第一次拿到阿里云 ECS 实例，控制台里摆着公网 IP、用户名、密码或密钥，很多人不知道先看哪一项。远程连接阿里云服务器一般分三步：找到实例的网络地址，选对登录协议，再把凭证和端口配好。
连接前要确认的四项
- 公网 IP：在 ECS 控制台的实例列表里可以看到，格式是 xx.xx.xx.xx 的 IPv4 地址。
- 登录用户：Linux 默认是 root，Windows 默认是 Administrator。部分镜像使用 ecs-user 之类的自定义用户名，以控制台显示为准，别凭印象输。
- 登录凭证：创建实例时设置的密码，或者绑定的 SSH 密钥对。创建时选的是哪一种，连接时就用哪一种。
- 安全组：最容易漏掉。Linux 的 22 端口、Windows 的 3389 端口要在入方向放行，否则账号密码再对也连不上。
同事小王在新买的 ECS 上用 SSH 登录，一直提示超时。他先后检查了密码和本地网络，折腾了半天，最后才看到安全组里只放行了 80 和 443。把 22 加进入方向规则后马上就通了。连接失败时，先看安全组，通常最省时间。
Linux 实例用 SSH 连接
Mac 和多数 Linux 发行版自带终端，直接输入 ssh 命令即可。Windows 10 较新的版本也带了 OpenSSH 客户端，在 PowerShell 或命令提示符里能用。
基本命令格式是：ssh root@你的公网IP
第一次连接时，终端会问是否信任这台主机的指纹，输入 yes 确认。接着输入密码。Linux 终端输入密码时不显示任何字符，光标也不动，这是正常的，输完回车就行。
如果用密钥登录，命令改为：ssh -i 私钥文件路径 root@你的公网IP。私钥文件的权限必须只有自己能读，否则 SSH 会直接拒绝使用。在 Linux 或 Mac 下执行 chmod 400 私钥文件名 即可。
用密钥代替密码
一家做小程序后端的团队，早期所有服务器用的是同一个简单密码。后来日志里出现大量登录失败记录，明显有人在暴力尝试。他们改成创建实例时选择 SSH 密钥对，并关闭密码登录。密码再也猜不中，多人协作也好管理：成员离职时，删掉对应的公钥就撤销了访问权限。
Windows 实例用远程桌面连接
Windows 实例通过 RDP 协议连接，默认端口是 3389。在本地按 Win + R，输入 mstsc 回车，打开远程桌面连接，填入公网 IP 和管理员账号即可登录。
第一次登录后，先改管理员密码，再看一下远程桌面的访问范围。如果只有几个人需要进来，就在安全组里把 3389 的源地址限制为办公网络的出口 IP。对所有地址开放，扫描器和爆破脚本都能直接打到登录入口。
连上之后先做这几项
- 修改默认 SSH 端口，同时在安全组里只放行实际用到的端口。改端口之前，先在安全组放行新端口，再改 SSH 配置，否则容易把自己关在门外。
- 关闭 root 直接登录。新建一个普通用户，需要提权时用 sudo，操作记录里能看到是谁执行的。
- 安装 fail2ban，自动封禁反复登录失败的 IP。
- 定期打系统补丁，留意阿里云安全中心给出的风险提示，遇到高危项及时处理。
某个个人博客站点的运维者装上 fail2ban 之后，日志里的暴力破解记录从每天数千次降到几乎为零。整个过程只花了不到十分钟。
连不上时按顺序排查
按下面的顺序查，多数问题都能定位。
- 连接超时：先确认公网 IP 写对了，安全组放行了对应端口，实例处于运行状态。超时通常是网络层被挡，这时检查密码没有用。
- 拒绝连接（Connection refused）：多半是 SSH 服务没有启动，或者你改了端口，却还在用默认的 22 连接。
- 权限被拒（Permission denied）：用户名写错，密码输错，或者本地密钥与实例绑定的公钥不是一对。
- 密钥权限过大：私钥权限应设为 400 或 600，权限太宽时客户端会拒绝使用。
网络和凭证都确认无误仍然连不上，可以在阿里云控制台使用“远程连接”功能。它通过浏览器打开一个临时终端，能帮你判断问题出在网络还是系统本身。
远程连接阿里云服务器的操作本身不复杂。先理清安全组，再按实际情况选择密码或密钥，连上之后补齐基础防护，服务器就能稳定运行。出了问题，按网络、凭证、系统的顺序查，通常很快能找到原因。
