文中用 D:\tools\msys64（MSYS2 里写作 /d/tools/msys64）代表 MSYS2 安装目录，用 <本地目录> / <远端目录> 代表同步的源和目标，用 203.0.113.10（RFC 5737 文档专用地址）代表服务器地址。照抄时替换成自己的。

方案选择

选 MSYS2 的理由：开源、原生 exe、无虚拟机、I/O 接近原生（不像 WSL 的 /mnt/c 走 9p 协议），而且能装到任意盘。

1. 把 MSYS2 装到非系统盘

1.1 选路径

官方要求：短、纯 ASCII、无空格、无中文、NTFS 本地盘，不能是 subst 或网络驱动器。

D:\tools\msys64          ✅D:\项目\msys64            ❌ 中文D:\Program Files\msys64  ❌ 空格

1.2 解压（不要用 GUI 安装器）

从 msys2-installer releases 下载 msys2-base-x86_64-latest.sfx.exe：

cd D:\.\msys2-base-x86_64-latest.sfx.exe -y -oD:\tools\

为什么不用 GUI 安装器 / winget / scoop / choco：

1.3 首次初始化

D:\tools\msys64\msys2_shell.cmd -defterm -here -no-start -msys

首次登录会看到类似输出，这是一次性的：

'./.bashrc' -> '/home/yourname/.bashrc''./.bash_profile' -> '/home/yourname/.bash_profile''./.profile' -> '/home/yourname/.profile''C:\WINDOWS\system32\drivers\etc\hosts' -> '/etc/hosts''C:\WINDOWS\system32\drivers\etc\protocol' -> '/etc/protocols''C:\WINDOWS\system32\drivers\etc\services' -> '/etc/services''C:\WINDOWS\system32\drivers\etc\networks' -> '/etc/networks'They will never be overwritten nor automatically updated.

它来自 base-files 包的 postinstall 脚本，干两件事：

1. 把 /etc/skel 的骨架配置复制进你的 $HOME
2. 把 Windows 的 hosts / protocol / services / networks 拷进 MSYS2 的 /etc/

那句 never overwritten nor automatically updated 是重点：脚本只在目标文件不存在时才拷贝，所以 /etc/hosts 是一次性快照——以后你在 Windows 改了 hosts，MSYS2 里不会同步。需要时手动覆盖：

cp /c/WINDOWS/system32/drivers/etc/hosts /etc/hosts

1.4 把 HOME 钉在非系统盘

安装目录在 D 盘 ≠ 运行时数据在 D 盘。$HOME 决定 ~/.ssh、~/.config、~/.cache 落哪儿。

echo "$HOME"cygpath -w "$HOME"       # 看物理路径落在哪个盘

改法（只影响 MSYS2，不污染全局环境）：

echo 'db_home: /home/%U' >> /etc/nsswitch.conf

1.5 换国内镜像提速

MSYS2 现在只有两个镜像列表文件，注意两者用的变量不同：

官方列表里其实已经有清华、中科大、南大、北外，但排在第 8～11 位，轮不到。不用删任何东西，插到第一行即可（pacman 从上往下试，第一个成功的就用，缺包会自动 fallback）：

cp /etc/pacman.d/mirrorlist.msys{,.bak}cp /etc/pacman.d/mirrorlist.mingw{,.bak}sed -i '1i Server = https://mirrors.tuna.tsinghua.edu.cn/msys2/msys/$arch/' /etc/pacman.d/mirrorlist.msyssed -i '1i Server = https://mirrors.tuna.tsinghua.edu.cn/msys2/mingw/$repo/' /etc/pacman.d/mirrorlist.mingwpacman -Syu

其他国内镜像（完整列表见 MSYS2 Mirrors）：

error: failed retrieving file 'xxx.pkg.tar.zst' from mirror.msys2.org : 404

1.6 装 rsync 和 openssh

pacman -S rsync opensshrsync --versionssh -V

1.7 「不占 C 盘」核对表

核对命令：

case "$HOME" in /c/*|[Cc]:*) echo "❌ HOME 在 C 盘";; *) echo "✅ HOME: $HOME";; esacmount | grep -E ' / | /home| /tmp| /var'du -sh /var/cache/pacman/pkg

Get-ChildItem C:\ -Directory -Filter *msys* -ErrorAction SilentlyContinue

1.8 三个「不要做」

1. 不要把 D:\tools\msys64\usr\bin 加进系统 PATH。 里面有 bash.exe / find.exe / sort.exe / link.exe，会和 Windows 自带命令、Git、Cygwin 抢 msys-2.0.dll。用 msys2_shell.cmd 进环境，或需要时写绝对路径。
2. 不要用 winget / scoop / choco 装 MSYS2 的 rsync。 它们会落到 C:\Users\...\scoop 或 C:\ProgramData\chocolatey，正好和目的相反。
3. 不要把 MSYS2 目录放进 OneDrive / 坚果云同步，或放在 exFAT 盘上。 MSYS2 大量使用符号链接和 POSIX 权限，同步盘会打架、exFAT 不支持。

2. 配置密钥登录

2.1 私钥就位

mkdir -p ~/.ssh && chmod 700 ~/.ssh# 从 Windows 侧拷进来（按实际路径改）cp /d/keys/key.pem ~/.ssh/key.pem# 必须 chmod：cp 过来默认 644，会被 ssh 直接拒绝chmod 600 ~/.ssh/key.pemls -l ~/.ssh/key.pem        # 应为 -rw-------

2.2 ~/.ssh/config

Host aliyun    HostName 203.0.113.10    User root    Port 2222    IdentityFile ~/.ssh/key.pem    IdentitiesOnly yes    ServerAliveInterval 30    ServerAliveCountMax 6

写好之后，ssh / scp / rsync / git 全部复用，命令里再也不用写 -i 和 -p。

2.3 三条验证

# 密钥能登 + 主机名对 + 对端装了 rsyncssh aliyun 'echo SSH-OK; hostname; rsync --version | head -1'

第三条很关键：对端没装 rsync 会报 rsync: command not found。

sudo apt install -y rsync     # Debian / Ubuntusudo yum install -y rsync     # RHEL / CentOS / Alibaba Cloud Linux

3. rsync 用法要点

3.1 冒号决定方向

忘了冒号，就变成两个本地目录互相同步了。

3.2 结尾斜杠（第一大坑）

源是目录时：

记法：源路径结尾加 / = 「要里面的东西」。

3.3 为什么是 -avz --no-owner --no-group 而不是纯 -a

-a 展开是 -rlptgoD。其中 -o（保留属主）和 -g（保留属组）在 MSYS2 → Linux 场景下必须去掉：

• MSYS2 报告的文件属主是数字 UID（不是用户名）、属组是 None
• rsync 会老老实实在服务器上执行 chown 1001:None，然后刷一屏 chown ... failed: Invalid argument
• 非致命，但很吵，还可能把文件属主改坏

去掉后 -a --no-owner --no-group ≡ -rlptD，权限位和时间戳照样保留。

反方向（服务器 → Windows） 则相反，要加 --no-perms：NTFS 存不了 POSIX 权限位，不加的话 MSYS2 会去动只读属性并刷警告。

3.4 常用参数

3.5 排除规则

--exclude='.git' \--exclude='node_modules' \--exclude='*.log' \--exclude='.env'

多了就写文件，一行一条：

# <本地目录>/.rsyncignore.git/node_modules/*.log.env.cache/

--exclude-from="<本地目录>/.rsyncignore"

3.6 四种典型配方

3.7 三处可选加固

--info=progress2              # 替代 -P 的逐文件进度条--chmod=D755,F644             # 把权限钉死，免疫本地挂载选项变化--compress-choice=zstd        # rsync 3.2+，比默认 zlib 快很多

4. 执行同步

4.1 整体流程

    flowchart LR    A["本地构建产物"] --> B["MSYS2 rsync.exe"]    B -->|"SSH 密钥"| C["远端服务器"]    C --> D["目标目录"]  

4.2 最小流程

# 第一步：在本地生成要同步的产物（按你的项目而定）<构建命令># 第二步：镜像同步rsync -avz --partial --info=progress2 --no-owner --no-group --delete \  "<本地目录>/" aliyun:"<远端目录>/"

发布类场景建议先干跑：

# 插入 --dry-run，确认增删清单无误后再去掉rsync -avz --no-owner --no-group --delete --dry-run \  "<本地目录>/" aliyun:"<远端目录>/"

4.3 一键脚本

把脚本放进项目目录（例如 <本地目录>\deploy.cmd），用 %~dp0 取自身路径，文件里一个中文都不需要：

@echo offsetlocalcd /d "%~dp0"set "NOPAUSE="set "RC=0"if /i "%~1"=="/nopause" set "NOPAUSE=1"echo [1/2] Building...call <构建命令>if errorlevel 1 (    set "RC=1"    echo.    echo *** Build failed. Aborted. ***    goto :done)echo [2/2] Syncing...set "CHERE_INVOKING=1""D:\tools\msys64\usr\bin\bash.exe" -lc "rsync -avz --partial --info=progress2 --no-owner --no-group --delete ./<产物目录>/ aliyun:<远端目录>/"if errorlevel 1 (    set "RC=1"    echo.    echo *** Sync failed. ***    goto :done)echo.echo Done.:doneif not defined NOPAUSE (    echo.    pause)endlocal & exit /b %RC%

为什么要这么写：

[1/2] 鐢熸垚闈欐€佹枃浠?..      ← 中文 echo 变乱码系统找不到指定的路径。          ← cd /d "含中文的路径" 解成乱码，目录进不去Need to install xxx@1.2.3      ← 停在错误目录，找不到本地依赖，包管理器要去联网下载

注意 rsync 的源路径写的是相对路径 ./<产物目录>/，原因见下一节。

Need to install the following packages: xxx@9.9.9Ok to proceed? (y)

4.4 工作目录与中文路径的三层坑

中文路径会在两个不同的地方出问题，症状相似但根因不同。

第一层：cmd 解析 .cmd 文件本身

cmd.exe 按 GBK(936) 解析批处理文件。文件存成 UTF-8 时，cd /d "D:\项目\..." 里的中文直接变乱码 → 系统找不到指定的路径。。解法就是 4.3 的两条：纯 ASCII + %~dp0。

第二层：cmd 把参数传给 bash

即使目录进对了，bash 的参数仍要经过 cmd → bash 这一层字节传递，而 bash 期望 UTF-8：

:: 路径含中文时，这样传过去大概率报“找不到文件”bash.exe -lc "rsync -avz /d/项目/输出/ aliyun:/srv/app/"

诡异之处在于：你在 MSYS2 终端里手敲同样的命令却是好的（那里全程 UTF-8），所以极难定位。

规避方式：

第三层：bash -l 会偷偷改掉工作目录

即使前面两关都过了，还有第三个陷阱：登录 shell 会重置当前目录。Cygwin / MSYS2 的 /etc/profile 里有这么一段：

if [ -z "${CHERE_INVOKING}" ]; then  cd "${HOME}" || echo "WARNING: Failed to cd to ${HOME}"fi

所以 bash -lc "..." 一启动就跳到了 $HOME，.cmd 里 cd /d "%~dp0" 设好的目录白设了，./<产物目录>/ 被解析到 $HOME 下面：

rsync: [sender] change_dir "/home/yourname/./public" failed: No such file or directory (2)

解法是在调用 bash 之前设置一个环境变量：

set "CHERE_INVOKING=1""D:\tools\msys64\usr\bin\bash.exe" -lc "rsync ..."

CHERE_INVOKING 是 Cygwin 系专门为「保留当前目录」提供的开关。它走环境变量而不是命令行参数，所以顺带也不受编码问题影响。

不想被这层 shell 折腾，也可以完全绕开 bash：rsync.exe 本身就是可执行程序，直接调用即可，工作目录原样保留：

set "PATH=D:\tools\msys64\usr\bin;%PATH%""D:\tools\msys64\usr\bin\rsync.exe" -avz --partial --info=progress2 --no-owner --no-group --delete ./<产物目录>/ aliyun:<远端目录>/

临时设 PATH 是为了让 rsync.exe 能找到同目录下的 ssh.exe（它靠 PATH 查找远程 shell）。这个 set 只影响当前批处理进程，不会污染系统环境变量。

方式二的脚本：

#!/bin/bashset -euo pipefailSRC="<本地目录>/"DST="aliyun:<远端目录>/"echo "=== $(date '+%F %T') 同步开始 ==="rsync -avz --partial --info=progress2 \      --no-owner --no-group --delete \      "$SRC" "$DST"echo "=== $(date '+%F %T') 同步完成 ==="

"D:\tools\msys64\usr\bin\bash.exe" -l /home/yourname/sync.sh

4.5 验证同步结果

# 远端文件数与权限抽样ssh aliyun 'du -sh "<远端目录>"; find "<远端目录>" -type f | wc -l'# 找权限异常的文件（应该只剩 644 和 755）ssh aliyun 'find "<远端目录>" -type f ! -perm 644 | head'

本地对照：

find "<本地目录>" -type f | wc -l

两个数字一致 = 完全镜像。

4.6 回滚保险

把 --delete 换成带备份的版本，被删的文件不会直接消失：

--delete --backup --backup-dir=/srv/.trash-$(date +%F)

远端被”删”的文件会挪进 /srv/.trash-2026-10-10/，定期清旧日期目录即可。

5. 自动化（可选）

5.1 挂 Windows 任务计划

# 路径含空格的话，/tr 里的引号会被再解析一次，很麻烦——这也是尽量别用空格路径的理由schtasks /create /tn "sync-task" /sc daily /st 09:00 /tr "<本地目录>\deploy.cmd /nopause"

5.2 如果项目自带部署插件

不少项目框架自带部署命令（本质是调 rsync），它们要求 rsync 在 Windows 的 PATH 里——这和 1.8 的「不要污染 PATH」冲突。

只在脚本内临时设 PATH（只影响该进程，不动系统环境变量）：

set "PATH=D:\tools\msys64\usr\bin;%PATH%"call <部署命令>

但既然已经有一条验证通过的 rsync 命令，用脚本包起来更可控：参数、日志、失败中止都在你手里。

6. 排错表

7. 参考

• MSYS2 Installer 官方文档 —— SFX 归档与 -o 参数
• MSYS2 Package Mirrors / 完整镜像列表
• MSYS2 Configuration Locations —— $HOME 与配置落点
• man rsync、man ssh_config

本文记录一套完整可复现的流程，包括实测输出与排错表。

速查

1. rsync 使用密钥对

1.1 原理

rsync 是纯传输工具，不做认证。它把连接交给「远程 shell」（默认 SSH）。所以任何 SSH 的参数都能通过 -e 传进去：

rsync -avz --progress \  -e "ssh -i ~/.ssh/aliyun.pem -o IdentitiesOnly=yes" \  ./dist/ root@47.98.x.x:/var/www/html/

• -o IdentitiesOnly=yes：防止 SSH 先去试 agent 里的其它 key，避免「公钥太多被拒」。
• 改端口用 SSH 自己的 -p（小写），别和 rsync 的 -p/--perms 混淆：-e "ssh -p 2233 -i ~/.ssh/aliyun.pem"。

1.2 推荐：写进 ~/.ssh/config

Host aliyun    HostName 47.98.x.x    User root    Port 2233    IdentityFile ~/.ssh/aliyun.pem    IdentitiesOnly yes    ServerAliveInterval 30    ServerAliveCountMax 6

之后命令干净到只剩业务参数，ssh / scp / git 全部复用同一份配置：

rsync -avz --delete ./dist/ aliyun:/var/www/html/

1.3 私钥权限

控制台下载的 .pem 在 Windows 上通常是「所有人可读」，OpenSSH 直接拒绝：

Permissions for 'aliyun.pem' are too open.

WSL / Linux / macOS：

chmod 600 ~/.ssh/aliyun.pem    # 400 也可以

mkdir -p ~/.ssh && cp /mnt/c/Users/you/Downloads/aliyun.pem ~/.ssh/ && chmod 600 ~/.ssh/aliyun.pem

原生 Windows OpenSSH（PowerShell）：

icacls aliyun.pem /inheritance:r /grant:r "$($env:USERNAME):(R)"

1.4 阿里云侧的 5 个检查点

• 登录名：Linux 默认 root；创建实例时选了非 root 登录名则是 ecs-user。用 ecs-user 写 /var/www 这类目录要提权：
  rsync -avz --rsync-path="sudo rsync" ./dist/ aliyun:/var/www/html/
• 绑定密钥对需重启实例生效（控制台换绑/解绑同理）。
• 安全组入方向放行 SSH 端口，授权对象最好只填自己的 IP。
• 对端要装 rsync：rsync --version，没有就 sudo yum install -y rsync / sudo apt install -y rsync。
• 密钥类型：控制台导入支持 rsa / dsa / ssh-rsa / ssh-dss / ecdsa（不含 ed25519）。用 ssh-keygen -y -f 私钥 反查公钥内容。

1.5 常用参数

2. SSH 改端口

2.1 先判断服务模式

systemctl status ssh.socket ssh.service 2>/dev/nullsystemctl cat ssh.socketss -tlnp | grep -E 'sshd|:22\b'

Accept=no 的指纹：ss -tlnp 里同一个 socket 同时挂在 systemd(pid 1) 和 sshd 上：

LISTEN 0 4096 0.0.0.0:2233 0.0.0.0:* users:(("sshd",pid=1269022,fd=3),("systemd",pid=1,fd=76))                                                    ↑ 共享 fd，不是各自监听

2.2 决定性诊断：有没有 sshd-socket-generator

ls -l /usr/lib/systemd/system-generators/ /lib/systemd/system-generators/ 2>/dev/null | grep -i sshls -l /run/systemd/generator/ssh.socket.d/ 2>/dev/nullsudo sshd -T | grep -E '^(port|listenaddress)'

• 有 sshd-socket-generator → 改 sshd_config 就够了（generator 自动翻译成 ListenStream）
• 没有 → 必须手改 ssh.socket

2.3 自动同步链路（有 generator）

    flowchart LR    A["/etc/ssh/sshd_config<br/>Port 2233"] -->|daemon-reload| B["sshd-socket-generator<br/>（内部调用 sshd -T 解析）"]    B -->|写入| C["/run/systemd/generator/<br/>ssh.socket.d/addresses.conf"]    C --> D["ssh.socket<br/>持有监听 fd"]    D -->|SD_LISTEN_FDS 传递 fd| E["ssh.service<br/>sshd -D 常驻"]    E --> F["客户端连接"]  

操作（三步）

# 1. 改配置（drop-in 优先于主文件，因为 Include 在顶部，sshd 是"先出现者生效"）sudo mkdir -p /etc/ssh/sshd_config.dprintf 'Port 2233\n' | sudo tee /etc/ssh/sshd_config.d/99-ssh-port.conf# 2. 校验 + 触发 generatorsudo sshd -tsudo systemctl daemon-reload# 3. 看生成结果（关键验证）cat /run/systemd/generator/ssh.socket.d/addresses.conf# 4. 重启sudo systemctl restart ssh.socket ssh.service

生成结果应形如：

# Automatically generated by sshd-socket-generator[Socket]ListenStream=ListenStream=0.0.0.0:2233ListenStream=[::]:2233

2.4 手改 ssh.socket（无 generator）

sudo systemctl edit ssh.socket

[Socket]ListenStream=ListenStream=0.0.0.0:2233ListenStream=[::]:2233

• 第一行空值 ListenStream= 是清空继承的监听列表，不写则新旧端口同时监听。
• BindIPv6Only / FreeBind 不用重写，drop-in 只覆盖显式设置的指令。
• 过渡期想双端口并存：别写清空行，直接写四条 ListenStream。

2.5 生效与验证

sudo systemctl restart ssh.socket ssh.service   # reload 无效！见下systemctl show ssh.socket -p Listenss -tlnp | grep 2233sudo sshd -T | grep -E '^(port|listenaddress)'

外部验证（ss 只证明服务端在听，证明不了安全组放行）：

Test-NetConnection -ComputerName 47.98.x.x -Port 2233

ssh -p 2233 -i ~/.ssh/aliyun.pem root@47.98.x.x

2.6 收尾：关掉旧端口

sudo grep -rn -E '^\s*Port\s' /etc/ssh/sshd_config /etc/ssh/sshd_config.d/   # 先定位sudo cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F)         # 备份# 注释掉 Port 22，只留 Port 2233sudo sshd -t && sudo systemctl daemon-reloadcat /run/systemd/generator/ssh.socket.d/addresses.conf                       # 确认只剩 2233sudo systemctl restart ssh.socket ssh.service

验证新连接稳定后，再回阿里云控制台删掉 22 的安全组规则。

2.7 安全性检查

systemctl cat ssh.service | grep -iE 'killmode|execstart'   # KillMode=process → 重启不踢现有会话sudo ufw status

sudo ufw allow 2233/tcpsudo ufw enable    # 最后一步

其他连带影响

• 阿里云控制台 Workbench 远程连接走 SSH 22，改端口后失效（部分版本可指定端口）。
• VNC 管理终端不走 SSH，永远可用——唯一的兜底通道。
• 别忘了：fail2ban 的 port、CI/CD 部署脚本、监控探针、Ansible 的 ansible_port、宝塔面板、iptables 旧规则。

2.8 排错表

2.9 兜底与回滚

阿里云控制台 → VNC 远程连接登录：

sudo cp -a /etc/ssh/sshd_config.bak.$(date +%F) /etc/ssh/sshd_configsudo sshd -tsudo systemctl daemon-reloadsudo systemctl restart ssh.socket ssh.service

或删掉手写的 drop-in：

sudo rm -f /etc/systemd/system/ssh.socket.d/*.conf /etc/ssh/sshd_config.d/99-ssh-port.confsudo systemctl daemon-reload && sudo systemctl restart ssh.socket ssh.service

ConditionPathExists=!/etc/ssh/sshd_not_to_be_run：sudo touch /etc/ssh/sshd_not_to_be_run 可让 sshd 彻底不监听。

3. 本机实测记录

3.1 环境事实

/usr/lib/systemd/system/ssh.socket：

[Unit]Description=OpenBSD Secure Shell server socketBefore=sockets.target ssh.serviceConditionPathExists=!/etc/ssh/sshd_not_to_be_run[Socket]ListenStream=0.0.0.0:22ListenStream=[::]:22BindIPv6Only=ipv6-onlyAccept=noFreeBind=yes[Install]WantedBy=sockets.targetRequiredBy=ssh.service

ssh.service 显示 disabled 但 active (running)、TriggeredBy: ● ssh.socket——这是正常的，不是配置坏了。

RequiredBy=ssh.service 是 [Install] 指令，enable 时会在 /etc/systemd/system/ssh.service.requires/ 建符号链接，于是 ssh.service 反向依赖 ssh.socket。

systemctl disable ssh.socketls -l /etc/systemd/system/ssh.service.requires/   # 应无 ssh.socketsudo systemctl enable --now ssh.servicesystemctl show ssh.service -p Requires

3.2 诊断输出

$ ls -l /usr/lib/systemd/system-generators/ | grep -i ssh-rwxr-xr-x 1 root root 482376 Sep  1 02:38 sshd-socket-generator$ ls -l /run/systemd/generator/ssh.socket.d/-rw-r--r-- 1 root root 169 Oct 10 19:55 addresses.conf$ sudo sshd -T | grep -E '^(port|listenaddress)'port 22port 2233listenaddress [::]:22listenaddress 0.0.0.0:22listenaddress [::]:2233listenaddress 0.0.0.0:2233$ cat /run/systemd/generator/ssh.socket.d/addresses.conf# Automatically generated by sshd-socket-generator[Socket]ListenStream=ListenStream=0.0.0.0:2233ListenStream=[::]:2233ListenStream=0.0.0.0:22ListenStream=[::]:22$ systemctl show ssh.socket -p ListenListen=0.0.0.0:2233 (Stream)Listen=[::]:2233 (Stream)Listen=0.0.0.0:22 (Stream)Listen=[::]:22 (Stream)$ ss -tlnp | grep 2233LISTEN 0 4096 0.0.0.0:2233 0.0.0.0:* users:(("sshd",pid=1269022,fd=3),("systemd",pid=1,fd=76))LISTEN 0 4096   [::]:2233   [::]:* users:(("sshd",pid=1269022,fd=4),("systemd",pid=1,fd=77))

结论：sshd_config → generator → ssh.socket 自动同步链路验证通过。此后改端口只需改 sshd_config 一处。

3.3 待办清单

• 本地 Test-NetConnection -ComputerName <IP> -Port 2233 通
• 阿里云安全组确认有 TCP 2233（授权对象限自己 IP）
• sshd_config 注释掉 Port 22
• sshd -t → daemon-reload → 确认 addresses.conf 只剩 2233 → restart
• 本地 ssh -p 2233 成功
• 删除安全组 22 规则
• 更新本地 ~/.ssh/config 的 Port 2233
• 检查 fail2ban（若有）的 port 设置
• 确认阿里云 Workbench 是否需要改用 VNC

4. 参考

• 实例登录凭证管理（登录名/密码/密钥对） - 阿里云 ECS
• openssh-server should ship a systemd generator… (Launchpad #1991592) —— sshd-socket-generator 的来源与设计讨论
• 理解 SSH 改端口不生效的问题及解决方案
• man 5 sshd_config、man 5 systemd.socket、man 8 sshd（socket activation 章节）