第一次在阿里云上开ECS，很多人卡住的地方是连不上服务器。实例显示已创建，终端却超时；或者连上了，又不确定该用密码还是密钥。下面按实际操作的顺序，讲清楚阿里云服务器登陆的常见方式、连接失败时先查什么，以及登陆后该补的安全设置。
登陆前先核对四项信息
动手连接前，先把这几项看一遍。多数低级故障都能在这里发现，比起盲目重试，能省下不少时间。
- 公网IP或弹性公网IP可以在ECS控制台的实例详情页查到。如果实例没有公网地址，本地电脑只能通过VPC内网或堡垒机访问，直接用公网命令自然连不上。
- 登陆用户名在Linux实例上默认是root，Ubuntu镜像一般用ubuntu。有些镜像默认禁止root直接登陆，需要先用普通账号进入，再切换权限。
- 认证方式取决于创建实例时选的是密码还是密钥对，这决定了你后面走哪条路径。选错了，后面的排查方向也会跑偏。
- 安全组规则里，SSH默认走22端口，Windows远程桌面默认是3389。端口没放行，请求根本到不了实例。
三种常见登陆方式
控制台远程连接
控制台自带浏览器里的远程连接，不用装客户端。适合临时排查，比如忘了放行端口，或者本地网络受限时应急。不过它依赖控制台的登录状态，长期当主入口用不太合适。
SSH密钥对登陆
生产环境里更推荐这种方式。创建密钥对后，阿里云会让你下载一个私钥文件（通常是.pem），公钥则自动写入实例。Linux和macOS下的命令大致如下：
chmod 400 ~/.ssh/aliyun_key.pem
ssh -i ~/.ssh/aliyun_key.pem root@203.0.113.10203.0.113.10是示例地址，换成你实际的公网IP。这里的chmod 400别省。私钥权限太开放时，OpenSSH会直接拒绝使用，并提示“UNPROTECTED PRIVATE KEY FILE”。很多人第一反应是密钥配错了，其实只是文件权限的问题。
用户名与密码登陆
密码登陆简单，但安全性明显弱于密钥。确实需要用的话，密码至少要足够复杂，并尽快切到密钥认证。Windows实例通常走远程桌面（RDP），在本机打开“远程桌面连接”，输入公网IP和管理员账号即可。
一次典型的连接超时排查
某小型电商团队迁移后台服务时，新买的ECS配置完成，开发同事在本地执行SSH，一直提示超时。团队一度怀疑实例有问题，准备重新建机。
运维人员没有先动实例，而是按顺序检查：
- 控制台确认实例状态为“运行中”，排除了没启动的可能。
- 查看安全组入方向规则，只放行了80和443，22端口根本没开。这就是这次超时的原因。
- 为了不对所有来源开放SSH，把授权对象改成团队固定的办公出口IP，没有直接写0.0.0.0/0。
- 重新执行连接命令，这次顺利进入系统。
连接超时大多和网络层有关，不一定是服务器本身坏了。排查时可以按这个顺序走：先看安全组，再看系统防火墙，最后看SSH服务是否在运行。
登陆后要尽早做的安全加固
公网服务器每天都会被扫描，SSH端口尤其容易被暴力破解。能登进去只是第一步，下面几项最好尽早做。
- 禁用密码登陆可以在/etc/ssh/sshd_config里把PasswordAuthentication改为no，只保留密钥认证。改完先别关掉当前会话，另开一个新窗口用密钥验证能进，再断开旧连接。否则配置一旦出错，你可能把自己锁在门外。
- 限制来源IP，即在安全组里只对可信地址开放22端口。成本最低，效果通常最明显。
- 安装fail2ban后，它会自动封禁短时间内多次登陆失败的IP，能挡掉大部分无差别的暴力破解。
- 定期更新系统和SSH，及时修补已知漏洞，别让旧版本一直留在线上。
- 开启云安全中心后，可以检测异常登陆，并给出基线检查建议，适合没有专职运维的小团队。
登陆只是运维的入口，但后面的工作都要从这里开始。密钥怎么管、端口怎么开、登陆记录怎么查，这几件事做扎实了，出问题时才好定位。
