我行我素12334两年前我第一次买阿里云ECS时，是在深夜。下单只花了五分钟：最便宜的套餐，选个CentOS镜像，付款，然后坐在电脑前等着“开通成功”的邮件。结果第二天在公司用VS Code连服务器，折腾了一上午没连上——安全组没配，SSH端口不通，实例倒是开着，钱也在扣，就是什么都干不了。
后来帮几个朋友和同事处理过同样的流程，发现大家踩的坑几乎一模一样：要么选购时选错地域或实例规格，要么安全组规则配得像筛子，要么VS Code Remote-SSH连上之后发现扩展装不进远程端。这篇东西把整个链路从头到尾捋一遍，包括下单前要想清楚的事、安全组到底怎么配才既通又安全、VS Code SSH连接的具体操作以及那些反复出现的报错怎么处理。如果你正准备入手一台阿里云ECS，或者手里已经有一台但连接姿势不对，这篇内容应该能帮你省下不少弯路。
1. 选购不是越贵越好：实例规格、地域和带宽的最优解
1.1 先想清楚你的服务器到底拿来干嘛
很多人买ECS之前最大的问题不是钱，而是没想清楚用途。这个决定直接影响后续所有配置，所以我建议你在下单前先回答三个问题：这台服务器是长期跑业务的，还是临时做测试的？需要多大的算力和内存？网站或服务的主要访问者在哪里？
如果是跑个人博客、小型API服务、爬虫脚本、Git仓库这类轻量任务，2核4G的入门配置基本够用。如果是要部署YOLO这类模型推理、跑数据处理任务、构建大型项目，4核8G起步，不要试图用2核4G硬扛，编个依赖都能把CPU打到100%。如果是纯粹的测试环境或跑个几分钟就关的脚本，按量付费比包年包月划算得多，用多少扣多少，不用了直接释放实例。
另外有个经验：新手常被各种“新人专享价”和“活动套餐”吸引，直接买一年甚至三年。对于学习用途，先按月付，跑通核心流程再说。很多人的学习项目活不过三个月，一次性付三年费的结果往往是服务器沦为吃灰工具。
1.2 地域选不好，延迟和备案都是麻烦
地域选择是个容易被忽略但影响很大的决定。如果你服务的主要用户在国内，选国内地域（华东、华北、华南），延迟相对较低。但这里有个绕不开的点：使用国内地域的服务器，域名解析到这台机器上，需要完成ICP备案才能对外提供Web服务。如果你的域名没有备案或者暂时不想折腾备案，选择中国香港或新加坡的地域可以绕开这个流程，但延迟会比国内地域高一些，而且网络出口线路有时不稳定，特别是晚高峰时段。
关于地域，我的建议是：能接受备案流程就选国内，不能接受就用中国香港。测试、学习、个人用途大概率用中国香港更省心，不用在备案上耗时间。跨境业务的部署是另一个话题，这里不展开。
1.3 镜像选择：ECS系统选型的三个考虑因素
ECS创建实例时必须选一个系统镜像。阿里云官方提供的公共镜像包括Alibaba Cloud Linux、CentOS、Ubuntu、Debian、Windows Server等。如果你之前没在Linux服务器上跑过东西，选哪个影响并不大，关键在于你熟悉哪个生态。
我之前一直用CentOS 7.9，后来因为维护周期问题（CentOS 7在2024年6月底停止维护），新实例全部迁到了Alibaba Cloud Linux 3或Ubuntu 22.04。Alibaba Cloud Linux好东西不少：对云上硬件有专门的优化，大部分和CentOS兼容，官方安全维护也持续在做。Ubuntu的软件包更新更快，社区资料多，适合喜欢尝鲜的开发者。
这里有一条针对新手的建议：如果没有特殊要求，选择Alibaba Cloud Linux 3是进退都比较自如的选项——它和CentOS系的运维习惯兼容，遇到问题在阿里云官方文档里能查到大量资料，如果你习惯了apt系再做调整也不难。
1.4 带宽和公网IP：按流量计费的坑与建议
带宽是ECS计费里最容易出意外的地方。阿里云有两种计费模式：按固定带宽和按使用流量。按固定带宽就是交月租，包死一个带宽上限；按使用流量则是带宽最大值可以拉很高，但按流量计费。
新手最常踩的坑是把带宽设成按流量计费，然后忘了做流量监控。某个月收到账单才发现流量跑了几百块。另一个极端是只开1M位的固定带宽，结果用VS Code远程开发时明显卡顿，代码提示、文件上传都慢得让人崩溃。
如果你主要用VS Code Remote-SSH做远程开发，网络传输会比较频繁。5Mbps是一个可接受的起步值，想要更流畅可以配到10Mbps。等业务稳定了再根据自己的实际流量账单调整带宽和计费模式，起步阶段不用追求太高配置。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 安全组配置：你的服务器大门到底是怎么打开的
2.1 安全组和服务器防火墙的区别
很多人的直觉是：服务器连不上，那就去服务器里开防火墙端口。这个思路在云环境里需要调整。ECS的网络安全策略分两层：阿里云侧的安全组规则，以及Linux系统内部的防火墙规则。安全组相当于云平台在虚拟网络层面对流量做的一次过滤，发生在流量到达你的ECS网卡之前；系统防火墙（如iptables、firewalld）则是在ECS内部对流量做二次过滤。
这意味着，即使你在系统里关闭了firewalld，安全组没有放行对应端口，外网也进不来。反过来，即使安全组放行了端口，系统防火墙没放行同样不通。排查连接问题时要确认这两层都通了，不能只看一边。