AWS充值折扣 AWS 云基础架构最佳实践：构建安全、高可用与高性价比的云平台操作指南

用户搜索这个主题时，通常不是想看 AWS 的概念说明，而是在做几项关键决策：应该先建 VPC 还是先开 EC2；公网和私网怎么分；网站、API、数据库是否要拆开；Linux 和 Windows 怎么选；为什么实例创建后连不上；RDS 放公网还是私网；如何在保证安全和可用的前提下控制成本。

如果你正在规划新系统上线、把本地业务迁移到 AWS，或者重构已有云环境，这篇文章会按真实落地顺序展开，尽量回答“现在该点哪里、参数怎么填、哪里容易出错”。

先回答决策阶段最容易卡住的 4 个问题

1. 先买服务器还是先规划网络

先规划网络。很多用户直接创建 EC2，后面才发现 IP 不够、数据库暴露在公网、不同环境混在一个子网里，导致返工。正确顺序应为：Region 选择 → VPC 规划 → 公私子网 → 路由和网关 → 安全策略 → EC2/RDS 创建。

2. 单可用区便宜，为什么还建议至少双可用区

如果业务不是临时测试环境，应用层建议至少分布在两个可用区。原因不是“更高级”，而是当某个可用区实例故障、EBS 异常或网络抖动时，业务仍可继续服务。数据库如使用 RDS，生产环境建议直接启用 Multi-AZ，而不是等故障后再补。

3. 成本主要浪费在哪里

常见浪费点包括：实例规格买大、EIP 闲置、EBS 卷未删除、快照长期堆积、测试环境 24 小时运行、NAT Gateway 用法不当、跨可用区流量没有监控。控制成本的关键不是少买，而是让架构和流量路径更清晰。

4. 最容易导致上线失败的配置是什么

不是实例创建本身，而是网络和权限：安全组没放行、子网路由错误、实例没有公网 IP、NACL 拒绝返回流量、Windows 没取管理员密码、Linux SSH 密钥丢失、RDS 只允许默认安全组访问。

上线前准备：账号、权限、资源与前置条件

建议先准备这些内容

推荐的基础网段划分

如果只是部署个人博客或开发测试环境，可以缩减为一个公有子网和一个私有子网，但数据库仍建议放私网。

按生产环境思路创建 AWS 基础设施

步骤 1：选择 Region 与可用区

进入 AWS 控制台后，先选择 Region。面向中国大陆访客的业务，要优先测试用户到各 Region 的实际延迟，而不是只看地图距离。跨境业务通常要同时考虑用户位置、数据合规、回源链路和数据库访问时延。

• 网站业务：优先选择离主要访问用户近的 Region
• 数据库业务：优先关注应用与数据库是否同 Region、同 VPC
• 跨境业务：避免应用和数据库跨 Region 直连，延迟和费用都会增加

操作时建议至少选择 2 个可用区，后续子网分布到不同 AZ。

步骤 2：创建 VPC、子网、Internet Gateway 与路由表

点击 VPC 控制台，创建 VPC，IPv4 CIDR 填写例如 10.10.0.0/16。然后创建至少 4 个子网：2 个公有子网、2 个私有子网；如果有数据库，再额外准备 2 个数据库子网。

关键配置如下：

最常见错误是：实例创建在“公有子网”，但没有绑定公网 IP，或路由表并未指向 Internet Gateway，结果 SSH/RDP 无法连接。

步骤 3：创建安全组与基础访问规则

在 EC2 控制台创建安全组，不要使用“全开放”方式图省事。推荐分角色创建：

如果你已经在操作系统内启用了 firewalld、ufw 或 Windows Defender Firewall，记得同时开放对应端口，否则会出现“安全组已放行，但仍无法访问”的情况。

创建云服务器实例：Linux、Windows、磁盘、IP 与远程连接

AWS充值折扣 步骤 4：创建 Linux EC2 实例

进入 EC2，点击 Launch instance。

• AMI：常见选择为 Amazon Linux、Ubuntu、Rocky Linux
• 实例规格：开发测试可从 t3.small 或 t3.medium 开始；中小型 Web 可从 t3.medium、m6i.large 评估
• 密钥对：创建或选择已有 key pair，下载后妥善保存
• 网络：选择已创建的 VPC 和目标子网
• Auto-assign public IP：仅跳板机或临时公网主机启用
• 存储：系统盘建议 gp3，起步 40GB 较实用

gp3 比默认旧盘型更适合常规业务，IOPS 和吞吐可单独调整，后期优化成本更可控。

Linux SSH 连接示例

实例启动后，在本地终端执行：

ssh -i your-key.pem ec2-user@公网IP

如果是 Ubuntu 镜像，用户名通常为 ubuntu。连接失败时，优先检查 4 项：实例状态是否 Running、安全组是否放行 22、子网路由是否正确、本地公网 IP 是否已加入白名单。

步骤 5：创建 Windows EC2 实例并通过 RDP 连接

Windows 实例创建流程类似，但需注意管理员密码获取方式。创建完成后，在实例详情页面点击 Get Windows Password，使用启动时对应的私钥解密密码。

RDP 连接需要确认：

• 安全组已放行 3389 到你的办公 IP
• 系统初始化完成，通常需等待数分钟
• 实例已分配公网 IP 或通过跳板机/VPN 访问

AWS充值折扣 很多用户卡在“端口开了还是连不上”，根因通常是 Windows 首次启动仍在初始化，或本地网络策略阻断了 3389。

步骤 6：磁盘、IP 与基础性能测试

创建实例后，建议立即完成以下动作：

• 确认 EBS 是否启用 Delete on termination，避免删机后磁盘残留计费
• 如需固定公网地址，为跳板机或对外服务节点绑定 Elastic IP
• 使用 ping、mtr、curl、iperf3 测试网络质量
• 使用 top、htop、iostat、free -m 检查初始资源占用

如果是网站业务，部署前先用 curl -I http://127.0.0.1 验证本机服务是否正常，再测试内网访问，最后测试公网访问，这样能快速定位是应用问题还是网络问题。

数据库与应用分层部署：RDS 创建、连接、备份与参数优化

步骤 7：创建 RDS MySQL 或 PostgreSQL 实例

AWS充值折扣 进入 RDS 控制台，创建数据库实例。生产环境不要把数据库直接建在默认 VPC，也不要为了省步骤把 Public access 打开。

RDS 连接问题排查顺序

应用连不上 RDS 时，按下面顺序检查效率最高：

1. RDS 状态是否 Available
2. 应用 EC2 与 RDS 是否在同 VPC 或已打通网络
3. RDS 安全组是否允许应用安全组访问对应端口
4. AWS充值折扣 数据库参数组是否禁止外部连接
5. 应用配置中的 host、port、user、password 是否正确

如果你在 EC2 上执行 mysql -h rds-endpoint -P 3306 -u user -p 仍无法连接，优先回看安全组和子网路由，不要先怀疑数据库版本。

步骤 8：数据库备份、恢复与迁移

RDS 自动备份建议至少保留 7 天，核心业务可提高到 14-35 天。手工快照适合变更前留档，例如升级参数组、批量导入数据、执行大版本升级前。

迁移时的实用建议：

• 小型 MySQL：可直接 mysqldump 导出再导入
• 中大型数据库：优先考虑 DMS 或逻辑复制，减少停机时间
• 迁移前先校对字符集、时区、参数组
• 切换前降低 DNS TTL，减少业务切换等待时间

安全配置落地：不要只停留在安全组

步骤 9：系统防火墙、补丁与最小权限

实例创建后，建议立即执行：

• Linux：更新系统补丁，禁用密码登录，仅保留密钥登录
• Windows：更新补丁，限制 RDP 来源 IP，关闭不必要服务
• AWS充值折扣 IAM：不同成员使用不同账号，禁止共享 AK/SK
• CloudTrail 与日志：开启审计，追踪关键变更

如果是 Web 服务，对外仅开放 80/443。管理端口 22/3389 不建议长期暴露公网，较稳妥的方式是通过跳板机、SSM Session Manager 或 VPN 访问。

步骤 10：DNS、SSL 与 HTTPS 部署

AWS充值折扣 网站上线通常还会涉及 Route 53、证书与负载均衡。

• DNS：在 Route 53 创建 Hosted Zone，添加 A 记录或 Alias 记录
• SSL：在 ACM 申请证书，用 DNS 验证最省事
• HTTPS：如果前面有 ALB，建议在 ALB 终止 TLS，再回源到应用

常见错误是证书申请成功，但域名解析仍指向旧 IP，导致浏览器访问的并不是新环境。

不同场景下的配置建议

常见问题 FAQ

Q1：为什么 EC2 创建完成后无法 SSH 连接？

A：优先检查四项：22 端口是否在安全组放行；实例是否有公网 IP；子网路由是否指向 Internet Gateway；本地使用的密钥和用户名是否正确。若实例在私有子网，需要通过跳板机、SSM 或 VPN 访问。

Q2：为什么 Windows 实例 RDP 端口已开放还是无法连接？

A：常见原因包括：系统尚未初始化完成、未正确解密管理员密码、3389 仅放行了错误的来源 IP、本地防火墙或公司网络限制了远程桌面流量。

Q3：RDS 为什么建议放私网而不是公网？

A：数据库一旦暴露公网，攻击面和误配风险明显增加。大多数业务并不需要公网直连数据库，正确做法是让应用服务器在同 VPC 私网访问，必要时通过跳板机临时运维。

Q4：实例规格怎么选才不容易浪费？

A：不要只看 vCPU 和内存，先看业务峰值、平均负载和磁盘 I/O。中小型站点常见浪费是直接上 4 核 8G，但 CPU 长期低于 10%。可从 t3 或 m 系列中等规格起步，结合 CloudWatch 观察 1-2 周再调整。

Q5：做快照备份后，为什么费用还是偏高？

A：快照会按增量存储计费，但长期保留大量历史版本仍会累计成本。建议设置生命周期策略，保留最近 7 天每日快照、最近 4 周每周快照、最近 3 个月每月快照。

Q6：网站偶发访问慢，先查哪里？

A：先分层排查：CloudWatch 看 CPU、内存、磁盘与网络；再看 Web 服务日志；再测数据库响应时间；最后检查是否存在跨可用区/跨 Region 调用。很多“网站慢”其实是数据库连接池不足或磁盘突发性能用尽。

进一步优化：安全、性能、成本、稳定性

安全优化

• 不使用 root 账号日常运维
• 管理端口仅允许固定办公 IP 或通过跳板机访问
• 数据库不开放公网
• 开启审计日志与登录告警

性能优化

• 系统盘和数据盘优先选择 gp3，并按负载调整 IOPS
• 应用与数据库部署在同 Region、同 VPC，减少网络往返
• AWS充值折扣 静态资源接入 CDN，降低源站带宽压力
• 定期检查连接池、慢查询、磁盘等待时间

成本优化

• 测试环境设置定时关机
• AWS充值折扣 闲置 EIP、EBS、旧快照定期清理
• 稳定负载实例可评估 Savings Plans 或 RI
• 避免不必要的 NAT Gateway 和跨区流量

稳定性优化

• 应用至少跨两个可用区部署
• 关键变更前先做快照和参数导出
• 建立系统重装、恢复、切换演练机制
• 监控 CPU、磁盘、网络、证书到期、数据库连接数

如果你正准备搭建 AWS 生产环境，最实用的思路不是先追求组件齐全，而是先把网络边界、访问路径、备份恢复和成本边界做清楚。先把 VPC、子网、安全组和数据库私网访问理顺，再扩展负载均衡、自动伸缩和多可用区，是多数团队更稳妥的落地顺序。