sayamber

ECS的CPU跑满多数是业务死循环或被爬虫刷，只有出现陌生进程、异常外联IP和陌生定时任务才是被入侵；先查进程，再决定调优还是隔离重装。

监控告警最低配置：CPU、内存、磁盘三条阈值告警加一条实例状态告警，通知走短信或钉钉机器人，再补站点拨测兜住业务层。内存指标需先安装云监控插件，阈值务必搭配持续时间，避免误报被集体忽略。

续费比新购贵源于首购补贴到期，续费走的是官网标准价。老用户应提前30天查看续费报价，长期业务优先买3年以上长约，价差过大时用自定义镜像加数据盘迁移到新实例，下单前手动勾选可用代金券，切勿按活动价做长期预算。

自定义镜像是把ECS系统盘封装成模板，能一键复刻实例、快速还原和批量部署；但它不含数据盘与外部数据，新实例也会换IP，别当成完整备份。

被打先分清流量型、资源型还是CC型，用安全组限源、基础防护和CDN/WAF隐藏源站即可挡住多数攻击；只有持续大流量DDoS才需要上高防IP。

结论：域名解析就是把域名指向ECS公网IP，在域名服务商加一条A记录即可，生效通常几分钟。关键是先确认ECS已备案、安全组放行80/443，再配置解析，否则会出现能ping通却打不开的情况。

结论：跨账号、跨地域迁移不必重装重配。用自定义镜像跨地域复制、跨账号共享镜像，再配合快照与OSS中转，通常几小时内能完成，IP和配置留到最后一步切换，风险完全可控，中小团队自己就能做。

公网 ECS 优先用 SSH 密钥对登录并关闭密码登录，配合安全组收敛 22 端口来源，可挡掉绝大多数暴力破解；私钥仅在创建时可下载一次，务必本地保管。

直接给结论：安全组只放行 22、80、443 等必要端口，其余默认拒绝；数据库端口禁止对全网开放，SSH 改用自定义端口加密钥登录，管理入口加 IP 白名单，比事后补救更省事。

直接给结论：新手系统盘选 40~60GB 的 ESSD 云盘就够用，真正吃空间的是数据库文件、日志和 Docker 镜像；建议系统与数据分离，按需在线扩容，别为省预算压到 20GB 以下。