从零到可访问：华为云 ECS 搭建开发环境实战（VPC + 安全组 + EIP 全流程）

在云上把一台机器"跑起来"和把一台机器"用起来"，中间隔着的往往不是计算资源，而是网络。本文记录一次从零开始的实践：在华为云上把 VPC、安全组、弹性公网 IP 和 ECS 按正确顺序串起来，最终在本地终端一条 ssh 命令就能连上，整套流程跑通约 15 分钟。

一、先规划网络：VPC 与子网
顺序很重要，VPC 是所有网络资源的地基。创建 VPC 时我选了 192.168.0.0/16，并同时新建一个子网 192.168.1.0/24，可用区选离自己近的。网段不要和公司内网、家里路由器的网段重叠，否则后续做 VPN 或对等连接时会撞网段，返工成本很高。子网建好后记住它的 ID，后面买 ECS 要选同一个。

二、安全组：只开需要的端口
安全组是实例级别的虚拟防火墙，默认拒绝入方向。我新建了一个安全组，只放通三条规则：
- 22 端口 TCP，源地址填自己的公网出口 IP/32，用于 SSH
- 80 和 443 端口 TCP，源地址 0.0.0.0/0，用于 Web 服务
出方向保持默认全放通即可。这里最容易犯的错是图省事把源地址写成 0.0.0.0/0 放通 22 端口，公网上的暴力破解扫描通常在实例开机后几分钟内就会到来，日志里一屏都是 failed password。给自己的 IP 加个 /32 白名单，能挡掉绝大多数噪音。

三、弹性公网 IP：让实例可被访问
如果只是内网调试，可以不买 EIP，用控制台的 CloudShell 或跳板机。需要公网访问时，在 EIP 控制台申请一个按带宽计费的地址，带宽选 5 Mbit/s 起步做验证足够，然后绑定到实例上。绑定是即时生效的，不需要重启。按流量计费和按带宽计费的选择上，流量稳定的长期服务用带宽更可控，临时验证用流量计费更省。

四、购买 ECS 并完成初始化
规格上验证环境用 2 vCPU / 4 GiB 足够，镜像选 Ubuntu 22.04 或 openEuler，系统盘 40 GiB 通用型 SSD。购买页上要确认三件事：VPC 和子网选对、安全组选对、登录方式选密钥对而不是密码。密钥对在创建时会下载一次 .pem 文件，页面关闭后就再也拿不到，务必当场保存。

五、连通性验证
开机后先 ping 弹性 IP，再试端口：
ssh -i ~/.ssh/hwcloud.pem root@<EIP>
如果提示 Permission denied，先确认用户名（Ubuntu 镜像是 ubuntu 而不是 root），再确认本机 .pem 权限是 600：
chmod 600 ~/.ssh/hwcloud.pem
如果卡在 Connecting 不动，八成是安全组没有放通 22 端口，或者 EIP 没绑定成功——去控制台按顺序核对这两项，比在本地反复改 ssh 配置快得多。

六、几个实践中的坑
1. 建资源有依赖顺序：VPC → 子网 → 安全组 → ECS → 绑定 EIP。跳步会导致下拉框里选不到目标资源，只能推倒重来。
2. 控制台嵌套页面里的滚动偶尔不响应，遇到选不到的参数，直接在地址栏打开对应服务的一级页面更省时间。
3. 免费试用和按需计费是两套逻辑，下单前看一下订单金额确认是 0 元还是会产生费用，避免验证完忘了释放。
4. 验证结束记得释放 ECS 和 EIP，EIP 不释放即使没绑定也会继续计费。

七、小结
整套流程跑下来，真正花时间的不是点击，而是把"网络先行"这个顺序想清楚。VPC 定地址空间、安全组定访问边界、EIP 定出口、ECS 定算力，四件事各司其职，串起来就是一台可用的开发机。把这份顺序固化成习惯之后，再搭第二台、第三台环境，基本是照着清单走一遍的事。