华为云 KooLabs 实验实战笔记：VPC、ECS 与规格变更的完整链路

一、为什么值得做一遍完整链路

很多人上手华为云的第一步是「买一台服务器」，但真实项目里，一台能用的 ECS 背后至少有四件事要说清楚：网络怎么划、规格怎么选、镜像怎么配、后续怎么扩容。

KooLabs 上「10分钟入门装载国产操作系统的ECS」这个实验把这四件事串成了一条链路：建 VPC → 建子网 → 创建 ECS → 登录 → 改密码 → 变更规格。我完整做了一遍，把过程中的判断依据和踩到的坑记下来。

二、网络先行：VPC 和子网一起建

实验里创建 VPC 时保持默认参数即可：网段 `192.168.0.0/16`，同时自动创建一个 `192.168.0.0/24` 的子网（可用 IP 251 个）。

这个默认值背后是有讲究的：

• `/16` 给了 65536 个地址，足够后续按业务再切子网；
• `/24` 子网留 251 个可用 IP（首尾和网关占用），单子网跑中小规模服务完全够；
• 如果企业已有 IDC 或要对接连云下数据中心，就必须提前避开网段冲突——这是唯一一个建完之后改不了的网络参数。

一个容易忽略的点：子网网段创建后不可修改。所以哪怕只是练习，也建议想清楚规划再点「立即创建」。

三、规格选型：从最小可用开始

实验要求选 `通用计算型 s6.small.1`（1 vCPU / 1 GiB / 0.1 Gbps 基准带宽），按需计费约 0.07 元/小时。

这个规格只适合验证连通性和基础操作，不适合跑业务。但它揭示了一个选型原则：

> 先用最小规格把链路跑通，再按实测负载升配，而不是一开始就买大规格。

云上规格是可以变更的（后面第三步就做这个），所以「买小了」的代价只是几分钟的关机时间，不是重新采购。

网络侧同时要配弹性公网 IP：全动态 BGP、按带宽计费、1 Mbit/s。1M 带宽只够 SSH 和轻量 HTTP，但按需场景下这个组合成本最低；如果业务是流量型的，改按流量计费更划算。

四、镜像选择：HCE 与 Windows 的差异

Linux 侧选的是 Huawei Cloud EulerOS（HCE），基于 openEuler 构建，兼容 CentOS 的运维习惯，适合作为通用服务器底座。

Windows 侧实验要求 Windows Server 2016 标准版 64 位简体中文。这里有一个真实的坑，见下一节。

镜像选择时有两个细节值得注意：

1. 系统盘大小跟着镜像走：Windows 镜像通常要求 40 GiB 起，Linux 10 GiB 就能跑；
2. 主机安全（HSS）默认是勾选的，它会产生独立计费。练习环境里应该主动取消，否则账单里会多一项。

五、变更规格：为什么必须先关机

变更规格的流程是：列表勾选实例 → 关机 → 更多 → 变更规格 → 选择新规格（`s6.medium.4`）→ 勾选镜像免责声明 → 提交申请。

关键点在于必须先关机。原因是规格变更本质上是把实例迁移到新的计算节点，需要重新分配 vCPU 和内存资源。运行中的实例无法保证内存状态可迁移，所以平台直接要求停机。

这也解释了为什么「升配」的代价是分钟级不可用——规划容量时要把它算进变更窗口，而不是当成无损操作。

六、一个真实的权限坑：cbr:policies.list

创建 Windows 实例时遇到了这个报错：

``` 您的权限不足。Policy doesn't allow cbr:policies.list to be performed. ```

`cbr` 是云备份服务（Cloud Backup and Recovery）。这个报错不是 ECS 本身的问题，而是创建流程中会去查询备份策略，而当前账号（实验分配的子账号）没有被授予 CBR 的 `policies.list` 权限。

排查思路：

1. 先确认是不是镜像问题——Windows 镜像是第三方（云市场）提供的，部分第三方镜像会绑定备份策略；
2. 再确认是不是 IAM 权限问题——用子账号时，父账号的策略里需要显式放通 `cbr:*` 或至少 `cbr:policies:list`；
3. 如果只是练习，换用公共镜像的 Linux 实例即可绕开。

这个坑的价值在于：云上创建资源失败，报错信息里的服务前缀（cbr/ecs/vpc）往往比错误描述本身更有用。看到 `cbr:` 就该去查备份服务的权限，而不是在 ECS 页面反复重试。

七、三条可以带走的经验

1. 网络参数不可逆，其余都可调。VPC 网段和子网网段建完就固定，规格、带宽、系统盘都能改。所以规划阶段把精力放在网络上。
2. 先小后大，用变更代替重买。按需计费 + 可变更规格，让「试错成本」变得很低。
3. 报错先看服务前缀。`cbr:`、`obs:`、`iam:` 这些前缀直接指向要排查的服务和权限域。

整个实验从建 VPC 到变更规格大约 40 分钟，比标称的 1 小时短一些。对刚接触华为云的同学，这是个成本很低但覆盖面很全的入门路径。