第一次拿到pem文件怎么登录公司堡垒机，连不上先查哪几样
新入职或刚接手服务器运维，IT 同事发来一个 .pem 文件，加一句"用这个连堡垒机"。双击打开一看，是一串看不懂的英文乱码，既不是软件也装不上；打开 Xshell 想直接输密码登录，又被拒绝。第一次碰这东西的人基本都卡在这一步：这个文件到底是什么、放哪儿、怎么让登录工具用上它？
原因分析
pem 文件是一把"电子钥匙"（SSH 私钥）。管理员在堡垒机上开通账号时会配一对密钥：公钥留在堡垒机上，私钥就是发给你的这个 pem 文件——登录时工具拿它做身份验证，用来代替密码。所以：内容是乱码很正常，它本来就不是给人读的，而是给 Xshell、FinalShell 这类 SSH 工具读的；双击打不开、无法"安装"也属正常。另外，不少小公司自建堡垒机用的是开源的 JumpServer，那类通常直接浏览器打开一个网页、输账号密码就能进——如果 IT 给你的不是 pem 而是一个网址，按网页提示登录即可，不需要做本篇的工具配置。
分步解决
- 先对齐三样信息：堡垒机地址（IP 或域名，注意端口可能不是默认的 22）、分配给你的登录用户名、pem 文件本体。缺任何一样都连不上，先找 IT 补齐，顺便确认这个 pem 对应的就是你的账号——钥匙和锁是一对一配好的。
- Xshell 配置：新建会话填地址和端口；在"连接 → 用户身份验证"里，方法选"Public Key"，用户名填分配的账号，用户密钥点"浏览 → 导入"，选中 pem 文件，确定后连接。
- FinalShell 同理：新建连接，认证方式选"私钥"，浏览选中 pem 文件。如果工具提示密钥格式不识别，先用 PuTTYgen 把 pem 转成 ppk 格式再导入。
- 登录成功后的"第二跳"：堡垒机一般会列出你有权访问的服务器清单，输入对应编号或名称、回车，才真正进入目标机器；操作完用 exit 逐级退出，别直接掐窗口。
- 连不上先查三样：①地址和端口是否抄错，用
telnet 地址 端口测一下通不通；②本机是否在公司内网或已连 VPN，出了办公网多半要先连 VPN 才够得着堡垒机；③把报错截图存下来——提示"密钥被拒绝"多半是 pem 与账号不匹配，提示"连接超时"多半是网络不通。带着截图找 IT，一眼就能定位。
预防
把 pem 当门禁卡对待：不传网盘、不发聊天群、不拷到公用电脑，私人电脑丢失要立刻报告吊销。密码丢了可以重置，私钥泄露等于把公司机房的锁交了出去，重新配对是全组的事。诚鑫致达科技给客户做运维交接时，会把"堡垒机地址 + 账号 + pem + 工具配置截图"整理成一页登录指引随交接文档发出，新同事第一次连接基本不用再来回摸索。
企业存储选型参考｜贵州诚鑫致达
做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。