可以考虑通过堡垒机统一管理访问入口。人员变动时，权限回收只需要改一处，事后追溯也有完整记录。

阿里云服务器连接的排查顺序，基本可以归纳为实例状态、网络路径、安全组、端口、密钥和用户名。按这个顺序逐项核对，大多数问题都能很快找到。