刚买完阿里云 ECS，实例在控制台显示”运行中”，却怎么也连不上，这种情况很常见。访问阿里云服务器的关键只有三件事：公网入口是否通、安全组是否放行、登录方式和凭证是否对得上。把这三处理顺，基本都能连上。
一个典型的连接失败
小陈负责一个在线教育小团队的技术工作。课程网站跑在一台 Ubuntu 22.04 的阿里云 ECS 上。有次新来的实习生拿到 IP 后一直超时，小陈查下来，服务器本身没问题，是安全组没放行 22 端口。这个小疏漏耽误了半天。之后他们把访问规则写进了内部文档。
失败多半出在三个地方：公网 IP 没绑定，安全组缺规则，或者登录凭证不对。按这个顺序排，比反复重试快得多。
第一步：确认网络入口
在实例详情页找到公网 IP。没有的话，需要绑定一个弹性公网 IP（EIP），否则外网直接访问不了。同一 VPC 内的机器互访用私网 IP，别把两者混用。
然后看安全组。它相当于服务器前面的防火墙，决定哪些端口、哪些来源地址可以进来。常用端口：
- Linux 的 SSH 登录用 22 端口
- Windows 的远程桌面用 3389 端口
- 网站服务一般开放 80（HTTP）和 443（HTTPS）
授权对象如果写 0.0.0.0/0，等于全网都能尝试连接。调试时临时这么设没问题，但别忘了改回。正式使用时，填你办公网络或固定出口的 IP 段。
方式一：控制台 Workbench
临时排查或者不想装客户端时，Workbench 最省事。在实例右侧点”远程连接”，按提示输入用户名和密码，或选择密钥，就能直接进入命令行。
那位实习生第一次连上用的就是它。优点是打开浏览器即可，不用配环境；缺点是网络不稳定时体验差，大量传文件也不方便。所以它更适合应急和快速检查。
方式二：SSH 客户端连接 Linux
日常运维一般用 SSH 客户端。Mac 和 Linux 自带终端；Windows 可以用 PowerShell 或 Windows Terminal 内置的 ssh 命令，也可以用 Xshell、MobaXterm。
用密钥对登录时，命令大致是：
ssh -i ~/.ssh/your-key.pem 用户名@你的公网IP
有两个地方容易踩坑。一是密钥文件权限太松，Linux 或 Mac 下执行 chmod 400 就行，否则 ssh 会直接拒绝使用。二是用户名不一定是 root，Ubuntu 镜像默认用户通常是 ubuntu，以你所选镜像的说明为准。遇到 Permission denied，多数是用户名或密钥不匹配，服务器本身一般没坏。
方式三：远程桌面连接 Windows
Windows 实例通过远程桌面访问。在本地按 Win+R 输入 mstsc，填入公网 IP 和 3389 端口，再输入管理员账号和密码。忘了密码可以在控制台重置，重置后要重启实例才生效。
远程桌面对带宽敏感。如果画面卡，可以在连接选项里把画质和色深调低。
连得上之后，也要守得住
公网上的服务器每天都会被暴力破解尝试，很多入侵就是从弱口令开始的。下面这几条，成本低，效果也实在：
- 用密钥对登录，并在 sshd_config 中把 PasswordAuthentication 设为 no。改完记得先保留一个现有会话，再新开窗口测试，免得把自己锁在外面。
- 禁止 root 直接远程登录，日常用普通用户加 sudo 做管理操作，出问题也容易追溯。
- 把安全组里 22 或 3389 的授权对象收窄到固定办公 IP。在家办公、IP 经常变的话，可以考虑用 VPN 或堡垒机统一出口。
- 装上 fail2ban，它会自动封掉连续登录失败的地址。
- 定期清理安全组里不再用的规则，它们是最容易被忘掉的口子。
小陈的团队做完这些后，日志里的异常登录明显少了。
连不上时的排查顺序
别急着反复重试，按下面的顺序逐项核对：
- 实例状态是否为运行中，公网 IP 是否已绑定
- 安全组是否放行了对应端口，来源地址是否包含你当前的出口 IP
- 本地网络是否封了出站端口，公司或校园网里封 22 端口的情况并不少见
- 用户名、密钥文件或密码是否正确，密钥权限是否过宽
- 系统防火墙（ufw 或 firewalld）是否也放行了对应端口，云上的安全组放行了，系统层面还可能被挡
大部分问题都能在这五项里找到。
小结
访问阿里云服务器，本质上是网络、凭证和安全策略三件事对齐。先用 Workbench 快速验证，日常管理切到 SSH 或远程桌面，同时把安全组和登录方式收紧。团队里如果有人经常接手服务器，把这套流程写成一页内部文档就够用了，新人能省下不少摸索时间。
