拿到一台新云服务器，最容易出问题的不是装软件，而是顺序：先开了一堆端口再收口、先把数据写进本地库再想迁移、站点上线了才发现没做备份。把初始化动作按固定顺序走一遍，能避免大部分返工。
本文以 2 核 2G / 3M 固定带宽不限流量 / 40G ESSD Entry 云盘 的经济型 e 实例为基线，梳理从开机到第一个对外可访问站点的完整流程，最后给出一份上线前可逐项核对的检查清单。文中命令与路径为通用做法，实例规格与可选组件以活动页说明为准。
一、第一步：实例与系统基线
机器开机后，先做不涉及业务的系统层准备。
- 镜像选择：按自己熟悉的技术栈选操作系统镜像；新手优先选择软件源与文档都比较齐全的发行版。装好后先做系统更新，再装常用排查工具。
- 磁盘规划：40G 云盘要在一开始就分清用途——系统与软件、运行时数据、日志与备份各自占多少。日志目录、容器目录、上传目录都要提前划定，避免使用一段时间后系统盘被悄悄写满。
- 基础设置：设置时区为
Asia/Shanghai，确认主机名规范；内存只有 2G 的机器，建议配置 1–2G swap 兜住瞬时尖峰，但要清楚 swap 只是缓冲，不能替代内存规划。 - 快照意识：在系统刚装干净、业务还没写入数据时打一份初始快照，后面练崩了可以直接回到这个干净状态，比重装系统快得多。
二、第二步：网络与登录收口
这一步在装任何业务软件之前完成，顺序不能颠倒。
安全组：只放行必要端口。对外站点开放 80、443；SSH 端口（22 或自定义端口）只允许自己的常用出口访问。数据库、缓存、后台管理端口一律不对公网，需要远程操作时走内网或 SSH 隧道。
SSH 加固：
- 本地生成密钥对，把公钥写入服务器授权文件；
- 禁用密码登录，禁止 root 直接登录，使用普通用户加 sudo；
- 配置登录失败次数限制与登录日志记录。
做完这一步再回头看一遍监听端口列表，确认没有遗留的调试端口或默认服务暴露在公网。
三、第三步：运行时环境
按站点技术栈装运行时，小规格机器上两个原则要守住。
按需选型，不堆环境。 静态站点只需要 Nginx；PHP 站点走 LNMP；Java Web 准备 JDK 与应用服务器；Node.js 项目准备对应版本运行时。同一台机器上不要为了"以后可能用到"把多种运行时都装上，2G 内存经不起常驻进程叠加。
容器化要有内存边界。 用 Docker 部署时，每个服务在 compose 里显式设置内存上限，防止单个服务内存泄漏拖垮整机；同时给应用配健康检查，让反向代理的失败重试有依据，而不是靠肉眼判断"好像挂了"。容器镜像、构建缓存与日志都要设清理策略，否则 40G 磁盘会在几次发布后告警。
服务化方面，业务进程要配置开机自启与异常重启策略；定时任务（备份、日志轮转、数据同步）用系统计划任务登记清楚，不要散落在手工操作里。
四、第四步：站点、域名与证书
环境就绪后再把站点挂出去。
- 域名解析：域名解析到实例公网地址；国内站点对外服务需要先完成备案，备案主体与站点数量以页面规则为准。
- Web 服务配置：Nginx 按站点配置虚拟主机，区分 HTTP 与 HTTPS；站点目录权限收敛，上传目录不给执行权限。
- SSL 证书：对外站点与后端接口都建议叠加证书，让浏览器地址栏显示可信标识，传输过程加密。证书要配置自动续期，并在续期成功后重载 Web 服务——证书问题最常见的不是签发失败，而是续期后服务没重载。
- 健康检查：给应用准备一个可探测的健康路径，反向代理据此判断上游是否可用。
五、第五步：数据与素材放在哪
这一步决定后面会不会被动迁移。
数据库：项目初期数据量小，可以先在同机跑数据库，但要从第一天就做好定时转储与日志增量，转储文件放到独立位置。一旦出现"应用一重启数据就不稳""内存被数据库占走"的苗头，就把数据迁到云数据库托管（MySQL 或 PostgreSQL），让应用与数据解耦——应用重启不牵连数据，备份由托管侧完成。
静态素材：图片、附件、导出文件不要堆在 40G 系统盘里。这类素材外置到对象存储，系统盘只留系统、代码与运行时数据；同时也能避免单个大文件下载占满 3M 出口带宽。
六、上线检查清单
正式对外之前，逐项核对下表：
| 类别 | 检查项 | 通过标准 |
|---|---|---|
| 网络 | 安全组端口 | 仅 22/80/443 对外开放，数据库与缓存不对公网 |
| 登录 | SSH 配置 | 密钥登录、禁密码、禁 root 直登、失败有限制 |
| Web | 站点可访问 | 域名解析生效，HTTP 可正常跳转 HTTPS |
| 证书 | TLS 有效 | 证书在有效期内，续期与重载钩子已配置 |
| 应用 | 健康检查 | 健康路径可探测，异常时自动重启 |
| 数据 | 备份策略 | 文件备份已配置，数据库转储有计划任务 |
| 磁盘 | 容量上限 | 日志、镜像、上传目录均有轮转或清理策略 |
| 监控 | 告警项 | 端口存活、磁盘水位、异常进程有告警出口 |
| 定时任务 | 计划任务登记 | 备份、轮转、同步任务均已记录可追溯 |
七、上线之后：什么时候该拆组件
站点跑起来之后，按信号演进而不是提前堆架构：先观察内存与出口带宽水位；出现"应用和数据库抢内存"时拆库；图片附件多到挤占系统盘时外置对象存储；接口开始排队时再考虑提升规格或增加副本。2 核 2G 这条线适合低并发站点、后台服务、开发测试与个人项目的第一次上线；高并发接口、大内存应用、GPU 推理与多可用区容灾需求，不应压在这台机器上。
活动页与配置说明在此：https://www.aliyun.com/daily-act/ecs/99program?source=5176.29345612&userCode=aptjpq1x。具体配置与权益以页面规则为准。
