你买了阿里云轻量服务器，第一件事就是拿到可控的远程入口——SSH连接。不同操作系统的细碎差异其实都围绕一个核心：密钥、端口、用户名和网络。下面这篇文章把要点讲清楚，帮你从新手变成掌控服务器的高手级玩家，把各种坑都踩在脚下。
在动手之前，先明确几个前置条件：一台绑定公网IP的轻量服务器、一个可用的密钥对（或初始密码）、以及能访问到服务器的网络入口（也就是要放通的端口）。没有密钥就没法用密钥认证，端口没开放就算你知道地址也连不上，用户名如果掌握不对也会报“Permission denied”的错误。把这三件事都搞定，SSH门就已经打了一半了。
参考来源覆盖面广，综合自阿里云官方文档、阿里云社区、云+社区、CSDN、简书、知乎专栏、掘金、极客时间、IT之家、博客园、Stack Overflow等多篇资料，总计超过10篇，有助于你在实际操作中遇到不同镜像和场景时做出正确判断。
第一步通常是在控制台绑定一个密钥对。进入阿里云控制台，找到“轻量应用服务器”实例，在创建或修改阶段绑定一个密钥对。私钥文件下载后务必妥善保存，权限要设为 600，否则 SSH 会拒绝使用该密钥登录。密钥对绑定成功后，服务器在初次启动时就会准备好一个公钥，你在本地拥有对应的私钥就能完成无密码的登录。
接下来要配置安全组，也就是网络入口的门。我建议至少开放端口 22（SSH 的默认端口），并把来源限制在你常用的IP段，哪怕你现在在家里连着路由器，最好限定一个固定的公网IP段来防止不明来源的暴力尝试。如果你的服务器还要跑 Web 服务，端口 80/443 可以对应开放，但最好仍旧先只开放 SSH，等确认没问题再扩展。登录前确认安全组的入站规则已经生效，否则再好的密钥也登陆不上。
拿到公网 IP 和默认用户名后，就能进入正题了。公网 IP 可以在实例概览看到，用户名因镜像而异，常见为 root、ubuntu、centos 等，实际以镜像为准。私钥文件的权限要严格控制，确保本地只有你能访问该私钥，避免被他人截获并用来登录服务器。
在本地使用 Linux/macOS 连接时，最直觉的方式是：ssh -i ~/.ssh/your_key.pem root@
对于 Windows 用户，通常需要借助 PuTTY 来完成连接。方法是用 PuTTYgen 把 PEM 转换成 PPK，然后在 PuTTY 的会话配置里填入主机名为服务器 IP，端口 22，用户名为 root；在 Connection→SSH→Auth 里选择转换后的 PPK 文件。保存会话后点击连接，就能像在类 Unix 系统一样远程操作服务器。若你不想转换，也可以直接使用 WSL 的 OpenSSH 客户端或 Git Bash 来实现相同效果。
如果你希望提升安全性，建议创建一个普通用户来替代 root 登录，并给该用户赋予 sudo 权限。执行 useradd、usermod 以及组权限的分配后，打开 /etc/ssh/sshd_config，将 PermitRootLogin 设置为 no、PasswordAuthentication 设置为 no（禁用密码登录），并重启 sshd 服务。这样即使密钥暴露，直接用 root 登录也无法进入，攻击面大幅下降。不同 Linux 发行版的包管理和服务名可能略有差异，实际命令请以你使用的镜像为准。
如果你愿意再进一步增强防护，可以把 SSH 端口从 22 改成一个不常用的端口，例如 2222。修改 /etc/ssh/sshd_config 的 Port 行，重启 SSH 服务后，登录命令需要改成 ssh -i ~/.ssh/your_key.pem -p 2222 root@
遇到连接问题时别慌，常见的排错点有几条：权限被拒绝时检查公钥是否正确放置在服务器的 ~/.ssh/authorized_keys 中、私钥权限是否正确（私钥应只有你自己能读写），用户名是否正确（不同镜像的默认用户不同），以及你是否通过正确的端口和参数连接。首次连接时若出现“Host key verification failed”，说明你需要确认或更新服务器指纹；连接超时往往与网络或安全组未放行有关；若 sshd 服务未运行，先用 systemctl status sshd 查看状态，再用 systemctl restart sshd 重启。掌握这些后，日常运维就会顺畅很多。广告：玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink。
最后的脑筋急转弯来了：你手里有一把能打开服务器的私钥，而服务器也有一把公开的钥匙在它的口袋里，谁才真正掌握进入的权力？