阿里云服务器买完，这几项配置先别跳过

2026年11月1日下午1:56 • 云服务器 • 阅读 1

阿里云控制台的名词很多：实例规格、镜像、安全组、磁盘、网络，单看都不难，堆在一起就容易乱。配置时一急，要么多花钱，要么把端口暴露在公网上。这篇以一台跑个人博客和小型接口服务的 ECS 为例，按实际操作顺序把关键配置讲一遍。顺序对了，大部分坑都能提前绕开。

账号与权限：先别用主账号干活

实名认证是第一步，没完成的话很多资源开通不了。认证之后，日常操作不建议继续用主账号，可以通过 RAM 访问控制创建子账号，只授予需要的权限。比如负责运维的同学只管 ECS 和云监控，就没必要同时拥有费用中心和删除资源的权限。

案例：某个小团队早期共用主账号的 AccessKey，一名实习生误把密钥提交到代码仓库，几个小时内就出现了异常的云资源创建记录。事后他们改为 RAM 子账号加最小权限策略，并开启多因素认证，之后没有再出现类似问题。

选购实例：五个参数要想清楚

进入 ECS 控制台创建实例，会依次碰到地域、规格、镜像、存储和网络。每一项都有默认值，但默认值不一定适合你的项目，下面几点值得停下来想一想。

地域：尽量靠近主要用户。另外要留意不同地域之间的内网互通情况和费用差异，将来如果要拆分服务，这一点会影响架构。
规格：个人项目从 2 核 4G 起步通常够用。先跑一段时间，根据监控数据再决定升配还是降配，比一开始堆高配更省心，也更省钱。
镜像：生产环境常见的是 Ubuntu LTS 或 Alibaba Cloud Linux。版本稳定，社区资料多，遇到问题容易搜到答案。
磁盘：系统盘和数据盘最好分开。应用和数据放在单独挂载的数据盘上，重装系统时数据盘上的内容可以保留，迁移也更轻松。

安全组：端口要一个一个想清楚

安全组可以理解为实例外层的防火墙。很多服务器出事，根源往往是规则开得太宽。思路很简单：默认拒绝，只放行业务必需的端口，其余一律不开。

SSH（22 端口）只允许固定 IP 或办公网段访问，不要对 0.0.0.0/0 开放。
Web 服务只放行 80 和 443。数据库端口（比如 3306）不对公网开放，应用服务器通过内网访问即可。
每隔一段时间检查一次规则，把已经不用的旧规则删掉。项目换了方案，老端口常常还留在那里。

案例：一位开发者为了方便调试，把 3306 端口对公网全部开放，两天后数据库遭到暴力破解，数据被清空。之后改为只允许应用服务器的内网地址访问，同类风险就此消除。

登录与基础加固：尽早关掉密码登录

首次登录建议直接使用 SSH 密钥对，不用密码。在控制台创建密钥对并下载私钥，私钥要妥善保存，不要放进代码仓库，也不要随手发给别人。拿到密钥之后，再在服务器上关闭密码登录。

另外几项基础加固也值得做：

创建普通用户处理日常操作，尽量不直接用 root 登录。
开启系统自动安全更新，或者每月固定时间手动打补丁。
把 SSH 配置中的 PermitRootLogin 改为 no。改完后先用 sshd -t 检查语法，重启 SSH 服务前保留一个已登录的会话。万一改错，还能在这个会话里把配置改回来，不至于把自己锁在外面。

部署与监控：关键配置别只留在终端历史里

基础环境装好，就可以部署 Nginx、应用运行时和数据库。部署过程中，关键配置最好写成文件纳入版本管理，否则换一台机器时很难复现。下面是一段简单的 Nginx 反向代理配置，把 /api/ 转发到本机 3000 端口：

server {
    listen 80;
    server_name example.com;

    location /api/ {
        proxy_pass http://127.0.0.1:3000/;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

上线后马上开通云监控。CPU、内存、磁盘和带宽都应设置阈值告警，通知推送到你平时会看的渠道。预算也建议设置告警，流量突然增大或资源被遗忘时，能比月底账单更早发现问题。