第一次登录阿里云ECS时，不少人会遇到同一个情况：控制台显示实例已运行，本地却连不上。问题多半出在账号凭证、安全组或公网IP上，服务器本身通常没坏。下面按排查顺序，讲清楚阿里云登陆服务器的几种方式，并用两个真实场景说明常见故障怎么查。
登录前先确认三件事
连接ECS至少需要三样东西：一个可访问的公网地址、一组正确的凭证、一条放行端口的安全组规则。缺哪一项，连接都会失败。
- 公网IP或弹性公网IP（EIP）：在ECS控制台的实例列表里能看到。
- 登录凭证：Linux实例一般用SSH密钥对或root密码，Windows实例用Administrator密码。
- 安全组规则：Linux走22端口（SSH），Windows走3389端口（远程桌面）。
方式一：通过控制台远程连接
本地工具连不上时，先用控制台自带的远程连接确认实例是否正常，能排除掉大部分本地网络问题。
- 登录阿里云控制台，进入“云服务器ECS”，找到目标实例。
- 点击“远程连接”，选择“Workbench远程连接”或“VNC远程连接”。
- Linux实例输入用户名和密码；Windows实例会直接进入登录界面。
这种方式不依赖本地网络和端口放行，适合排查。不过VNC对带宽要求较高，传大文件时会明显卡顿，长期运维还是用SSH或远程桌面更合适。
方式二：用SSH登录Linux实例
日常运维多用本地终端或第三方工具。在Mac或Linux终端里，直接执行：
ssh root@公网IP
如果用密钥对登录，先把私钥文件权限收紧，否则SSH会直接拒绝使用：
chmod 400 你的私钥文件.pem
ssh -i 你的私钥文件.pem root@公网IP
Windows用户可以用Xshell、MobaXterm或PuTTY。在主机栏填入公网IP，端口保持22，认证方式选择密钥文件即可。
方式三：用远程桌面登录Windows实例
Windows实例默认走远程桌面协议（RDP）。在本地按 Win + R，输入 mstsc，填入公网IP，用户名写 Administrator，再输入实例密码。如果忘了密码，在控制台执行“重置实例密码”即可，但改完要重启实例才会生效，线上服务器操作前最好先通知相关人员。
案例一：安全组没放行22端口，连接超时
某电商团队的运维小王新买了一台Linux ECS，用SSH连接一直提示“Connection timed out”。他把密码和密钥检查了好几遍，都没问题。
后来他打开实例详情页的安全组，发现入方向只放行了80和443，没有22。原因是创建实例时，他选了一个为网站准备的安全组。他在安全组里加了一条规则：入方向、TCP、22端口、授权对象填自己办公网出口IP。保存后立即连上了。
这个案例能看出两点。超时一般是网络层拦截，不是账号的问题，先看安全组，别急着改密码。另外，授权对象别直接填 0.0.0.0/0，那样全网都能尝试登录。只放行固定办公网IP，暴力破解的风险会低很多。
案例二：停机重启后公网IP变了
一家小型设计公司的Windows服务器用的是按量付费实例，每天下班手动停机。第二天开机，远程桌面连不上，本地保存的IP已经失效。
原因是按量付费实例停机后，如果没有绑定弹性公网IP，公网地址会被回收，重新开机时分配新地址。处理办法有两个。长期访问的服务器可以绑定EIP，地址固定。临时测试机则每次开机后到控制台查看新IP，再更新连接配置。这家公司最后选了绑定EIP，并把IP写进了团队的访问文档。
登录后马上要做的安全设置
服务器一上线，扫描和破解尝试就会陆续出现。登录成功后，建议尽快做下面几项：
- 禁用密码登录，改用SSH密钥：在 /etc/ssh/sshd_config 中把 PasswordAuthentication 设为 no。改之前保留一个已登录的会话，配置出错时还能回头修。
- 限制来源IP：安全组里只允许固定办公网IP访问22或3389端口。
- 安装防暴力破解工具：比如Fail2ban，它会自动封禁多次登录失败的IP。
- 开启云安全中心：可以发现异常登录和高危配置，并给出修复建议。
常见故障速查
- 连接超时：先看安全组入方向规则，再确认本地网络能否访问公网IP。
- Permission denied：先核对用户名。部分镜像（如Alibaba Cloud Linux）默认用户不是root，要按镜像说明使用对应用户。
- 密钥无效：确认用的是创建实例时绑定的密钥对，并检查私钥权限是否为400。
- 远程桌面黑屏或断开：先用控制台VNC看系统能否正常启动，再排查网络和远程桌面服务。
以上方法都试过还是不行，可以用控制台的“云助手”在实例内执行命令，查看SSH服务状态或防火墙设置。这样不用先登录系统，也能定位问题。
