新手教程：30 分钟跑起你的第一台云服务器（含 Docker 与 HTTPS）

别跳过区域这一步。 区域决定了延迟、合规要求和备份位置，而且事后迁移要换 IP、重做解析、下游证书全部重签——是所有决策里最难撤回的一个。价格差异在 20% 量级时，延迟带来的转化损失往往更大。

ssh -i ~/Downloads/你的密钥文件.pem [email protected] 第一次连接会问 Are you sure you want to continue connecting (yes/no)?——这是首次连接在建立主机指纹，确认 IP 没输错后输入 yes。成功后你会看到类似 ubuntu@first-web-01:~$ 的提示符。 如果报 Permission denied (publickey)，按顺序查三件事：① 用户名是 ubuntu 而不是 root（官方云镜像默认禁 root 直登）；② -i 指向的是私钥，没有 .pub 后缀；③ 创建实例时绑定的公钥，和你手上这把确实是同一对。 另外注意安全组：如果 22 端口只放行了你家网络的公网 IP，而你的出口 IP 变了（换 WiFi、VPN、公司网络），就会连不上。查自己的公网 IP 用 curl ifconfig.me。

cat /etc/os-release | head -n 3 whoami ip -br addr curl -sI http://ifconfig.me whoami 应输出 ubuntu；ip -br addr 里能看到那块公网网卡；最后一条用来确认这台机器的出口 IP，方便你在安全组里放行 22 时填对来源。

Host web
  HostName 203.0.113.10
  User ubuntu
  IdentityFile ~/Downloads/你的密钥文件.pem

sudo apt-get update && sudo apt-get -y upgrade sudo timedatectl set-timezone Asia/Shanghai timedatectl 最后一条会打出本地时间与 NTP 同步状态。时间不对会让日志时间线、证书有效期校验、cron 定时任务全部错乱，值得多花这 30 秒。 新装的机器通常欠几十个安全补丁，再打开自动更新： sudo apt-get install -y unattended-upgrades sudo dpkg-reconfigure --priority=low unattended-upgrades

sudo apt-get update
sudo apt-get install -y ca-certificates curl
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

sudo systemctl enable --now docker
systemctl is-active docker
docker compose version
sudo docker run --rm hello-world

报 permission denied while trying to connect to the Docker daemon socket？ 说明当前用户还没进 docker 组。执行 sudo usermod -aG docker $USER 后必须退出 SSH 重新登录才生效（组信息在登录时加载），用 groups | tr " " "\n" | grep docker 确认。

mkdir -p ~/site/nginx && cd ~/site cat > nginx/index.html <<'EOF' <!doctype html><meta charset=\"utf-8\"><title>it works</title> <h1>第一台云服务器，跑起来了</h1> EOF cat > nginx/default.conf <<'EOF' server { listen 80; server_name _; root /usr/share/nginx/html; index index.html; location / { try_files $uri $uri/ =404; } } EOF cat > compose.yaml <<'EOF' services: app: image: nginx:1.27-alpine restart: unless-stopped volumes: - ./nginx/default.conf:/etc/nginx/conf.d/default.conf:ro - ./nginx:/usr/share/nginx/html:ro ports: - \"80:80\" EOF 最后那个 nginx:1.27-alpine 是官方精简镜像，几十 MB 起步快。restart: unless-stopped 让它随开机自启，容器意外退出也会被拉起。

cd ~/site && docker compose up -d
docker compose ps
curl -I http://127.0.0.1

dig +short example.com
dig +short example.com @1.1.1.1
curl -I http://example.com

cat > ~/site/compose.yaml <<'EOF' services: app: image: nginx:1.27-alpine restart: unless-stopped volumes: - ./nginx/default.conf:/etc/nginx/conf.d/default.conf:ro - ./nginx:/usr/share/nginx/html:ro caddy: image: caddy:2-alpine restart: unless-stopped ports: - "80:80" - "443:443" volumes: - ./Caddyfile:/etc/caddy/Caddyfile:ro - caddy_data:/data - caddy_config:/config volumes: caddy_data: caddy_config: EOF cat > ~/site/Caddyfile <<'EOF' example.com, www.example.com { reverse_proxy app:80 } EOF cd ~/site && docker compose up -d 注意 app 上的 ports: 已经整段删掉了——它不再直接对外，只通过 Docker 内网被 Caddy 访问。Caddyfile 里的 app:80 是 Compose 服务名，不要写成 127.0.0.1:80，那样 Caddy 容器会去找它自己，永远 502。Caddy 启动时会自动读取这个文件、发现域名并立刻去申请证书。

docker compose logs -f caddy | grep -iE 'certificate|error' 看到 certificate obtained successfully 就成功了，首次签发通常 5–20 秒。HTTP 会自动 301 跳到 HTTPS，这是 Caddy 的默认行为，不用额外配置。签发失败最常见的原因是域名还没解析到这台机器（dig 没返回 IP），或者安全组 / ufw 没放行 80。 证书续期由 Caddy 自己在到期前完成，不需要 cron。

想用 Nginx + certbot 的话，等价路径是： sudo apt-get install -y certbot python3-certbot-nginx sudo certbot --nginx -d example.com -d www.example.com 交互里选 Nginx 配置中的 1，certbot 会自动加上 443 监听和跳转。续期由 systemd timer 负责，第一次务必先干跑一次确认：sudo certbot renew --dry-run。这条路径要多背两个概念（证书链 + 定时续期），所以本文默认走 Caddy。