云主机开通与安全组 · 修改记录

 new file mode 100644
 @@ -0,0 +1,72 @@
+---
+tags: [云主机, 安全组, 运维]
+order: 10
+---
+
+# 云主机开通与安全组
+
+## 场景
+
+在阿里云 / 腾讯云 / 华为云上开一台机器，或者从别的机房迁移过来。
+
+## 前置条件
+
+- 账号有对应资源的权限
+- 规划好地域、可用区、VPC 和子网
+- 想清楚这台机器开哪些端口
+
+## 配置
+
+开一台主机的基本顺序：
+
+1. 选地域和可用区（**和现有业务在一个地域**，跨地域走公网）
+2. 建 VPC 和子网（网段别和公司内网冲突）
+3. 选镜像（系统版本要和文档里写的一致）
+4. 挂在安全组下，先只开 SSH/RDP，业务端口后面再加
+5. 分配带宽或弹性 IP
+6. 挂数据盘（系统盘只放系统）
+
+安全组规则示例（阿里云 CLI 类似）：
+
+```text
+入方向：
+  TCP 22    10.0.0.0/8      允许（只给内网，公网用跳板）
+  TCP 80    0.0.0.0/0       允许
+  TCP 443   0.0.0.0/0       允许
+出方向：
+  全部      0.0.0.0/0       允许
+```
+
+用云助手批量看一下现有机器：
+
+```bash
+# 阿里云
+aliyun ecs DescribeInstances --RegionId cn-hangzhou
+# 腾讯云
+tccli cvm DescribeInstances --region ap-beijing
+```
+
+## 验证
+
+```bash
+# 从外部验证端口
+nc -zv 公网IP 22
+curl -I http://公网IP/
+```
+
+## 回滚
+
+```bash
+aliyun ecs DeleteInstance --InstanceId i-xxx
+```
+
+按量计费的机器删了就不计费，包年包月的删了不退钱。
+
+## 坑
+
+- **安全组和系统防火墙是两层**，只改一层会一直不通。
+- 网段和公司内网冲突，后面做专线或 VPN 就麻烦。
+- 快照不是备份，有人删机器连快照一起删。
+- 按量计费的机器忘关机，月底账单很难看。
+- 公网 IP 默认没有，要单独分配（或绑定弹性 IP）。
+- 云盘挂载后还要分区格式化，否则 `lsblk` 能看到但 `df` 里没有。