创建实例前，先确认镜像来自云平台官方目录或可信发布渠道，再逐项核对版本、处理器架构、授权和预装组件。部署云服务器香港时，还要检查镜像是否适用于目标地域，以及安全组和系统防火墙是否同时放行所需流量；只配置其中一层，服务仍可能无法访问。
1. 现状：镜像与防火墙各管什么
1.1 镜像决定初始系统状态
系统镜像包含操作系统及基础组件，部分还预装监控代理、面板或运行环境。不同镜像的默认账户、软件仓库和初始化方式可能不同。部署前查看镜像名称、发行版版本、架构（如 x86_64 或 ARM64）、发布时间及支持周期；确认是否为官方镜像，并留意授权费用是否另计。第三方镜像若来源和维护说明不清，不宜直接用于承载重要服务。
1.2 两层防火墙都要核对
云端安全组在实例外侧筛选网络流量，系统防火墙在操作系统内执行规则。入站访问通常需要两层都允许；出站也应确认规则是否限制软件更新、外部接口等必要连接。规则配置界面和默认策略因云平台而异，不能假设新实例默认开放或默认封闭。
2. 选择：按维护能力确定镜像和规则
| 方案 | 适用条件 | 优点与注意点 |
|---|---|---|
| 官方通用镜像 | 需要自行安装应用，团队能维护系统 | 初始环境较清晰；需自行更新组件和设置防火墙。 |
| 预装应用镜像 | 希望缩短搭建时间，且预装内容符合需求 | 部署快；应检查软件版本、默认账户及额外授权，避免遗留不需要的服务。 |
| 自定义镜像 | 需要复用已配置环境 | 启动配置一致；制作前清理密钥、日志和临时凭据，并确认镜像可在目标地域使用。 |
选择时把系统镜像、安全组、主机防火墙和快照作为一组评估。短期测试可以优先选维护熟悉的发行版；长期运行则关注支持周期、补丁获取方式和团队能否持续管理。云服务器香港的地域选择不会自动替代系统维护，也不会让宽松的防火墙规则变安全。
3. 操作：按顺序完成部署前检查
3.1 核对镜像
- 在控制台选择目标地域和实例规格，确认镜像在该地域可用。
- 核实发行版、主版本、架构和授权说明；需要特定软件时，先查其支持的系统版本。
- 检查初始化选项、默认服务和远程管理方式。生产环境避免沿用公开示例密码，按平台指引设置密钥或强口令。
- 有条件时先用测试实例启动，验证软件安装、时间设置、日志路径和自动更新，再把配置固化为自定义镜像。
3.2 制定防火墙规则
- 列出业务实际需要的端口与来源：网站通常只需开放 80、443；管理入口尽量限制为固定办公出口地址或可信网段。
- 在云端安全组中采用最小开放原则，不把管理端口对所有来源开放；确需临时放宽时，设定撤销时间并记录变更人。
- 登录系统后再配置主机防火墙，例如使用 UFW 或 firewalld。先确认当前管理连接不会被新规则切断，再逐条添加允许项。
- 保存规则并从允许和不允许的网络分别测试；检查应用监听端口、云端规则和主机规则，定位被哪一层拦截。
- 确认控制台或串行终端等恢复途径可用后，才关闭旧连接。配置前后保留规则清单，便于回滚。
提示：云端安全组与主机防火墙通常需要同时放行；任意一层拒绝，都可能造成连接失败。若管理地址会变化，可使用受控的 VPN 或临时授权流程，不建议用全网开放来换取方便。
4. 维护：建立年度复核节奏
每季度检查一次系统补丁、镜像支持状态、开放端口和规则来源；系统大版本升级、应用迁移或管理网络变更后，立即复核。每年至少清理一次不再使用的入站规则、过期账户和无用途服务，并确认快照能否恢复、保留周期是否符合业务需要。云服务器香港若更换镜像或复制实例，还应重新检查默认规则，不能认为旧实例配置会完整继承。
5. 常见问题
5.1 选了官方镜像就不必更新吗？
不是。官方来源有助于确认镜像出处，但系统仍需按维护策略安装安全更新，并关注发行版支持周期。
5.2 安全组已放行，为什么服务仍连不上？
检查系统防火墙、应用是否监听对应端口、规则来源范围及应用自身配置；排查时逐层验证，避免直接开放所有端口。
5.3 能否直接复制旧实例的防火墙规则？
可以作为参考，但需重新核对业务端口、来源地址和管理入口。迁移后网络地址或访问路径可能变化，旧规则未必仍合适。
5.4 部署云服务器香港后，多久复查一次？
可按季度做常规检查，并在镜像升级、业务变更或网络调整后立即复核；高变更频率的环境应提高检查频次。
部署前把镜像来源、系统支持、授权和两层防火墙逐项记录，后续再按季度维护。这样检查云服务器香港时，既能减少初始化疏漏，也能让每条开放规则对应明确用途。
