华为云ECS运维教程：从登录到安全加固的完整操作

刚拿到一台华为云ECS，第一件事不是装环境，而是确认能安全登录、能放行必要端口、能更新系统补丁。
本文按这个顺序讲清楚每一步怎么做、怎么验证，适用于刚购买华为云弹性云服务器、使用Linux镜像的零基础用户。

登录前先理清三件事

购买ECS后，华为云控制台会显示实例的公网IP、私有IP和运行状态。
你需要先确认三个信息：

• 登录方式：购买时选择“密钥对”还是“密码”。密钥对登录更安全，推荐优先使用。
• 安全组规则：默认安全组通常只放行22端口（SSH）和3389端口（Windows远程桌面），其他端口需要手动添加。
• 系统镜像类型：常见的是Huawei Cloud EulerOS、CentOS、Ubuntu。不同系统的包管理命令不同，本文以通用Linux命令为主，遇到差异会单独说明。

在控制台找到“弹性云服务器 ECS”列表，点击实例名称进入详情页，确认“弹性公网IP”已绑定。
如果没有公网IP，需要通过跳板机或NAT网关访问，本文默认已有公网IP。

用SSH登录并完成首次配置

如果你在购买时选择了密钥对，需要先下载私钥文件（.pem），并设置权限。
Windows用户可使用Xshell、PuTTY或Windows Terminal，Mac和Linux用户直接用终端。

第一步，给私钥文件设置仅当前用户可读的权限：

chmod 400 ~/Downloads/your-key.pem

第二步，通过SSH登录，把下面的IP替换成你的ECS公网IP：

ssh -i ~/Downloads/your-key.pem root@123.123.123.123

首次连接会提示确认指纹，输入yes继续。
登录成功后，命令行提示符会变成类似[root@ecs-xxxx ~]#。

如果购买时用的是密码登录，直接执行ssh root@你的公网IP，然后输入控制台重置的密码即可。

登录后建议先做两件事：

1. 更新系统软件包，修复已知漏洞：

# CentOS / Huawei Cloud EulerOS
yum update -y

# Ubuntu / Debian
apt update && apt upgrade -y

1. 查看系统版本和内核，确认环境信息：

cat /etc/os-release
uname -r

安全组放行端口与防火墙检查

很多新手遇到“服务启动了但外网访问不了”，多数是安全组或系统防火墙没放行。

在华为云控制台，进入ECS详情页，点击“安全组”标签，再点击安全组名称进入规则列表。
入方向规则需要添加你实际使用的端口，例如：

• Web服务：TCP 80、443
• 数据库远程访问：TCP 3306（不建议对公网全开，建议限制来源IP）
• 自定义应用：按实际端口添加

添加规则时，源地址不要图省事填0.0.0.0/0，尤其是数据库和远程管理端口，应限制为你的办公IP或跳板机IP。

安全组放行后，还要检查系统内部防火墙。
以Huawei Cloud EulerOS或CentOS 7以上为例：

# 查看防火墙状态
systemctl status firewalld

# 放行80端口
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --reload

# 查看已放行端口
firewall-cmd --list-ports

Ubuntu系统通常使用ufw：

ufw status
ufw allow 80/tcp
ufw reload

验证方式：在本地电脑用telnet 公网IP 80或在线端口检测工具测试，能连通说明安全组和系统防火墙都已放行。

密钥管理与日常运维习惯

使用密钥对登录后，建议关闭密码登录，减少暴力破解风险。
编辑SSH配置文件：

vi /etc/ssh/sshd_config

找到并修改以下参数：

PasswordAuthentication no
PermitRootLogin prohibit-password

保存后重启SSH服务：

systemctl restart sshd

重要提醒：修改前确保你的密钥能正常登录，并且当前SSH会话不要断开，另开一个窗口测试新配置是否生效，确认无误后再关闭旧会话。
如果配置错误导致无法登录，需要通过控制台的VNC方式进入系统回滚配置。

日常运维还建议做两件事：

• 定期查看磁盘使用率：df -h，避免根分区写满导致服务异常。
• 查看内存和负载：free -h和uptime，判断是否需要升级规格。

怎么确认运维配置真的生效

完成以上步骤后，按下面的清单逐项验证：

• SSH登录：使用密钥能正常登录，密码登录已被拒绝。
• 安全组：只放行了业务需要的端口，数据库端口未对全网开放。
• 系统更新：yum check-update或apt list --upgradable无大量待更新包。
• 防火墙：firewall-cmd --list-ports或ufw status显示的放行端口与安全组一致。
• 监控：在华为云控制台“云监控服务”中查看CPU、内存、磁盘指标，建议对CPU使用率设置告警阈值。

如果某一项不符合预期，优先回看对应章节的检查命令，不要直接重装系统。

常见疑问

安全组放行了端口，为什么还是访问不了？

先检查系统防火墙是否放行同一端口，再确认服务本身是否监听在0.0.0.0而不是127.0.0.1。
用ss -tlnp查看监听地址。

密钥文件丢了怎么办？

华为云控制台支持为ECS重置密钥对或重置密码，在实例详情页的“远程登录”或“重置密码”入口操作。
重置后需要重启实例生效。

为什么建议限制安全组来源IP？

对公网全开的数据库或远程管理端口，容易被扫描和暴力尝试。
限制来源IP能大幅降低风险，这是运维中最基本的收敛面做法。

系统更新会不会影响正在运行的服务？

内核更新通常需要重启才生效，业务更新可能涉及依赖变化。
生产环境建议先在测试实例验证，或选择业务低峰期操作，并提前做好快照备份。