个人开发者和企业团队用云服务器，几乎每天都要远程登录：部署网站、查日志、维护数据库，都得先连上实例。阿里云远程连接有几种方式，选对了既省事，也能少留安全漏洞。这篇文章讲常用方法、Windows 和 Linux 各自的连接步骤，以及连不上时按什么顺序排查。
一、阿里云ECS有哪几种远程连接方式
ECS（弹性计算服务）的远程登录途径大致分三类。
- 管理终端（Workbench）：在ECS控制台直接打开，浏览器里就能登录实例，不用装客户端。适合临时看一下出了什么问题，不适合长期日常操作。
- 本地客户端：Windows实例用远程桌面（RDP，默认端口3389），Linux实例用SSH（默认端口22）。长期运维基本靠这两种。
- 云助手和云堡垒机：云助手可以批量执行命令，多台实例统一处理时很省力。云堡垒机记录账号操作并支持录像回放，对合规审计有硬性要求的企业更需要它。
个人站点只有一台Linux服务器，配一把SSH密钥就够用。多人协作、实例多的团队，把堡垒机接进来，权限和操作记录才好管。
二、Windows实例怎么远程桌面连接
- 进入ECS控制台，找到目标实例，记下公网IP或内网IP。
- 在安全组里放行3389端口，授权对象只填自己办公室的出口IP。别图省事填0.0.0.0/0，那等于把端口交给全网扫描器。
- 本地打开“远程桌面连接”，输入IP，用控制台重置过的管理员密码登录。
3389是知名端口，扫描器会一直尝试暴力破解。下面的案例就是这么出的事。
三、Linux实例用SSH密钥登录
Linux实例推荐用SSH密钥对，比密码可靠。在控制台创建密钥对并绑定到实例，下载的私钥要收好。在本地终端执行下面两行即可：
chmod 400 ~/.ssh/your_key.pem
ssh -i ~/.ssh/your_key.pem root@你的公网IP第一行把私钥权限改成400。权限过宽时SSH会直接拒绝使用，报错信息常让人以为是服务器的问题，其实是本地文件权限。实例没有公网IP的话，走VPN网关、云企业网或堡垒机中转到内网地址，别为每台服务器单独开公网入口。
四、一次远程登录放开后的教训
某小型电商团队在阿里云上部署了一台Windows服务器，用来跑库存管理软件。为了方便外地同事远程办公，运维人员把3389端口对全网开放，密码也设得比较简单。两周后，服务器CPU一直占满，安全中心弹出大量境外IP的登录告警，部分账号已被暴力破解，机器上还被植入了挖矿程序。
团队随后做了三件事。一是把远程桌面规则从0.0.0.0/0收窄到办公室出口IP和几位同事的固定IP段，外地员工改走公司VPN。二是修改远程桌面端口，并为所有管理员账号开启多因素认证。三是在安全中心打开异常登录检测和漏洞扫描，每周看一次告警报告。改完之后，异常登录基本停了，服务器资源占用也回到正常水平。
远程连接本身风险可控，真正容易出事的是暴露面过大和密码过弱。把访问范围收窄，再加上身份验证和日志监控，大部分风险就能压下来。
五、安全配置清单
- 安全组：只放行必要端口和必要IP，每季度翻一遍，删掉已经没人用的规则。
- Linux登录：关闭root的密码直接登录，改用密钥认证。日常操作另建普通用户，需要时再用sudo提权。
- 账号：用RAM子账号分配权限。如果所有人共用主账号的AccessKey，一旦泄露，影响范围就是整个账号。
- 防护：开启安全中心和云防火墙，让暴力破解行为被自动拦截。
- 备份和日志：重要实例定期备份，操作日志保留足够长的时间，出了问题才有依据可查。
六、远程连接失败的排查顺序
连不上时，按下面的顺序逐项检查，多数问题在前几步就能找到。
- 确认实例状态为“运行中”，并且已经分配公网IP。实例已停止或没有公网IP，连接方式再对也进不去。
- 检查安全组入方向规则，核对端口号和授权IP。授权的还是办公室旧出口IP，换了网络就连不上，这种情况很常见。
- 检查实例内部防火墙，如firewalld、ufw或Windows防火墙，是否放行了对应端口。安全组开了，系统防火墙拦着，照样连不上。
- 确认SSH服务或远程桌面服务在运行。本地连不上时，先用管理终端登录实例查看。
- 检查磁盘是否写满。磁盘满了，sshd或其他服务可能起不来，表现出来往往是连接超时。
以上都确认无误，再去看本地网络、出口环境，或者私钥文件是否损坏。
如果团队还没理清谁需要访问哪台实例，先把这张表列出来，再选连接方式和权限策略。基础配置做扎实，之后扩容或接入堡垒机都会顺利得多。
