第一次拿到阿里云ECS实例，面对一个黑框和一串IP地址，不知道从哪里下手很正常。阿里云服务器登录本身并不复杂。常用方法就三种，分清各自适合什么场景，再把安全设置配好，基本就能连上服务器。
登录前先核对四项
大部分连不上的情况，问题都出在下面这几项上。连接前花两分钟对一遍，能省下不少排查时间。
- 实例状态：在云服务器ECS控制台确认实例显示“运行中”。如果显示已停止，任何登录方式都进不去。
- 公网IP：记下实例的公网IP，本地终端连接时要填这个地址。
- 登录凭证：创建实例时设置的密码，或者已绑定到实例上的SSH密钥对。按你打算用的方式，准备对应的那一个。
- 安全组规则：Linux实例要放行22端口，Windows实例要放行3389端口。这一步最容易被忽略，很多“连不上”其实就是这里没开。
方式一：控制台远程连接
只是临时看一眼服务器状态，或者本地网络不方便装终端工具时，可以直接用控制台的远程连接。在ECS实例列表里点“远程连接”，浏览器会打开一个终端窗口，输入用户名和密码就能进去。不用装任何软件，适合应急排查。缺点也明显：它依赖浏览器和网络，长时间操作时网络一抖就容易卡，大段内容的粘贴也不如本地工具顺手。
方式二：本地终端SSH登录
日常管理多数人用SSH。macOS和Linux打开终端，直接输入：
ssh root@203.0.113.10
203.0.113.10是示例地址，换成你自己实例的公网IP。第一次连接时系统会问你是否信任这台服务器的指纹，输入yes，再输入密码，就能看到命令行提示符。这一步不要习惯性地一路回车。指纹确认的作用，是确保你连的确实是这台机器。如果以后同一个IP的指纹变了，先想想是不是服务器被重装过，或者网络链路有异常，再决定要不要继续。
Windows 10及以上版本自带OpenSSH客户端，打开PowerShell执行同样的命令即可。习惯图形界面的话，PuTTY、Xshell这类工具也能用。把IP、端口和账号填好并保存成会话，下次双击就能连。
案例：小王的博客打不开
小王在阿里云上搭了个人博客，某天突然访问不了。他想用SSH进去看日志，却一直提示连接超时。排查才发现，他调整安全组时误删了22端口的入方向规则。重新添加一条规则，只允许自己的IP访问22端口，连接马上恢复。这件事的提醒很直接：登录失败时先看安全组，比反复试密码快得多。
方式三：密钥对登录，更安全
密码登录简单，但服务器长期暴露在公网上，容易被暴力破解。换成SSH密钥对，登录时用私钥代替密码，安全性会高不少。大致流程是：在控制台创建密钥对，下载私钥文件，把公钥绑定到实例，然后在本地用私钥登录：
ssh -i ~/.ssh/your_key.pem root@203.0.113.10
私钥文件的权限要设成只有自己能读，否则SSH会直接拒绝使用。Linux或macOS上执行chmod 400即可。私钥一旦丢失，这套登录方式就用不了了，所以下载后马上备份到安全的地方。不要传到代码仓库，也别发进聊天群。
连不上时怎么查
- 连接超时：先看安全组的22端口是否放行，再确认实例仍在运行，最后检查本地网络能否正常访问公网。
- 密码错误：先核对用户名。部分系统镜像的默认用户不是root，换成镜像文档里写的用户名再试。
- Permission denied：多数是私钥权限过宽，或公钥没有正确绑定到实例。
- 连接被拒绝：说明网络能到达服务器，但SSH服务可能没有启动。可以先用控制台远程连接进系统，检查sshd的运行状态。
安全设置建议
能登录只是第一步，登录过程本身也要守住。以下几条，建议长期执行：
- 关闭root的密码登录，日常用普通用户加sudo，认证方式优先选密钥对。
- 把安全组里22端口的来源收窄到固定IP段，不要对全网开放。出差或换网络后，记得同步更新这个IP段，否则自己也会连不上。
- 密码定期更换，用足够强的组合，别用生日、手机号这类容易被猜到的内容。
- 开启云安全中心的异常登录告警，有人反复尝试登录时能及时收到提醒。
登录时真正卡住的地方，多数是前面的条件没满足。控制台临时连接、本地SSH日常管理、密钥对长期使用，这三种方法都熟悉一遍，遇到问题时就知道该先查哪一层。
