EC2 Windows 无法通过 RDP 登录：内存耗尽导致 Winlogon 异常
EC2 Windows 实例状态检查正常、能 ping 通，但 RDP 连接不上，Stop & Start 后又恢复。遇到这种情况不要只看网络，Windows 内部资源耗尽也可能让 Winlogon 等关键进程崩溃。
现象
- 实例处于 running。
- 系统状态检查和实例状态检查正常。
- 安全组允许 3389。
- 实例可 ping。
- RDP 无法登录。
- Stop & Start 后恢复。
这种现象很像网络问题，但日志可能指向系统资源不足。
关键日志
事件日志中可能出现：
Not enough storage is available to process this command.以及：
System.OutOfMemoryException还可能看到 Winlogon 相关事件，例如 Winlogon 崩溃或无法正常创建登录会话。
这里的 “storage” 不一定指磁盘，Windows 错误码上下文中也可能指内存或系统资源不足。
根因
实例内存和分页文件资源耗尽后，系统无法为关键进程分配资源。RDP 登录依赖的 Winlogon、LSASS、远程桌面服务等组件可能无法正常工作。
Stop & Start 会清空内存状态，所以故障临时消失，但如果实例规格或应用内存占用不解决，问题还会复发。
排查方向
1. 查看事件日志
重点看故障发生前后的：
- Application.evtx
- System.evtx
- Setup.evtx
关注：
OutOfMemoryExceptionNot enough storage is available- Winlogon 错误
- 安全软件或监控代理异常
- Windows Update 相关异常
2. 检查实例规格
确认当前实例内存是否满足业务峰值。如果长期接近上限，应升级实例规格或优化应用。
3. 部署 OS 指标监控
CloudWatch 默认不采集 Windows 内存指标。需要安装 CloudWatch Agent，采集：
- Memory 使用率
- Pagefile 使用率
- Disk 使用率
- 关键进程指标
并设置告警，例如内存使用率超过 85% 提醒。
处理建议
短期恢复
Stop & Start 可以释放内存，临时恢复登录能力。但这不是根治。
中期优化
排查占用内存高的应用、监控代理、安全软件，确认是否存在内存泄漏或配置过重。
长期方案
如果业务峰值确实需要更多内存，应升级到更大规格。升级前先创建 AMI，确认实例类型兼容 ENA/NVMe。
总结
RDP 登录失败不一定是 3389、安全组或 NACL 问题。只要实例仍可 ping、状态检查通过，就应同时查看 Windows 事件日志。
如果日志里出现 OOM、系统资源不足和 Winlogon 异常，根因很可能是内存耗尽。Stop & Start 只能临时恢复，长期需要监控内存并调整实例规格或应用配置。