很多人第一次接触云服务器，是从搜“阿里云linux服务器”开始的。这件事看上去门槛不低，但抓住几个关键环节，个人开发者和小团队都能自己搞定。下面按顺序讲：怎么选配置、怎么选系统、登录后先做什么、怎么加固安全、日常怎么维护，以及常见故障怎么查。文中的案例来自一位独立开发者的实际经历。
先想清楚用途，再决定买多大
买服务器时，有人图便宜挑最低配，也有人直接上最高配。两种做法都容易花冤枉钱。更实际的办法是先说清楚这台机器要干什么。个人博客或小型API服务对CPU要求通常不高，2核2G、带宽不大的配置一般够用。如果是跑数据分析或编译大型项目，内存和磁盘IO往往先成为瓶颈，这时候要盯的是这两项，核数反而没那么关键。
上面提到的那位独立开发者，最初想让一台服务器同时跑网站、数据库和定时爬虫。内存长期占用超过90%，页面时不时卡住。后来他把数据库单独放到一台实例上，网站和爬虫放在另一台，卡顿很快缓解。规划时把不同职责分开，通常比把所有服务堆在一台机器上、再不断加配置更有效。
系统镜像怎么选
创建实例时，镜像一般有CentOS、Alibaba Cloud Linux、Ubuntu、Debian等。CentOS官方已经停止维护，新装机不建议再选。新手用Ubuntu 22.04 LTS比较省心，文档多，遇到问题通常能搜到现成的解决办法。如果业务对生产稳定性要求高，并且希望和阿里云底层生态配合得更好，可以考虑Alibaba Cloud Linux。
安全组先只开必要端口
实例建好后，安全组里先只放行22（SSH）、80和443（HTTP/HTTPS）。其他端口等真正用到时再开，不要图省事全部放开。通过本地终端登录的命令如下：
ssh root@你的公网IP
首次登录后，先更新系统软件包，再新建一个普通用户。日常操作用普通用户，需要提权时再用sudo。这样即使误操作，影响范围也小得多。
安全加固要在上线前做完
公网服务器一开通就会被扫描，不少人第一天就能在日志里看到大量SSH登录失败记录。下面几项做起来不复杂，性价比高：
- 禁用root远程登录。在SSH配置里关闭root直接登录，改用普通用户加sudo。改之前先确认普通用户能登录，sudo也能正常使用。
- 改用SSH密钥登录，关闭密码登录。把本机公钥放进服务器后，先用新连接测试成功，再关闭密码登录。测试前别断开当前会话，万一配置写错，还能从这个会话改回来。
- 修改SSH默认端口，并在安全组里限制来源IP段。改端口能挡住一部分机器人的默认扫描，真正起限制作用的还是安全组。改完端口要同步更新安全组规则，否则会把自己锁在外面。
- 安装fail2ban，对多次登录失败的IP自动封禁。失败次数和封禁时长可以按自己的情况调整。
- 开启阿里云安全中心，定期查看漏洞提示和异常进程告警，发现问题及时处理。
还是前面那位开发者。他上线前没做这些配置，第二周发现服务器被植入了挖矿程序，CPU长期满载。排查后他重装了系统、更换了密钥，又补上了上面这些加固措施，服务器才恢复正常。重装和排查的代价远高于提前配置，安全设置应该在服务器第一天就做好。
日常运维抓三件事：监控、备份、日志
服务器能长期稳定运行，靠的是几个简单又持续的习惯。
监控是第一件。用top或htop看CPU和内存占用，用df -h看磁盘空间。阿里云云监控可以给CPU、内存、磁盘设置告警阈值，超过时会通知你，不用每天手动登录查看。
备份是第二件。阿里云快照可以定期备份系统盘，升级系统或修改配置前，建议手动做一次。重要数据最好再导出一份到OSS对象存储。系统盘快照不能替代数据本身的备份。
日志是第三件。应用日志和系统日志长期不清理，很容易把磁盘撑满。配置logrotate做轮转，让旧日志自动压缩或删除。
磁盘写满是最常见的故障之一。写满后数据库无法写入，网站开始报错，排查时往往很被动。提前设置磁盘使用率告警，再配好logrotate，基本能避开这类问题。
常见问题怎么查
无法通过SSH连接
先检查安全组里22端口是否放行，再确认你的本机IP在白名单里。如果改过SSH端口，安全组规则也要改成新端口，两边对不上就连不上。
网站访问慢
先看服务器带宽和CPU负载，再看数据库慢查询。如果访问者分布在不同地区，静态资源可以交给CDN加速，减轻源站压力。
服务器突然变慢
用top找出占用异常的进程，结合日志判断是正常的业务高峰，还是恶意程序在跑。排查前可以先对实例做一次快照，万一操作出错，还能回滚。
