配置阿里云服务器，新手最容易卡在哪几步

很多人第一次用云主机，都会卡在选配置、登录和安全设置上。这篇文章以一台跑个人博客和小工具站的阿里云ECS为例，走一遍配置流程，并说明每一步为什么这样做。

案例与开通前的考虑

小林是前端开发者，手上有几个小工具和一个个人博客，想搬到线上。他的要求不复杂：访问要稳，费用要可控，出了问题能尽快找到原因。他在阿里云开通了一台轻量级ECS，系统选Ubuntu 22.04，规格2核4G，系统盘40GB。

开通前可以先确认三件事。业务规模方面，个人站点和小型应用用2核4G一般够用，并发高了再升配。地域方面，如果用户主要在国内，就选离他们近的地域，延迟会低不少。网络计费方面，带宽峰值不高时，按流量计费通常更省。

在控制台进入云服务器ECS，点击创建实例。镜像建议用官方公共镜像，并选长期支持版本。后续的安全补丁和软件源都有人维护，省心不少。

登录方式优先选SSH密钥对，别用固定密码。私钥在本地生成，要自己保管好，丢了就没法直接登录这台机器。如果非要用密码，至少设置高强度密码，并在后面的步骤里关闭密码登录。

安全组最容易被忽略。小林一开始只放行了22端口（SSH），建站时再加上80（HTTP）和443（HTTPS）。规则很简单：只开业务真正需要的端口。数据库和Redis端口不要对公网开放。

实例就绪后，在本地终端执行下面的命令登录：

ssh -i ~/.ssh/aliyun_key.pem root@你的公网IP

第一次登录后，先更新系统，再建一个普通用户，之后日常操作尽量不用root。具体做法如下：

执行 apt update 和 apt upgrade 更新系统补丁。补丁装完后最好重启一次，确认系统能正常启动。
用 adduser 新建普通用户，再用 usermod -aG sudo 给它sudo权限。
把本地公钥写入新用户的 ~/.ssh/authorized_keys，然后确认新用户能用密钥登录。
编辑 /etc/ssh/sshd_config，将 PermitRootLogin 设为 no，PasswordAuthentication 设为 no，然后重启SSH服务。

修改SSH配置前，先保持一个已登录的窗口不关，另开一个新窗口测试新用户能否登录。万一配置出错连不上，原来的窗口还能用来回退修改。

安全组已经在网络层拦了一道，系统里再开一层防火墙会更稳。Ubuntu上可以用ufw：先放行SSH，再放行网站端口，最后启用。这样即使安全组规则配错，系统本身也能挡住不需要的访问。顺序别反。先放行22端口再启用ufw，否则可能把自己锁在外面。

时间同步也不能忽略。日志排查、证书校验和定时任务都依赖准确的时间。阿里云ECS默认接入了内网时间服务，用 timedatectl 查看状态，时区确认为 Asia/Shanghai 即可。

小林用Nginx做Web服务器，安装命令是 sudo apt install nginx。装完后访问公网IP，如果能看到默认欢迎页，说明服务和端口都通了。接着他把博客的静态文件放到 /var/www/blog，写了一份虚拟主机配置，指定站点根目录和域名。

绑定域名要在域名服务商那里添加A记录，指向服务器公网IP。如果服务器在中国大陆，网站对外正式提供服务前需要完成ICP备案。备案通常在阿里云备案系统里在线提交，审核时长取决于材料情况。最好提前安排，别等到上线当天才发现还没备案。

小林在阿里云控制台申请了免费SSL证书，下载后上传到服务器，并在Nginx配置里开启443端口。证书到期要续签，他在日历里设了提醒。也可以用certbot之类的工具自动续期。

服务上线后，维护工作才算真正开始。小林先做了这几件事：

日志也要管。Nginx访问日志和应用日志长期不轮转，会把磁盘占满。用 logrotate 按天或按大小切割，并限定保留的历史文件数量，就不用再手动清理。

配置阿里云服务器的步骤不算多，但顺序很重要。先选合适的规格和地域，再用密钥登录、只开必要端口、定期更新系统，最后靠监控和备份兜底。小林的博客从第一次登录到正式上线，花了大约半天。之后每月只需十几分钟看监控和账单，服务就能平稳运行。