刚开始用阿里云的人，常常卡在”怎么连上去”这一步。控制台里实例明明显示运行中，一打开终端就报错：连接超时、密钥不对、端口不通，折腾半天也说不清问题出在哪。这篇从实际操作出发，讲清连接阿里云的几种常见方式，以及连不上时该按什么顺序排查。
连接前先确认四件事
动手之前把下面几项核对一遍，能省掉大部分排错时间。
- 账号已完成实名认证。未实名的账号一般无法创建大部分云服务器实例，所以创建前就要把这一步做完。
- ECS实例已经创建，并记下它的公网IP。如果绑定了弹性公网IP，就记这个地址。
- 确认实例的登录方式。Linux实例通常用SSH密钥对或密码，Windows实例用远程桌面（RDP）。创建时选的是哪种，后面就照哪种来操作。
- 本地工具准备好。Windows自带PowerShell，里面可以直接用ssh命令，也可以用PuTTY或Xshell；macOS和Linux自带终端，直接用就行。
方式一：用SSH密钥连接Linux实例
这是更推荐的做法，比密码登录安全得多。下面以一台华东1（杭州）地域的Ubuntu实例为例。
在ECS控制台创建密钥对，下载后会得到一个以.pem结尾的私钥文件。这个文件只在下载时可以拿到，丢了就得重新生成密钥对，所以下载后要放到稳妥的地方。然后在本地终端执行下面的命令，把路径和IP换成自己的：
chmod 400 ~/.ssh/aliyun-hz.pem
ssh -i ~/.ssh/aliyun-hz.pem root@203.0.113.10
chmod 400 会把私钥的读取权限收紧到只有自己可读。权限太宽时SSH会直接拒绝使用这把密钥，所以这一步不能省。另外，登录用户名要看实例所用的镜像。有的镜像默认用root，有的是ubuntu这类普通用户。遇到”Permission denied”时，先核对用户名有没有写对，再去看镜像文档。
方式二：用密码登录
临时测试时可以用密码登录。创建实例时设置登录密码，之后也能在控制台重置。连接命令和密钥方式基本一样，只是去掉了-i参数，运行后输入密码即可。
密码登录容易成为暴力破解的目标，所以建议只在测试环境用。正式使用前尽快切换到密钥认证，并关闭密码登录。
方式三：Windows实例用远程桌面连接
Windows实例走的是远程桌面协议。在本地按Win+R，输入mstsc回车，填入公网IP，用户名填administrator，再输入创建实例时设置的密码。
如果提示无法连接，先去安全组看看3389端口有没有放行，这是最常见的原因。
连不上时的排查顺序
大部分连接问题集中在下面几处，按这个顺序查，效率最高。
- 安全组规则。SSH对应22端口，远程桌面对应3389端口，需要在入方向放行你自己的访问来源。不少人图省事直接放开0.0.0.0/0，这样服务器就暴露在全网扫描之下。能指定IP段就不要全开，IP经常变动的话，也至少把范围收窄到你常用的网络。
- 实例状态。确认控制台里实例是”运行中”。刚启动时系统还在初始化，等一两分钟再试，往往就通了。
- 公网IP是否变了。未绑定弹性公网IP的实例，停止后再启动，地址可能会变。以控制台当前显示的为准，别拿旧地址去连。
- 密钥权限和路径。Linux和macOS下私钥权限过宽会被拒绝。Windows下留意路径里有没有中文或空格，有的客户端对这类路径比较敏感。
- 本地网络环境。公司网络或某些代理软件可能拦截22端口，换一个网络试一下，能快速判断问题是不是出在本地。
举个常见的例子：有人反馈连接超时，检查后发现安全组只放行了80和443，把22端口漏掉了。补上SSH规则后就连上了。这类问题看着复杂，按清单逐项核对，多数能很快定位。
连上之后先做的几件事
连上只是开始。拿到服务器后，建议尽早做几项基础配置：禁用root的密码登录，改用密钥认证；及时更新系统补丁；用防火墙只开放业务需要的端口；开通阿里云云安全中心，定期查看告警信息。这些操作都不复杂，但能明显降低服务器被入侵的风险。
小结
连接阿里云的关键，在于弄清登录方式、安全组规则和实例状态这三件事。Linux优先用密钥，Windows用远程桌面，连不上就先查安全组。
