新手教程：30 分鐘跑起你的第一臺雲伺服器（含 Docker 與 HTTPS）

別跳過區域這一步。 區域決定了延遲、合規要求和備份位置，而且事後遷移要換 IP、重做解析、下游證書全部重籤——是所有決策裡最難撤回的一個。價格差異在 20% 量級時，延遲帶來的轉化損失往往更大。

ssh -i ~/Downloads/你的金鑰檔案.pem [email protected] 第一次連線會問 Are you sure you want to continue connecting (yes/no)?——這是首次連線在建立主機指紋，確認 IP 沒輸錯後輸入 yes。成功後你會看到類似 ubuntu@first-web-01:~$ 的提示符。 如果報 Permission denied (publickey)，按順序查三件事：① 使用者名稱是 ubuntu 而不是 root（官方雲映象預設禁 root 直登）；② -i 指向的是私鑰，沒有 .pub 字尾；③ 建立實例時繫結的公鑰，和你手上這把確實是同一對。 另外注意安全組：如果 22 埠只放行了你家網路的公網 IP，而你的出口 IP 變了（換 WiFi、VPN、公司網路），就會連不上。查自己的公網 IP 用 curl ifconfig.me。

cat /etc/os-release | head -n 3 whoami ip -br addr curl -sI http://ifconfig.me whoami 應輸出 ubuntu；ip -br addr 裡能看到那塊公網網絡卡；最後一條用來確認這臺機器的出口 IP，方便你在安全組裡放行 22 時填對來源。

Host web
  HostName 203.0.113.10
  User ubuntu
  IdentityFile ~/Downloads/你的金鑰檔案.pem

sudo apt-get update && sudo apt-get -y upgrade sudo timedatectl set-timezone Asia/Shanghai timedatectl 最後一條會打出本地時間與 NTP 同步狀態。時間不對會讓日誌時間線、證書有效期校驗、cron 定時任務全部錯亂，值得多花這 30 秒。 新裝的機器通常欠幾十個安全補丁，再開啟自動更新： sudo apt-get install -y unattended-upgrades sudo dpkg-reconfigure --priority=low unattended-upgrades

sudo apt-get update
sudo apt-get install -y ca-certificates curl
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

sudo systemctl enable --now docker
systemctl is-active docker
docker compose version
sudo docker run --rm hello-world

報 permission denied while trying to connect to the Docker daemon socket？ 說明當前使用者還沒進 docker 組。執行 sudo usermod -aG docker $USER 後必須退出 SSH 重新登入才生效（組資訊在登入時載入），用 groups | tr " " "\n" | grep docker 確認。

mkdir -p ~/site/nginx && cd ~/site cat > nginx/index.html <<'EOF' <!doctype html><meta charset=\"utf-8\"><title>it works</title> <h1>第一臺雲伺服器，跑起來了</h1> EOF cat > nginx/default.conf <<'EOF' server { listen 80; server_name _; root /usr/share/nginx/html; index index.html; location / { try_files $uri $uri/ =404; } } EOF cat > compose.yaml <<'EOF' services: app: image: nginx:1.27-alpine restart: unless-stopped volumes: - ./nginx/default.conf:/etc/nginx/conf.d/default.conf:ro - ./nginx:/usr/share/nginx/html:ro ports: - \"80:80\" EOF 最後那個 nginx:1.27-alpine 是官方精簡映象，幾十 MB 起步快。restart: unless-stopped 讓它隨開機自啟，容器意外退出也會被拉起。

cd ~/site && docker compose up -d
docker compose ps
curl -I http://127.0.0.1

dig +short example.com
dig +short example.com @1.1.1.1
curl -I http://example.com

cat > ~/site/compose.yaml <<'EOF' services: app: image: nginx:1.27-alpine restart: unless-stopped volumes: - ./nginx/default.conf:/etc/nginx/conf.d/default.conf:ro - ./nginx:/usr/share/nginx/html:ro caddy: image: caddy:2-alpine restart: unless-stopped ports: - "80:80" - "443:443" volumes: - ./Caddyfile:/etc/caddy/Caddyfile:ro - caddy_data:/data - caddy_config:/config volumes: caddy_data: caddy_config: EOF cat > ~/site/Caddyfile <<'EOF' example.com, www.example.com { reverse_proxy app:80 } EOF cd ~/site && docker compose up -d 注意 app 上的 ports: 已經整段刪掉了——它不再直接對外，只透過 Docker 內網被 Caddy 訪問。Caddyfile 裡的 app:80 是 Compose 服務名，不要寫成 127.0.0.1:80，那樣 Caddy 容器會去找它自己，永遠 502。Caddy 啟動時會自動讀取這個檔案、發現域名並立刻去申請證書。

docker compose logs -f caddy | grep -iE 'certificate|error' 看到 certificate obtained successfully 就成功了，首次簽發通常 5–20 秒。HTTP 會自動 301 跳到 HTTPS，這是 Caddy 的預設行為，不用額外配置。簽發失敗最常見的原因是域名還沒解析到這臺機器（dig 沒返回 IP），或者安全組 / ufw 沒放行 80。 證書續期由 Caddy 自己在到期前完成，不需要 cron。

想用 Nginx + certbot 的話，等價路徑是： sudo apt-get install -y certbot python3-certbot-nginx sudo certbot --nginx -d example.com -d www.example.com 互動裡選 Nginx 配置中的 1，certbot 會自動加上 443 監聽和跳轉。續期由 systemd timer 負責，第一次務必先幹跑一次確認：sudo certbot renew --dry-run。這條路徑要多背兩個概念（證書鏈 + 定時續期），所以本文預設走 Caddy。