阿里云国际版 ECS 创建完成后Linux 服务器通常通过 SSH 连接Windows Server 则主要通过 RDP 远程桌面连接。出现连接失败时问题不一定来自账号或服务器本身也不应直接通过重装系统解决。一次完整的远程连接至少涉及本地网络、公网 IP、安全组、VPC 网络、系统防火墙、远程服务和登录凭据。任何一层配置异常都可能表现为“服务器连接不上”。有效的排查方法不是反复重启实例而是先根据错误信息确定故障层级再按照网络入口、端口访问、系统服务和身份验证的顺序逐项检查。先根据错误提示判断故障范围不同错误信息对应的排查方向并不相同。错误表现主要排查方向Connection timed out公网 IP、安全组、网络 ACL、系统防火墙、本地网络Connection refusedSSH 或 RDP 服务未启动、端口未监听、远程端口已修改Permission denied用户名、密码、SSH 密钥或登录策略Permission denied (publickey)密钥不匹配、密钥权限错误、实例绑定了其他密钥RDP 无法连接到远程计算机3389 端口、Remote Desktop Services、Windows 防火墙服务器可以连接但网站打不开80/443 端口、Web 服务、域名解析或应用配置Connection timed out 通常表示客户端没有收到服务器响应应优先排查公网地址和访问控制Connection refused 则往往说明目标主机可以到达但对应端口没有服务监听或者连接被系统主动拒绝。阿里云官方对 SSH 超时的建议同样是先核对公网 IP、安全组、实例运行状态并使用控制台自助诊断工具。第一层检查实例状态与公网连接入口确认地域、实例状态和健康状态进入阿里云国际版控制台在 ECS 实例列表中确认以下信息当前控制台选择的是实例所在地域实例状态为“运行中”实例健康状态正常使用的 IP 地址确实属于目标实例实例近期没有更换系统、释放公网 IP 或重新绑定弹性公网 IP。地域选择错误是常见误判。不同地域的 ECS、VPC、安全组和公网 IP 相互独立在新加坡地域创建的安全组不能直接用于香港地域的实例。确认实例是否具有公网 IP通过本地 SSH、Xshell、PuTTY 或远程桌面客户端直接连接 ECS 时实例通常需要固定公网 IP 或弹性公网 IP。只有私网 IP 的实例不能直接从普通互联网环境访问需要通过同一 VPC、VPN、堡垒机、Workbench 私网连接或 Session Manager 等方式进入。在实例详情页检查“公网 IP 地址”字段。如果只有类似以下形式的地址通常属于私网地址10.0.0.0/8172.16.0.0/12192.168.0.0/16这类地址不能直接填写到公网 SSH 或 RDP 客户端中。第二层检查安全组是否真正放行端口安全组是 ECS 实例的虚拟防火墙负责控制实例的入方向和出方向流量。Linux 默认 SSH 端口一般为 TCP 22Windows 默认 RDP 端口一般为 TCP 3389。Linux SSH 安全组规则建议添加以下入方向规则配置项建议值动作允许协议TCP端口范围22/22授权对象当前管理员公网 IP/32优先级高于可能冲突的拒绝规则如果 SSH 已修改为其他端口例如 2222则安全组也必须放行 2222/2222仅放行默认的 22 端口不会生效。Windows RDP 安全组规则Windows Server 使用默认远程桌面端口时应配置配置项建议值动作允许协议TCP端口范围3389/3389授权对象当前管理员公网 IP/32优先级高于可能冲突的拒绝规则部分默认安全组可能已经向 0.0.0.0/0 开放 22、3389 和 ICMP但这不代表长期配置合理。阿里云官方建议将 SSH、RDP 和管理面板端口限制为可信 IP避免直接向整个互联网开放。检查全部关联安全组一台 ECS 实例可能同时关联多个安全组。排查时不能只看其中一个安全组还要确认是否存在优先级更高的拒绝规则。当允许规则与拒绝规则发生冲突时拒绝规则可能覆盖允许规则。实例关联多个安全组时应同时检查所有安全组的入方向规则。还要注意本地公网 IP 是否已经改变。家庭宽带、公司网络、移动热点和 VPN 出口地址可能不同。安全组只授权旧 IP 后更换网络就会重新出现连接超时。第三层检查从本地测试目标端口ping 只能用于判断 ICMP 是否可达不能证明 SSH 或 RDP 端口已经开放。安全组没有放行 ICMP 时实例可能无法 ping 通但 SSH、RDP 或网站仍然可以正常访问。macOS 或 Linux 可以测试 SSH 端口nc -vz 公网IP 22使用自定义 SSH 端口时nc -vz 公网IP 2222Windows PowerShell 可以测试 RDP 端口Test-NetConnection 公网IP -Port 3389判断结果通常分为三种端口测试成功云侧网络基本可达继续排查账号、密码、密钥或远程服务配置测试超时重点检查公网 IP、安全组、网络 ACL、本地出口网络和系统防火墙立即拒绝重点检查 SSH、RDP 或对应服务是否正在监听。阿里云控制台的安全组规则检查功能也可以检测 22、3389、80、443、8080 和 ICMP 等常见访问规则并支持检查指定来源 IP 到 ECS 网卡的访问策略。Linux ECS 的 SSH 连接排查SSH 显示 Connection timed outSSH 超时应依次确认实例是否处于运行状态公网 IP 是否正确安全组是否放行实际 SSH 端口当前公网 IP 是否在授权范围内VPC 交换机是否关联了限制访问的网络 ACLLinux 系统防火墙是否拦截 SSH本地公司网络或运营商是否限制目标端口。网络连通性诊断不仅会检查 ECS 实例和安全组还会检查网卡、交换机及其关联的网络 ACL。SSH 显示 Connection refused连接被拒绝时通常需要从阿里云控制台通过 Workbench 或 VNC 进入实例检查 SSH 服务是否运行。CentOS、Alibaba Cloud Linux、Rocky Linux 等系统可以执行systemctl status sshdUbuntu、Debian 部分版本可以执行systemctl status ssh检查端口监听状态ss -lntp | grep ssh或者直接检查 22 端口ss -lntp | grep ‘:22’如果 SSH 服务没有运行可以尝试启动sudo systemctl start sshdsudo systemctl enable sshdUbuntu 或 Debian 使用sudo systemctl start sshsudo systemctl enable ssh如果服务已经运行但监听的是 2222 等自定义端口需要同时修改客户端端口和安全组规则。检查 SSH 配置文件执行以下命令查看关键配置sudo grep -E ‘^(Port|PermitRootLogin|PasswordAuthentication|PubkeyAuthentication|AllowUsers|DenyUsers)’ /etc/ssh/sshd_config重点检查Port 是否仍然为 22PasswordAuthentication 是否允许密码登录PubkeyAuthentication 是否允许密钥登录PermitRootLogin 是否禁止 root 登录AllowUsers 是否遗漏当前用户DenyUsers 是否拒绝当前用户。修改配置后不要立即重启 SSH。应先检查配置语法sudo sshd -t确认没有报错后再执行sudo systemctl restart sshd否则错误的 SSH 配置可能导致当前连接断开后无法重新登录。检查 Linux 系统防火墙安全组已经放行并不代表系统内部防火墙也已允许访问。使用 firewalld 的系统可以检查sudo firewall-cmd –list-all放行默认 SSH 服务sudo firewall-cmd –permanent –add-servicesshsudo firewall-cmd –reload使用 UFW 的系统可以检查sudo ufw status放行 SSHsudo ufw allow 22/tcp如果使用自定义端口应将 22 替换为实际端口。阿里云官方的 Linux 文件传输与 SSH 排查说明也明确要求同时检查安全组和操作系统内部防火墙。不建议为了排查而长期关闭系统防火墙更不应直接开放全部端口。SSH 显示 Permission denied出现以下错误时Permission denied, please try again说明网络连接通常已经建立故障重点已经从网络层转到身份验证层。应依次检查登录用户名是否正确密码是否属于当前实例是否使用了错误镜像的默认用户名SSH 是否禁用了密码登录root 用户是否被禁止远程登录用户是否被写入 DenyUsers登录失败次数过多是否触发安全限制。不要默认所有 Linux 镜像都使用 root。不同系统镜像可能使用 root、ecs-user、ubuntu 或其他用户名应以创建实例时所选镜像的登录说明为准。无法确认密码时可以在 ECS 控制台重置实例密码再按照控制台提示重启或使新密码生效。阿里云也建议在密码被拒绝时先重置密码并通过自助诊断工具进一步检查。SSH 显示 Permission denied (publickey)密钥验证失败时应检查私钥文件是否对应实例当前绑定的密钥对客户端指定的私钥路径是否正确密钥对是否已经绑定到目标实例重新绑定密钥后是否已经重启实例macOS 或 Linux 上的私钥权限是否为 400 或 600PubkeyAuthentication 是否被关闭对应用户的 authorized_keys 是否被删除或修改。macOS 或 Linux 可以修改私钥权限chmod 600 private-key.pem然后指定私钥连接ssh -i private-key.pem 用户名公网IP阿里云官方说明密钥对不匹配、私钥路径错误或文件权限不正确都可能触发 Permission denied (publickey)重新绑定或替换实例密钥后通常需要重启实例才能生效。Windows ECS 的 RDP 连接排查确认 3389 端口监听状态安全组已经放行 3389但 Windows 内部没有服务监听时远程桌面仍然无法连接。可以通过 ECS 控制台的 VNC 进入 Windows打开命令提示符并执行netstat -aon | findstr “3389”如果没有返回结果说明 3389 端口当前没有正常监听。阿里云官方将该命令作为判断 Remote Desktop Services 是否正常启用的重要步骤。在 PowerShell 中还可以执行Get-Service TermServiceGet-NetTCPConnection -LocalPort 3389 -State ListenTermService 应处于运行状态。如果服务停止可以尝试Start-Service TermServiceSet-Service TermService -StartupType Automatic启用 Windows 远程桌面在 PowerShell 中执行Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server” -Name fDenyTSConnections -Value 0 -Force启用网络级别身份验证Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp” -Name UserAuthentication -Value 1 -Force添加 Windows 防火墙规则netsh.exe advfirewall firewall add rule name”Open RDP Port 3389″ dirin actionallow protocolTCP localport3389阿里云官方的 Windows ECS 修复流程同样要求确认 Remote Desktop Services 已启用、3389 端口正在监听并检查 Windows 防火墙配置。检查 RDP 端口是否被修改部分用户为了降低扫描风险会把默认 RDP 端口从 3389 修改为其他端口。修改后必须同步处理Windows 注册表中的 RDP 监听端口Windows 防火墙入方向规则阿里云安全组端口远程桌面客户端连接地址。客户端需要使用以下格式公网IP:自定义端口只修改注册表没有修改安全组或系统防火墙会直接造成远程连接失败。检查账号、密码和账户锁定网络与端口均正常但登录失败时应确认用户名是否为正确的管理员账号密码是否已修改新密码是否已经生效账户是否因多次失败登录被锁定本地保存的旧凭据是否被自动填充是否出现 CredSSP 或网络级别身份验证错误。可以先删除本地远程桌面保存的旧凭据再重新输入账号和密码。必要时通过 ECS 控制台重置密码并使用 VNC 检查 Windows 本地用户状态。Workbench、VNC 与 Session Manager 的恢复顺序公网 SSH 或 RDP 无法使用时不应立即重装系统。阿里云提供了多种控制台连接和恢复方式。优先使用自助诊断进入 ECS 控制台的自助问题排查页面选择“实例无法连接”或安全组规则检查。诊断工具可以检查实例状态、安全组、网卡、系统负载和网络配置适合先排除明显的云侧配置错误。使用 WorkbenchWorkbench 是阿里云提供的浏览器远程连接工具可以用于 Linux 和 Windows 实例。部分连接场景下系统会提示添加 Workbench 所需的安全组规则。需要注意Workbench 登录失败并不能完全证明实例已经损坏。SSH、RDP 服务、凭据和 Workbench 授权规则异常都可能影响连接。使用 VNC 修复系统内部配置当安全组配置正确但 SSH、RDP、系统防火墙或远程服务出现异常时可以从 ECS 实例详情页进入 VNC检查操作系统内部配置。常见修复内容包括启动 SSH 服务修复 sshd_config放行系统防火墙端口启用 Windows Remote Desktop Services检查 3389 端口监听重置密码修复错误的网络配置。使用 Session Manager 降低公网端口暴露对于长期运维可以考虑使用 Session Manager。该方式通过 Cloud Assistant Agent 主动建立出方向连接不需要长期向公网开放 SSH 22 或 RDP 3389还可以用于没有公网 IP 的实例。企业环境如果需要权限控制、操作审计和多人运维则更适合使用堡垒机而不是将管理端口直接向所有公网地址开放。SSH 可以连接但网站打不开的排查方向远程连接正常不代表网站服务一定正常。如果 SSH 可以登录但浏览器无法访问网站应继续检查安全组是否放行 TCP 80 和 443Linux 防火墙是否放行 80 和 443Nginx、Apache、IIS 或应用服务是否运行Web 服务是否监听 0.0.0.0而不是只监听 127.0.0.1域名是否解析到正确公网 IPHTTPS 证书和反向代理配置是否正确。Linux 可以执行ss -lntp | grep -E ‘:80|:443’检查本机服务curl -I http://127.0.0.1curl -Ik https://127.0.0.1如果本机访问正常但公网访问失败重点检查安全组、网络 ACL 和系统防火墙如果本机访问也失败则问题主要位于 Web 服务或应用内部而不是阿里云国际版账号。不建议直接执行的处理方式远程连接失败时以下处理方式容易扩大故障直接重装系统删除全部安全组规则将所有端口开放给 0.0.0.0/0长期关闭 Linux 或 Windows 防火墙没有备份就修改 SSH 配置在没有备用会话时修改 SSH 或 RDP 端口反复输入错误密码导致账户锁定将连接失败直接判断为账号被风控。服务器能够正常创建和启动只是 SSH 或 RDP 不通时通常属于网络、系统或凭据配置问题。只有实例无法创建、控制台操作被拦截、地域或规格不可用、账户权限异常时才需要进一步排查阿里云国际版账号限制与风控问题。阿里云 ECS 远程连接的最终排查顺序完整处理顺序可以归纳为确认实例地域、运行状态和健康状态确认公网 IP 或弹性公网 IP检查安全组实际开放的端口检查全部安全组和高优先级拒绝规则测试本地到目标端口的连通性检查网络 ACL 和本地网络出口通过 Workbench 或 VNC 进入系统检查 SSH、RDP 和系统防火墙检查端口监听状态检查用户名、密码和 SSH 密钥使用控制台自助诊断最后再考虑系统恢复或重装。远程连接故障的核心是区分问题发生在云平台网络层、操作系统服务层还是身份验证层。按照固定顺序排查通常比反复修改安全组、重启实例或重置系统更有效。
