香港VPS建站教程：从开机器到域名上线

一、香港机房到底快在哪里：延迟、免备案与带宽的真实账

香港机房的价值不在“离得近”这句口号上，而在一组可以量化的数字里。大陆骨干网到香港的物理路由通常只有三到四个跳，往返时延常见落在三十到六十毫秒区间；同一台机器到日本东京大约五十到八十毫秒，到美国西海岸大约一百四十到一百八十毫秒。跨越太平洋一次，网络抖动、丢包和队列等待都会成倍放大，这正是很多站长说“香港比美西快得不像话”的真实原因。上面这些区间是行业经验值，具体要靠 mtr 逐跳实测确认，不能当成保证。

延伸对照：digitalvirt 的公开机型与线路说明，可结合本节的判断标准自行核对。

第二个差异是备案。网站服务器放在香港机房，域名解析指向香港 IP，属于境外服务器，不需要走中国大陆的 ICP 备案流程。对外贸站、测试环境、品牌页、多语言落地页来说，这一步省掉的是数周到数月的等待期。但要说清楚，免备案只解决主体资格问题，不解决内容合规，也不等于搜索引擎会额外给排名，国内搜索引擎对未备案站点的收录策略一直在调整，实际收录情况还得看站点本身的质量和链接结构。

第三个差异是带宽性价比。香港跨境出口的单价确实不便宜，但由于请求距离短、超时少，TCP 三次握手和慢启动的开销被摊薄得更快，同样的月流量费用能支撑更高的实际并发。对面向大陆用户的图片站、小语种电商、会员后台这类业务，香港节点通常是性价比最高的起点；反过来，如果你的用户全在北美或欧洲，香港节点会让首字节延迟比美西还难看。

反例同样要说清楚。如果业务需要持续跑满 CPU 做视频转码、跑模型推理，一台共享资源的香港 VPS 会被单核性能拖垮，这类任务更适合选大内存或独享型资源；如果你的用户根本不在中国大陆，也完全没必要为“离大陆近”这件事多付钱。日本节点通常比香港更便宜且延迟相近，新加坡和美西则要看你的用户分布。

配置定档的判断标准很朴素：1 核 1G 只适合纯静态页面和调试环境，跑 WordPress 至少 2 核 2G 并挂上交换分区，否则后台插件更新时很容易把 PHP 进程直接打死；存储优先选 NVMe，机械盘或者深度超售的云盘在数据库写入时会给出极其难看的延迟抖动。带宽要看两个数字，端口峰值和月流量配额，对只写“百兆不限流量”的产品要追问超量之后的处理方式是限速还是断网。

商家层面可以横向核对。以公开资料看，云途控制台的香港 DS 系列走的是独享型资源路线，例如 HK.DS.M 标注三万二千 MB 内存、四百八十 GB 硬盘、一千兆比特端口、每月一万 GB 流量，当日价三百五十元人民币每月；HK.DS.S 标注十二万八千 MB 内存、六千 GB 硬盘、两千兆比特端口、每月四万 GB 流量，当日价八百元人民币每月。需要注意这类是独享服务器而不是共享 VPS，规格口径不可直接和别家的小 VPS 放一起比，最终价格与库存以官网当日报价为准。

二、下单前必须核对的六项参数

第一项是独立 IPv4。这是当下最容易被忽略、也最容易翻车的参数，越来越多商家用 NAT 小鸡替代传统 VPS，共享一个公网端口，你的机器没有自己的 IPv4，入站访问需要靠商家提供的转发端口规则，网站上线、证书签发、邮件发送全都受影响。如果你的用途是建站，直接把“是否提供独立 IPv4、是否可自由更换”列为第一道筛选项。

延伸对照：hostkvm 的公开机型与线路说明，可结合本节的判断标准自行核对。

第二项是回程线路。香港机房常见的线路有面向电信的 CN2 GIA、面向三网的 CMIN2、面向联通的 9929，以及普通国际带宽。这里必须理解回程和去程的区别，你访问国内用户时，流量走的是海外到国内这一段，也就是回程；回程质量直接决定国内访客的体验。前台宣传“CN2 GIA”往往只承诺回程，去程可能仍然是绕路的普通线路，晚上八点到十点的高峰时段尤其要单独验证。

第三项是虚拟化类型。KVM 能自定义内核、能装 Docker、能用 OpenVZ 做不到的操作；OpenVZ 和 LXC 是共享宿主机内核的容器方案，性能隔离弱，邻居跑满 CPU 时你的机器会跟着卡顿。新手可以直接按“KVM 独立内核加独立 IPv4 加可自定义防火墙”这条基线来筛。

第四项是系统模板与重装自由度。Debian 12、Ubuntu 24.04 LTS、AlmaLinux 9 都属于可以放心用的长期支持版本，选 LTS 而不是最新版，是因为教程、社区脚本和第三方面板的兼容资料最多。同时确认能否自行重装系统、能否升级内核、能否迁移机房，这三项决定了你日后换商家的成本。

第五项是存储与内存的分配方式。共享型 SSD 的性能会随宿主机负载浮动，超售的 VPS 更明显，判断办法是看有没有注明独享、NVMe 字样以及是否承诺 IOPS。另外要留意内存是否含 1G 左右的管理开销，写进规格的内存里有一部分是系统占用的。

第六项是备份与快照能力。快照不是备份，快照只能回滚到同一台机器、同一份数据，机器本身被商家重装或宿主机故障时快照可能一起消失。至少要确认能不能导出镜像、能不能自定义定时备份到异地、能不能在控制台一键恢复。有些商家提供的数据结构化套餐在官网能直接看到规格与流量额度，比如 justg 的产品线会标明 CPU 核数、内存、硬盘、端口带宽与月流量，以及从十九点九九美元每月起的入门档位；这类有明确数值的可以当锚点，没有结构化套餐的商家，一律以官网当日报价为准，不要拿别家的价格去套。

三、第一次 SSH 连接：从密码登录换成密钥登录

Windows 用户不需要额外安装第三方客户端，系统自带的 OpenSSH 客户端就够用。在 PowerShell 或 Windows Terminal 里直接执行 ssh root@你的服务器IP，终端会提示是否信任这个主机指纹，确认 IP 与你购买的机器一致后输入 yes，然后输入控制台里拿到的 root 密码。注意密码输入时屏幕上不会出现任何字符，这是 SSH 的正常行为，连打三次错会被暂时断开，重新等待几十秒即可。

延伸对照：isvoro 的公开机型与线路说明，可结合本节的判断标准自行核对。

密码登录只是为了让你第一次进门，进门第一件事就应该换成密钥。Windows 上生成密钥用 ssh-keygen -t ed25519 -C "your-vps"，一路回车会得到私钥 id_ed25519 和公钥 id_ed25519.pub。私钥永远不外传，公钥才是要交给服务器的那一份。用 PowerShell 把公钥内容读出来 Get-Content $env:USERPROFILE\.ssh\id_ed25519.pub，然后回到服务器上执行 mkdir -p ~/.ssh && chmod 700 ~/.ssh，再用 vi ~/.ssh/authorized_keys 把公钥整行粘贴进去，最后 chmod 600 ~/.ssh/authorized_keys。

然后是普通用户与提权。生产环境的正确做法是不用 root 跑业务，创建自己的账号并给到 sudo 权限：adduser deploy、passwd deploy，再编辑 /etc/sudoers，用 visudo deploy 加上对应的授权行。用 deploy 身份登录一次，确认 sudo 可用之后再关掉 root 直连，这样即使密钥泄露，攻击者也拿不到最高权限。

改端口不是安全手段，但是能挡掉绝大多数扫描器的自动化爆破。修改 /etc/ssh/sshd_config 里的 Port 22 为一个不常用的高位端口，同时把 PermitRootLogin no、PasswordAuthentication no、PubkeyAuthentication yes 三项一起改掉，改完先执行 sshd -t 检查语法，通过后用 systemctl restart sshd 重启服务，再用新开的一个终端测试新端口能否登录，确认能登进去再关闭原来的窗口，否则配置写错会把自己关在门外。

三个最常见的连接报错要能立刻定位。Permission denied 说明用户名或密钥不对，用 ssh -v 加详细输出能看到是认证失败还是密钥被拒；Connection refused 表示端口上没有服务监听，检查 sshd 是否启动和端口号是否改对；Connection timed out 通常是安全组或防火墙没放行端口，或者本地网络屏蔽了非常规端口。遇到这类问题不要反复重试，先在商家控制台用 VNC 或网页控制台确认机器状态和系统日志。

四、系统初始化：时区、交换分区与防火墙

拿到机器先做一轮初始化，把后面所有排障的麻烦都消灭在前面。以 Debian 系为例，apt update && apt full-upgrade -y 拉齐安全补丁，升级过程中如果提示来自作者签名的变更，先看变更说明再决定是否继续，内核升级后需要重启一次才生效。

延伸对照：joysol 的公开机型与线路说明，可结合本节的判断标准自行核对。

时区一定要改对，否则日志时间和站点时间全错，排查问题会被彻底带偏。执行 timedatectl set-timezone Asia/Shanghai，然后 timedatectl set-ntp true 让系统用 NTP 对时。时间统一之后，cron 任务、备份计划、证书续期日志才有可比对的基准。

内存不足是新手最常见的翻车原因。1 核 1G 的机器跑 WordPress 加数据库几乎必然触发 OOM Killer，一旦触发，表现为站点突然 502 或者 SSH 连接被系统踢断，而日志里只有一行 killed process。解决办法是加交换分区：先 fallocate -l 2G /swapfile，再 chmod 600 /swapfile、mkswap /swapfile、swapon /swapfile，最后把 /swapfile none swap sw 0 0 写入 /etc/fstab 保证重启后自动挂载。交换分区不是拿来提速的，它是防止突发内存占用直接把服务打死。

防火墙有两种做法，二选一即可。Debian 和 Ubuntu 上用 ufw：ufw default deny incoming、ufw default allow outgoing，然后依次放行 22/tcp、80/tcp、443/tcp、ufw enable，注意 SSH 端口如果改过要放行新端口而不是 22。CentOS 系和 AlmaLinux 上用 firewalld：firewall-cmd --permanent --add-service=http、--add-service=https、--add-port=2222/tcp，然后 firewall-cmd --reload。两种工具都只管本机，商家控制台的安全组是另一层，两层都要放行，否则会出现“本机 curl 正常、外面访问不通”的经典现象。

顺手把暴力破解挡掉。安装 fail2ban，配置 jail.local，把 sshd 的重试次数设为五次、禁掉一小时、失败五次封禁二十分钟，重启服务后用 fail2ban-client status sshd 确认它已经在跑。日常巡检用 free -h 看内存、df -h 看磁盘、uptime 看负载、ss -tulpn 看监听端口，这四条命令能覆盖八成故障的第一现场。

五、Nginx 安装与虚拟主机配置

Nginx 相比 Apache 的优势在静态站点和小内存场景非常明显，它的默认配置能用一百 MB 内存扛住中等访问量，而 Apache 加上 PHP 模块的常驻开销明显更高。安装直接 apt install nginx -y，安装完 systemctl enable nginx && systemctl start nginx 让它开机自启，本机 curl -I http://127.0.0.1 应该返回 200。

延伸对照：tmhhost 的公开机型与线路说明，可结合本节的判断标准自行核对。

接下来是虚拟主机。默认站点配置在 /etc/sites-available/default，先备份一份，再新建 /etc/sites-available/example.com.conf。核心结构是：server 段里 listen 80、server_name example.com www.example.com、root 指向站点目录、index 列出 index.php index.html、location / 用 try_files 把不存在的路径转给 index.php 处理，同时在 PHP 段落里把 fastcgi_pass 指向 PHP-FPM 的 unix socket 而不是 127.0.0.1:9000，用 unix socket 可以少走一层网络栈。

配置写完先 nginx -t 做语法检查，只有显示 syntax is ok 且 test is successful 才执行 systemctl reload nginx 生效。检查结果一定要看，reload 失败时旧配置还在跑，不会有任何提示，很容易让你误以为新配置已经生效。

静态站点和 PHP 站点要分开处理。纯静态只需要 root、index 和 try_files 三行；跑 PHP 则必须补上 fastcgi_param 段落，把 SCRIPT_FILENAME 指向 $document_root$fastcgi_script_name，并保证 PHP 进程对站点目录有读权限，目录权限建议设置为七五五，文件六四四。

站点目录不要直接用 root 家目录或 /var/www 根目录，创建独立目录 mkdir -p /var/www/example.com，目录属主改成部署用户或 www-data。WordPress 场景下这一步尤其重要，官方安装程序会在目录里写文件，如果目录不可写，安装向导会卡在“无法创建 wp-config.php”。

几个高频错误要提前认识。502 Bad Gateway 通常是后端进程挂了或者 socket 路径写错，去看 PHP-FPM 的日志 tail -f /var/log/php8.2-fpm.log 和 Nginx 的 error.log；404 说明文件路径或 try_files 规则不对，用 ls -l 确认文件真实存在；403 Forbidden 多半是权限或目录索引没开，检查 owner 和 SELinux 状态；nginx 重启后站点全挂，优先看 error.log 里的端口占用提示。

六、PHP 与 MySQL：安装、配置与授权

PHP 装的是 FPM 版本而不是 CGI 版本，两者进程模型完全不同，CGI 版本每个请求都拉起一次解释器，慢到无法用于生产。命令是 apt install php8.2-fpm php8.2-mysql php8.2-curl php8.2-gd php8.2-mbstring php8.2-xml php8.2-zip -y，然后 systemctl enable php8.2-fpm && systemctl start php8.2-fpm。扩展装不全是最常见的“页面一片空白且没有报错”的原因，WordPress 主题和插件会静默检查扩展是否存在，缺一个就白屏。

延伸对照：vollcloud 的公开机型与线路说明，可结合本节的判断标准自行核对。

PHP 配置主要改三处。upload_max_filesize 决定单个上传文件上限，默认两兆太小，改成 32M；post_max_size 是 POST 请求体总上限，必须大于 upload_max_filesize，改成 64M；memory_limit 是单个脚本可用内存，改成 256M 对 WordPress 更稳妥。改完执行 systemctl restart php8.2-fpm 生效，然后用 php -i | grep -E "upload_max_filesize|post_max_size|memory_limit" 确认新值已经生效，不要凭重启成功就认为配置写对了。

数据库装 MariaDB，兼容 MySQL 协议且对老版本 WordPress 更友好：apt install mariadb-server -y，启动后运行 mysql_secure_installation，把 root 密码设成强密码并移除测试库和匿名账号。然后建库建用户，这三条命令务必照抄，用户名密码换成自己的：create database wordpress default character set utf8mb4 collate utf8mb4_unicode_ci; 接着 create user 'wpuser'@'localhost' identified by '强密码'; 最后 grant all privileges on wordpress.* to 'wpuser'@'localhost'; flush privileges。

授权这一环最容易出错。MySQL 的用户是按 主机名 匹配的，写成 'wpuser'@'127.0.0.1' 就无法匹配到 'wpuser'@'localhost' 的授权，表现为 Access denied for user，而密码明明是对的。同理，如果站点装在容器里或者数据库只监听内网网卡，还要确认 bind-address 与防火墙允许数据库端口对内网开放，但绝不要把 3306 直接暴露到公网。

连接测试用 mysql -u wpuser -p -e "select 1;"，能返回一行 1 就说明授权链路通了。PHP 侧的连接参数，站点与数据库同机时用 127.0.0.1 或 localhost 都可以，跨机时填内网 IP。排查连接问题按顺序看三处：MySQL 服务是否 running，3306 是否在监听，授权语句里的主机名是否与实际连接方式匹配。

七、WordPress 部署与后台加固

部署方式有两种，最省事的是直接下载官方安装包：cd /var/www/example.com && wget https://wordpress.org/latest.tar.gz && tar -xzf latest.tar.gz && mv wordpress/* . && rm -rf wordpress latest.tar.gz，然后 chown -R www-data:www-data /var/www/example.com && chmod -R 755 /var/www/example.com。有 git 环境的话可以克隆仓库并用 Composer 装依赖，版本可锁定，适合要长期维护的站点。

延伸对照：zgovps 的公开机型与线路说明，可结合本节的判断标准自行核对。

目录准备好之后，在浏览器打开域名进入安装向导，填数据库名、用户名、密码、库前缀和站点标题，管理员账号用邮箱加复杂密码。安装完成后有两件事必须立刻做。一是把 wp-config.php 的权限收到 640，属主改成部署用户，同时把文件里的数据库密码换成从环境变量读取的方式，避免密钥留在磁盘上被读到。二是去设置里把固定链接改成文章名结构，链接更干净对 SEO 更友好。

改成 /%postname%/ 之后站点会立刻 404，因为 Nginx 默认规则没有把不存在的路径交给 index.php。在配置里把 location / 的 try_files 改成 $uri $uri/ /index.php?$args; 并在 PHP 段落加上 fastcgi_split_path_info ^(.+\.php)(/.+)$; 同时在 server 段加一条 try_files $fastcgi_script_name =404;，先验证路径再交给 PHP，这是防止路径注入的关键一步，两条一起用才不会出问题。

后台加固同样属于上线流程的一部分。用 WP-CLI 更省事：wp plugin install limit-login-attempts --activate 限制登录尝试，wp config set WP_DEBUG true --raw 打开调试，出问题时能直接看到具体报错而不是空白页，排查完记得改回 false，wp plugin install updraftplus --activate 装一个自动备份插件，把备份目录指到异地或对象存储。

性能上，中文站常见的两个坑是字符集和表情符号。WordPress 默认用 utf8mb4，如果数据库或建站时选了 utf8 三字节，个别插件保存内容会失败；建库时就写 utf8mb4 可以避免。表情符号相关的报错在旧版 MySQL 上会出现，把数据库中 utf8mb4 的兼容性问题一并用 utf8mb4 建库解决即可。

八、域名注册、DNS 解析与站点上线

域名后缀的选择直接影响搜索权重和用户的第一印象，做国内与亚太市场的站点用 .com 或 .cn 兼容性最好，.hk 面向香港本地受众，.top 与 .xyz 价格便宜但部分行业的广告主对其信任度较低，重要站点不建议用冷门后缀。域名注册要实名，国内注册商需要提交身份材料，注册完成后还要做实名认证才能解析。

延伸对照：zji 的公开机型与线路说明，可结合本节的判断标准自行核对。

解析本身是三步。第一步在域名商后台把 NS 记录指向你的 DNS 服务商，如果用默认解析就不用改；第二步在 DNS 服务商后台添加记录，主域名 example.com 加一条 A 记录指向服务器 IP，www.example.com 加一条 CNAME 指向 example.com。第三步是等待解析生效，绝大多数服务商给的 TTL 是十分钟到一小时，实际生效时间还受各地递归缓存影响，所以改完解析不要立刻判断“解析失败”。

验证解析用 dig example.com +short 看返回的 IP 是否与你的机器一致，看解析链路用 dig example.com +trace，需要指定某个解析器测试可以用 dig @8.8.8.8 example.com。如果 dig 出来的 IP 是对的，浏览器还是打不开，那问题一定不在解析，重点转向服务器侧：Nginx 是否在监听 80 端口、安全组和本机防火墙是否放行 80、以及域名是否正确指向了这台机器。

解析生效后有两件事能明显提升体验。一是开启 HSTS 与强制跳转 HTTPS，二是判断要不要接 CDN。CDN 能加速静态资源并挡掉一部分扫描与攻击，但源站 IP 一旦暴露，仍要靠安全组限制只允许 CDN 回源，否则加速效果有限。纯动态站点接 CDN 收益有限，静态资源多的站点收益才明显。

上线前要检查裸域和 www 两种访问方式都能打开并跳转到同一个地址，否则会分散 SEO 权重；同时确认 robots.txt 与 sitemap 已经生成并在 robots.txt 里写明 sitemap 地址。站点第一次上线后，把网址提交到主流搜索引擎的站长平台，提交 sitemap 并申请收录，这一步通常要一两周才见效。

九、HTTPS 证书：签发、自动续期与强制跳转

证书这块用 Certbot 就能自动化。先装 apt install certbot python3-certbot-nginx -y，或者走 webroot 模式只做签发不自动改配置：certbot certonly --webroot -w /var/www/example.com -d example.com -d www.example.com。签发成功后证书和私钥会落在 /etc/letsencrypt/live/example.com/ 目录下，fullchain.pem 是包含中间证书的完整链，privkey.pem 是私钥，这两者才是 Nginx 应该引用的文件。

延伸对照：zorocloud 的公开机型与线路说明，可结合本节的判断标准自行核对。

配置强制跳转，在 server 段里加一条 listen 443 ssl http2 和对应证书路径，再加一条 return 301 https://$host$request_uri; 把 80 端口的请求全部重定向到 HTTPS。注意引用证书时必须是 fullchain.pem 而不是 cert.pem，只用 cert.pem 会导致部分浏览器和移动端提示证书链不完整，Chrome 桌面版有时能容错，Safari 和安卓浏览器会直接拦截。

自动续期用系统定时器完成，systemctl list-timers | grep certbot 能看到 certbot.timer 的触发时间，默认一天两次检查，到期前会自动续。但续期成功之后 Nginx 不会自动加载新证书，需要加一个 deploy hook：把 systemctl reload nginx 写进 /etc/letsencrypt/renewal-hooks/deploy/ 目录下的脚本里，这样每次续期后配置自动生效。设置完成后可以模拟一次续期验证：certbot renew --dry-run --cert-name example.com，没有报错就说明整条链路通了。

证书类型的选择看站点性质。DV 免费证书只验证域名控制权，签发快，适合个人站和测试；OV 和 EV 会附带企业主体审核，浏览器地址栏会显示组织信息，对支付、金融、企业门户类站点有额外的信任价值，审核周期和费用由证书机构决定，具体价格以官网当日报价为准。

有几个细节能少踩坑。申请证书前必须确保 80 端口对外可访问且域名已经解析到本机，否则验证会失败。启用 HTTP/2 后可以观察 h2 确实协商成功。开启 HSTS 前要确认全站所有子域名都支持 HTTPS，否则浏览器会把整条域名链拉黑。混合内容问题也要注意，页面里引用的 http 资源在 HTTPS 下会被浏览器拦截，务必全站统一。

十、常见报错排查与上线验收清单

把故障按症状归类，处理速度会快很多。502 看 PHP-FPM 是否在跑、socket 路径对不对；504 是上游超时，查数据库慢查询和 PHP 进程数；404 是路径或伪静态规则不对；403 多半是权限或目录索引；数据库报错 Access denied 先核对授权里的主机名，Unknown database 检查库名是否真的建过；Too many open files 需要调 PHP-FPM 的 pm.max_children 和系统的文件句柄上限；磁盘写满导致 MySQL 崩溃时，df -h 里那个 100% 会给出最直白的答案。

延伸对照：恒创科技 的公开机型与线路说明，可结合本节的判断标准自行核对。

日志是唯一可信的现场。Nginx 的 access.log 记录访问结果，error.log 记录后端错误，PHP 错误在 /var/log/php8.2-fpm.log，数据库错误在 /var/log/mysql/error.log。排查时用 tail -f 盯着日志再复现问题，比反复盲改配置快得多。磁盘和日志本身也会占满空间，给 /var/log 配一个 logrotate 规则，保留七天并压缩，磁盘告警配在 80% 而不是等它满了才处理。

上线验收清单按这个顺序过一遍：域名解析正确且能打开；裸域与 www 统一到一个地址并强制 HTTPS；证书链完整且续期演练通过；root 密码登录已关闭、SSH 已换密钥；防火墙只放行必要端口；数据库账号是最小权限且密码不写在明文配置里；站点目录有定时备份且已经验证过能恢复；监控和告警到位，能在站点挂掉时收到通知；日志轮转和磁盘告警已配置。

预算和采购的最后一步是核对商家给出的结构化套餐是否覆盖你的实际用量。以公开的套餐数据为例，justg 的入门档标注两核一 GB 内存、二十 GB 硬盘、五百兆比特端口、每月一千 GB 流量，标价为十九点九九美元每月；这类数值可以直接拿来做单位成本基线，比如每 GB 内存每月多少钱、每 TB 流量每月多少钱，再和自己的业务量比对。没有结构化套餐数据的商家，按行业常见区间估算并注明是估算值，报价一律以官网当日报价为准，不要把估算当成报价去做决策。

十一、常见问题

香港VPS建站需要做 ICP 备案吗？ 服务器放在香港机房属于境外节点，域名解析到香港 IP 不走中国大陆的 ICP 备案流程。但如果你的业务主体和运营都在中国大陆，并且要面向大陆用户提供经营性互联网信息服务，仍然需要遵守相关许可要求，服务器放在境外不等于可以绕开全部监管，站点内容也要合法合规。

1 核 1G 的香港 VPS 能装 WordPress 吗？ 能装，但属于勉强能跑的状态。实际运行必须加至少 1 到 2 GB 的交换分区防止 OOM，还要精简插件数量、关闭后台心跳、启用页面缓存，遇到大流量或后台批量操作时容易变慢。生产环境建议 2 核 2G 起步。

用面板还是手工装 Nginx 加 PHP 加 MySQL？ 宝塔、aaPanel 这类面板上手快、备份和证书管理省事，代价是常驻内存明显更高、默认插件会装一堆不需要的组件，安全更新也要自己盯。手工配置内存占用低、可控性强，但每一步都要自己负责。个人博客用面板完全够用，要跑多站或对资源有精细要求就手工装。

SSH 连不上服务器怎么办？ 先按顺序排查：本机网络是否正常、服务器控制台显示是否开机、端口号是否被改过、安全组和系统防火墙是否放行了当前端口、服务是否启动。用商家提供的 VNC 或网页控制台登录进去看 sshd 状态和端口监听情况，这一步能立刻区分是本地网络问题还是服务器侧问题。

域名解析正确但网站打不开怎么处理？ 用 dig 确认解析出的 IP 是否与服务器一致，如果一致就说明问题在服务器侧，检查 Nginx 是否在监听 80 端口、安全组与 ufw 或 firewalld 是否同时放行、站点根目录是否存在且 Nginx 有读权限。确认后从服务器本机 curl 一下域名，本机能通而外面不通，基本可以断定是防火墙层的问题。

网站提示证书链不完整或浏览器警告怎么办？ 检查 Nginx 引用的是 fullchain.pem 而不是 cert.pem，只填 cert.pem 会缺少中间证书，Safari 和安卓浏览器会直接报错。用 openssl s_client -connect example.com:443 -servername example.com 可以看到服务端实际发出了几张证书，少于两张就说明链不完整。

更换商家或迁移机房怎么做数据不丢？ 迁移前用 rsync -avz 同步站点文件和数据库导出文件，在新机器上恢复后改 DNS 解析，注意提前降低旧机器的 TTL 让切换更快。迁移后逐项验证：数据库连接、前台页面、后台登录、上传目录写权限、证书与跳转规则、邮件发送，最后再关掉旧机器。