刚买完阿里云ECS，控制台里有公网IP、用户名和密钥，却不知道该用什么工具、在哪里输入。这篇文章按实际操作顺序讲清楚怎么连接阿里云服务器，包括SSH登录要填哪些信息，以及连不上时怎么查。
连接前先确认四件事
SSH 是你的电脑通过网络和云主机建立加密会话的方式。能不能连上，通常取决于下面四项。
- 实例状态是否为“运行中”：在ECS控制台看一眼。已停止或还在创建中的实例，连接必然失败。
- 公网IP或弹性公网IP：把地址记下来，后面每条命令都要用到。
- 登录凭证：Linux实例一般用SSH密钥对或初始密码，Windows实例用管理员密码。
- 安全组端口：Linux默认SSH端口是22，Windows远程桌面默认是3389。
很多人卡在最后一项。阿里云默认不会替你放行所有端口，安全组里没有22端口的入站规则，工具再对也连不上。这时报错通常是超时，而不是密码错误。
案例：给一台Ubuntu服务器首次连接
小周买了一台Ubuntu 22.04的ECS，准备部署个人博客。公网IP是203.0.113.25，登录方式选了密钥对，下载到一个叫my-key.pem的私钥文件。他的操作顺序如下。
第一步：检查安全组
他在ECS控制台的“安全组”页面看入方向规则，有一条允许22端口的规则，来源是0.0.0.0/0。这样任何地址都能尝试SSH登录，适合临时测试。如果你的本地IP是固定的，建议把来源改成自己的IP，减少被扫描和暴力破解的机会。
第二步：选择连接工具
Windows可以用PowerShell自带的ssh命令，也可以用PuTTY或Xshell。macOS和Linux直接打开终端，使用ssh即可。小周用的是Mac，于是打开了终端。
第三步：修正私钥权限并登录
私钥权限太宽时，SSH会直接拒绝使用，并提示“UNPROTECTED PRIVATE KEY FILE”。所以先收紧权限，再连接：
chmod 400 my-key.pem
ssh -i my-key.pem ubuntu@203.0.113.25
第一次连接时，终端会问你是否信任这台服务器的指纹，输入yes即可。出现类似ubuntu@iZxxxx:~$的提示符，就说明已经进入服务器。用户名是最容易填错的地方：Ubuntu镜像一般是ubuntu，CentOS或Alibaba Cloud Linux常见的是root或ecs-user，具体以实例详情或镜像说明为准。
第四步：确认环境并做基础设置
登录后，小周先执行whoami和uname -a，确认当前用户和系统版本，再运行sudo apt update更新软件源。随后他在/etc/ssh/sshd_config里把PermitRootLogin改为no，改用公钥登录。修改后执行sudo systemctl restart ssh重启服务。
这一步要留意：改SSH配置时，最好保留一个已经登录的会话。新窗口连不上时，还能回到旧会话里把配置改回来，否则可能把自己锁在门外。
Windows服务器怎么连
Windows Server实例不用SSH，而是通过远程桌面。先在控制台重置实例密码，然后在本地按Win + R，输入mstsc，填入公网IP，再输入管理员账号和刚设置的密码。连接成功后，就能像操作本机一样管理服务器。
3389端口是扫描器最常盯的目标之一。如果服务器要长期开放，可以考虑修改默认端口，并把安全组来源限制到固定IP。
常见报错怎么排
连接失败时，先看报错原文，再按下面的思路排查，不要急着重装系统。
- Connection timed out：多半是安全组没放行端口，或者IP填错、实例没启动。先查安全组和实例状态。
- Permission denied (publickey)：通常是私钥文件选错、用户名不对，或者私钥权限过宽。核对三项，再看一次chmod。
- Host key verification failed：服务器重装后指纹变了。删除本机~/.ssh/known_hosts里对应那一行，再重新连接。注意只删这一行，不要整个文件删掉。
- Connection refused：网络是通的，但端口上没有服务在监听。登录控制台的同学可以检查sshd是否在运行。
遇到不确定的问题，可以在ssh命令后加-v，例如ssh -v -i my-key.pem ubuntu@203.0.113.25。终端会打印握手过程，卡在哪一步一眼就能看出来。
连上以后先做这几件事
能登录只是开始。个人站点至少要关闭不用的端口，定期更新系统补丁，重要数据做快照，并开启阿里云云安全中心的检测。小周后来还给博客配了Nginx和HTTPS证书，环境才算稳定下来。这些设置并不费时间，却能挡住大部分常见风险。
连接阿里云服务器，关键是三步：确认实例和安全组，选对用户名和凭证，报错时按信息逐项排查。把这套流程走顺一次，之后登录就不会再卡住了。
