# 云主机开通与安全组

## 场景

在阿里云 / 腾讯云 / 华为云上开一台机器，或者从别的机房迁移过来。

## 前置条件

- 账号有对应资源的权限
- 规划好地域、可用区、VPC 和子网
- 想清楚这台机器开哪些端口

## 配置

开一台主机的基本顺序：

1. 选地域和可用区（**和现有业务在一个地域**，跨地域走公网）
2. 建 VPC 和子网（网段别和公司内网冲突）
3. 选镜像（系统版本要和文档里写的一致）
4. 挂在安全组下，先只开 SSH/RDP，业务端口后面再加
5. 分配带宽或弹性 IP
6. 挂数据盘（系统盘只放系统）

安全组规则示例（阿里云 CLI 类似）：

```text
入方向：
  TCP 22    10.0.0.0/8      允许（只给内网，公网用跳板）
  TCP 80    0.0.0.0/0       允许
  TCP 443   0.0.0.0/0       允许
出方向：
  全部      0.0.0.0/0       允许
```

用云助手批量看一下现有机器：

```bash
# 阿里云
aliyun ecs DescribeInstances --RegionId cn-hangzhou
# 腾讯云
tccli cvm DescribeInstances --region ap-beijing
```

## 验证

```bash
# 从外部验证端口
nc -zv 公网IP 22
curl -I http://公网IP/
```

## 回滚

```bash
aliyun ecs DeleteInstance --InstanceId i-xxx
```

按量计费的机器删了就不计费，包年包月的删了不退钱。

## 坑

- **安全组和系统防火墙是两层**，只改一层会一直不通。
- 网段和公司内网冲突，后面做专线或 VPN 就麻烦。
- 快照不是备份，有人删机器连快照一起删。
- 按量计费的机器忘关机，月底账单很难看。
- 公网 IP 默认没有，要单独分配（或绑定弹性 IP）。
- 云盘挂载后还要分区格式化，否则 `lsblk` 能看到但 `df` 里没有。