1. 從一臺永遠(yuǎn)在線的虛擬電腦說起很多人第一次接觸云服務(wù)器腦子里冒出來的第一個問題就是我到底買了個啥是一臺放在別人機(jī)房里的物理機(jī)嗎還是一臺虛擬機(jī)其實(shí)這兩種說法都對也都不完全對。拿亞馬遜云科技的EC2來說它給你的是一臺可以隨時開機(jī)、隨時關(guān)機(jī)、按秒計費(fèi)的虛擬電腦你可以像操作自己桌上的那臺機(jī)器一樣裝系統(tǒng)、配環(huán)境、跑服務(wù)、開端口唯一的區(qū)別是它不在你腳下而是在某個你根本不需要關(guān)心的數(shù)據(jù)中心里。EC2這三個字母是Elastic Compute Cloud的縮寫翻譯過來就是彈性計算云。彈性這兩個字是整個產(chǎn)品的靈魂也是我這些年用下來覺得最值錢的地方。傳統(tǒng)物理服務(wù)器你要么買一臺放機(jī)房要么租一臺按月付費(fèi)配置定死了想升級就得停機(jī)換硬件想降配就得浪費(fèi)錢。EC2不一樣你今天覺得2核4G夠用明天業(yè)務(wù)漲了點(diǎn)幾下就能升到8核16G后天流量回落了再降回去計費(fèi)跟著配置走不用為閑置資源買單。這篇文章我打算把EC2從里到外拆一遍包括實(shí)例類型怎么選、計費(fèi)模式怎么挑、存儲和網(wǎng)絡(luò)怎么配、安全組怎么設(shè)、快照和鏡像怎么用以及那些只有踩過坑才知道的細(xì)節(jié)。適合剛上手云服務(wù)的新手也適合用了一段時間但總覺得好像哪里沒配對的老用戶。我不打算照本宣科念文檔而是按一個實(shí)際項(xiàng)目從零到上線的順序把每個環(huán)節(jié)的決策邏輯講清楚讓你看完能直接照著做。2. 實(shí)例類型與規(guī)格別讓選型變成選坑2.1 實(shí)例家族的命名規(guī)則到底在說什么EC2的實(shí)例類型名字看起來像亂碼比如m5.large、c6g.xlarge、r5.2xlarge其實(shí)每個字母和數(shù)字都有含義。拿m5.large舉例m是實(shí)例家族family代表通用型5是代次generation數(shù)字越大越新large是規(guī)格大小size決定CPU和內(nèi)存的具體數(shù)量。再比如c6g.xlargec是計算優(yōu)化型6是第六代g表示用的是ARM架構(gòu)的處理器xlarge是規(guī)格。理解這套命名規(guī)則的好處是你看到一個新實(shí)例名字大概就能猜出它適合干什么。通用型m家族CPU和內(nèi)存比例均衡適合Web服務(wù)器、中小型數(shù)據(jù)庫、開發(fā)環(huán)境計算優(yōu)化型c家族CPU強(qiáng)內(nèi)存少適合批處理、視頻編碼、高性能計算內(nèi)存優(yōu)化型r家族內(nèi)存大CPU相對少適合內(nèi)存數(shù)據(jù)庫、大數(shù)據(jù)分析、緩存服務(wù)。還有存儲優(yōu)化型i家族、加速計算型p和g家族等等各有各的專長。我個人的經(jīng)驗(yàn)是新手最容易犯的錯就是無腦選最便宜的或者無腦選最貴的。最便宜的那檔往往是突發(fā)性能實(shí)例T系列它的CPU積分機(jī)制后面會細(xì)說用不好會導(dǎo)致服務(wù)卡頓。最貴的那檔可能是GPU實(shí)例你跑個靜態(tài)網(wǎng)站根本用不上。選型的核心原則是先搞清楚你的應(yīng)用是CPU密集、內(nèi)存密集還是IO密集然后對應(yīng)選家族再根據(jù)負(fù)載量選規(guī)格。2.2 突發(fā)性能實(shí)例的CPU積分機(jī)制T系列實(shí)例是很多人的入門首選因?yàn)楸阋?。但它有一個非常特殊的機(jī)制叫CPU積分CPU Credits。簡單說T實(shí)例有一個基準(zhǔn)CPU性能比如t3.micro的基準(zhǔn)是10%意思是它平時只能用到10%的CPU。當(dāng)你需要更多CPU時它會消耗積分來透支性能最高可以沖到100%。積分在你CPU用得少的時候會慢慢積累用得多了就消耗。這個機(jī)制聽起來很美好但坑在于如果你的應(yīng)用持續(xù)高負(fù)載積分很快耗盡CPU就會被限制在基準(zhǔn)水平服務(wù)直接變慢。我見過有人用t3.micro跑一個持續(xù)有流量的API服務(wù)白天還好到了晚上積分用完響應(yīng)時間從50毫秒飆到2秒。所以T系列只適合負(fù)載波動大、平時比較閑的場景比如個人博客、測試環(huán)境、低流量后臺。如果你的服務(wù)是7x24小時穩(wěn)定吃CPU的老老實(shí)實(shí)選m家族或c家族。判斷方法很簡單在控制臺看CloudWatch的CPU積分余額指標(biāo)如果經(jīng)常接近零說明你選錯了?；蛘吒纱嘤脽o限模式Unlimited Mode積分用完可以繼續(xù)透支但月底會按超出量額外收費(fèi)賬單可能比你升級實(shí)例還貴。2.3 架構(gòu)選擇x86還是ARM最近幾代實(shí)例里出現(xiàn)了帶g后綴的型號比如m6g、c6g、r6g這些是基于ARM架構(gòu)的。相比同規(guī)格的x86實(shí)例ARM實(shí)例通常便宜10%到20%性能卻不相上下某些場景甚至更好。聽起來很香但有一個前提你的應(yīng)用得能在ARM上跑。大部分主流語言和框架都已經(jīng)支持ARM了比如Python、Node.js、Java、Go、Nginx、MySQL、Redis這些都沒問題。但如果你用的是某些商業(yè)軟件、老舊的二進(jìn)制包、或者自己編譯的C擴(kuò)展可能就沒有ARM版本。我一般的做法是新項(xiàng)目優(yōu)先考慮ARM省錢又省電遷移老項(xiàng)目時先在測試環(huán)境跑一遍確認(rèn)所有依賴都有ARM版本再切。還有一個細(xì)節(jié)是ARM實(shí)例和x86實(shí)例的鏡像不通用。你創(chuàng)建實(shí)例時選的AMI系統(tǒng)鏡像必須匹配架構(gòu)選錯了啟動會失敗。這個在控制臺里其實(shí)有提示但如果你用命令行或API創(chuàng)建很容易忽略。3. 計費(fèi)模式按需、預(yù)留、競價到底怎么選3.1 三種主流計費(fèi)模式的適用場景EC2的計費(fèi)模式主要有三種按需實(shí)例On-Demand、預(yù)留實(shí)例Reserved Instances、競價實(shí)例Spot Instances。按需就是隨用隨付按秒計費(fèi)最靈活也最貴。預(yù)留是你承諾用一年或三年換取大幅折扣通常能省30%到60%。競價是你在一個動態(tài)市場上出價價高者得能省70%甚至90%但隨時可能被回收。怎么選我的判斷邏輯是這樣的如果你的服務(wù)是長期穩(wěn)定運(yùn)行的比如生產(chǎn)環(huán)境的Web服務(wù)器、數(shù)據(jù)庫用預(yù)留實(shí)例最劃算反正你本來就要一直開著。如果是臨時性的、可中斷的任務(wù)比如批量數(shù)據(jù)處理、視頻轉(zhuǎn)碼、CI/CD構(gòu)建用競價實(shí)例能省一大筆。如果是開發(fā)測試、短期項(xiàng)目、不確定要不要長期用的用按需靈活第一。這里有個容易忽略的點(diǎn)預(yù)留實(shí)例不是綁定某臺具體機(jī)器的它綁定的是實(shí)例家族、區(qū)域、操作系統(tǒng)這些屬性。你買了一個m5.large的預(yù)留只要在這個區(qū)域創(chuàng)建m5.large的實(shí)例就自動享受折扣不用管具體是哪臺。而且預(yù)留還有可轉(zhuǎn)換和不可轉(zhuǎn)換之分可轉(zhuǎn)換的貴一點(diǎn)但能換成其他家族或規(guī)格適合業(yè)務(wù)可能變化的場景。3.2 競價實(shí)例的中斷處理策略競價實(shí)例最大的風(fēng)險是中斷。當(dāng)市場價超過你的出價或者容量緊張時系統(tǒng)會給你兩分鐘警告然后回收實(shí)例。兩分鐘聽起來很短但如果你的架構(gòu)設(shè)計得當(dāng)完全可以從容應(yīng)對。我的做法是把競價實(shí)例用在無狀態(tài)、可重試的任務(wù)上。比如一個視頻轉(zhuǎn)碼隊(duì)列每個任務(wù)獨(dú)立實(shí)例被回收了任務(wù)重新排隊(duì)到另一臺機(jī)器繼續(xù)跑就行。關(guān)鍵是任務(wù)狀態(tài)不能存在本地磁盤要存在外部數(shù)據(jù)庫或?qū)ο蟠鎯?。另外我會混合使用按需和競價比如一個集群里70%是競價30%是按需保證即使競價全被回收核心服務(wù)也不斷。還有一個技巧是使用競價隊(duì)列Spot Fleet或容量優(yōu)化分配策略讓系統(tǒng)自動在多個實(shí)例池里找最便宜且穩(wěn)定的容量。不要只盯著一個實(shí)例類型出價多選幾個備選中斷概率會低很多。3.3 隱藏成本流量、存儲、快照很多人算EC2成本時只看實(shí)例本身的價格結(jié)果賬單出來發(fā)現(xiàn)超了不少。EC2的隱藏成本主要有三塊數(shù)據(jù)傳輸費(fèi)、EBS存儲費(fèi)、快照費(fèi)。數(shù)據(jù)傳輸方面入站流量通常免費(fèi)出站流量按量收費(fèi)而且跨區(qū)域傳輸比同區(qū)域貴。如果你的服務(wù)要往外發(fā)大量數(shù)據(jù)比如視頻、圖片這部分費(fèi)用可能比實(shí)例還高。優(yōu)化方法是把內(nèi)容放到CDN上或者盡量讓數(shù)據(jù)在同區(qū)域內(nèi)流轉(zhuǎn)。EBS存儲是按配置容量收費(fèi)的不管你用沒用滿。比如你掛了一塊100G的gp3卷即使只用了10G也按100G收費(fèi)。所以創(chuàng)建卷時別貪大按實(shí)際需求來不夠了再擴(kuò)?？煺帐前磳?shí)際存儲的數(shù)據(jù)量收費(fèi)的但如果你頻繁創(chuàng)建快照累積起來也不少。建議設(shè)置生命周期策略自動刪除過期的快照。4. 存儲與網(wǎng)絡(luò)把地基打牢4.1 EBS卷類型的選擇與性能對比EBS彈性塊存儲就是EC2的硬盤主要有幾種類型gp3、gp2、io1、io2、st1、sc1。gp3是通用型SSD性價比最高基準(zhǔn)3000 IOPS和125MB/s吞吐可以額外付費(fèi)提升。gp2是老一代通用SSD性能跟容量掛鉤容量越大IOPS越高但價格比gp3貴。io1和io2是高性能SSD適合對IOPS要求極高的數(shù)據(jù)庫io2的耐久性更好。st1是吞吐優(yōu)化型HDD適合大數(shù)據(jù)處理。sc1是冷存儲HDD最便宜但性能最低。我的建議是絕大多數(shù)場景直接用gp3除非你有明確的IOPS需求。gp3的好處是性能和容量解耦你可以買一塊很小的卷但配很高的IOPS這在gp2時代是做不到的。比如一個20G的gp3卷你可以額外買3000 IOPS總共6000 IOPS成本比買一塊大容量gp2低得多。還有一個細(xì)節(jié)是EBS卷只能掛載到同一可用區(qū)的實(shí)例上。如果你的實(shí)例在可用區(qū)A卷在可用區(qū)B是掛不上去的。創(chuàng)建卷時一定要看清楚可用區(qū)。另外一塊卷同一時間只能掛載到一個實(shí)例除了io1/io2的多掛載特性別想著幾臺機(jī)器共享一塊盤。4.2 安全組與網(wǎng)絡(luò)ACL的區(qū)別和配合安全組Security Group和網(wǎng)絡(luò)ACLNetwork ACL都是防火墻但工作層次和方式不同。安全組作用于實(shí)例級別是有狀態(tài)的你允許了入站流量出站響應(yīng)自動放行。網(wǎng)絡(luò)ACL作用于子網(wǎng)級別是無狀態(tài)的入站和出站規(guī)則要分別配置。實(shí)際使用中安全組是主力網(wǎng)絡(luò)ACL是補(bǔ)充。我一般這樣配安全組按角色劃分比如Web服務(wù)器的安全組允許80和443入站數(shù)據(jù)庫的安全組只允許來自Web安全組的3306入站。網(wǎng)絡(luò)ACL用默認(rèn)的允許所有就行除非你有特殊的安全合規(guī)要求才去細(xì)化。安全組有一個很重要的特性你可以引用另一個安全組作為源而不是寫IP地址。這樣當(dāng)你的Web服務(wù)器擴(kuò)容或IP變化時數(shù)據(jù)庫的安全組不用改。這個技巧在多環(huán)境、多層級架構(gòu)里特別有用。還有一個新手常犯的錯改了安全組規(guī)則后發(fā)現(xiàn)不生效。其實(shí)安全組規(guī)則是即時生效的但如果你是通過域名訪問可能是DNS緩存的問題。另外安全組默認(rèn)拒絕所有入站允許所有出站這個默認(rèn)行為要記牢。4.3 彈性IP與公有IP的區(qū)別EC2實(shí)例可以有兩種IP公有IP和彈性IPEIP。公有IP是自動分配的實(shí)例停止再啟動后會變。彈性IP是你手動申請的可以固定綁定到實(shí)例上實(shí)例重啟也不變。如果你需要一個固定的公網(wǎng)地址比如給客戶配置白名單就必須用彈性IP。彈性IP有一個收費(fèi)規(guī)則要注意綁定到運(yùn)行中的實(shí)例上是免費(fèi)的但如果沒綁定或者綁定到停止的實(shí)例上會按小時收費(fèi)。這是為了防止有人占著IP不用。所以如果你暫時不需要某個彈性IP最好釋放掉別留著吃灰。另外彈性IP是區(qū)域級別的資源不能跨區(qū)域使用。你在區(qū)域A申請的EIP只能綁定到區(qū)域A的實(shí)例上。如果你在多個區(qū)域有業(yè)務(wù)每個區(qū)域都要單獨(dú)申請。5. 鏡像、快照與自動化讓重復(fù)勞動歸零5.1 AMI的制作與復(fù)用AMIAmazon Machine Image是實(shí)例的模板包含操作系統(tǒng)、應(yīng)用、配置等。你可以從公共AMI啟動實(shí)例也可以自己制作AMI。自己制作AMI的好處是新實(shí)例啟動后直接就是配好的環(huán)境不用再手動裝一遍。制作AMI的流程是先啟動一個實(shí)例裝好所有軟件、配好所有參數(shù)然后從這個實(shí)例創(chuàng)建AMI。創(chuàng)建過程會重啟實(shí)例可選不重啟但可能不一致所以最好在業(yè)務(wù)低峰期做。AMI創(chuàng)建后你可以用它啟動任意數(shù)量的相同實(shí)例非常適合橫向擴(kuò)容。我的經(jīng)驗(yàn)是AMI要定期更新。比如每個月打一次安全補(bǔ)丁然后重新制作AMI。舊AMI可以保留幾個版本方便回滾。另外AMI是區(qū)域級別的跨區(qū)域復(fù)制需要手動操作而且會產(chǎn)生傳輸費(fèi)用。5.2 快照的增量備份機(jī)制EBS快照是卷的備份第一次是全量之后是增量。增量意味著只備份變化的數(shù)據(jù)塊所以后續(xù)快照很快也很省空間。但要注意刪除快照時如果后續(xù)快照依賴它系統(tǒng)會保留必要的數(shù)據(jù)塊不會導(dǎo)致數(shù)據(jù)損壞?？煺湛梢杂脕韯?chuàng)建新卷也可以跨區(qū)域復(fù)制?？鐓^(qū)域復(fù)制對于災(zāi)備很有用比如你把生產(chǎn)環(huán)境的快照復(fù)制到另一個區(qū)域萬一主區(qū)域出問題可以在備區(qū)域快速恢復(fù)。復(fù)制是按數(shù)據(jù)傳輸量收費(fèi)的所以別復(fù)制太頻繁。我一般會設(shè)置一個快照策略每天凌晨自動打一次快照保留最近7天每周打一次保留4周每月打一次保留12個月。這樣既有細(xì)粒度的恢復(fù)點(diǎn)又有長期的歸檔。生命周期策略可以在控制臺里配不用自己寫腳本。5.3 啟動模板與自動擴(kuò)縮容啟動模板Launch Template是創(chuàng)建實(shí)例的配方包含AMI、實(shí)例類型、安全組、密鑰對等所有參數(shù)。你可以基于模板創(chuàng)建實(shí)例也可以讓自動擴(kuò)縮容組Auto Scaling Group用模板來動態(tài)增減實(shí)例。自動擴(kuò)縮容的核心是策略。最簡單的策略是目標(biāo)追蹤比如保持CPU利用率在50%系統(tǒng)會自動增減實(shí)例來維持這個目標(biāo)。還有步進(jìn)策略和簡單策略適合更復(fù)雜的場景。擴(kuò)縮容組還可以跨可用區(qū)部署提高可用性。這里有一個坑擴(kuò)縮容組在縮減時會終止實(shí)例如果實(shí)例上有未保存的數(shù)據(jù)就丟了。所以擴(kuò)縮容組里的實(shí)例必須是無狀態(tài)的所有狀態(tài)存在外部。另外縮減時默認(rèn)是隨機(jī)選實(shí)例終止你可以配置終止策略比如優(yōu)先終止最舊的實(shí)例。6. 常見問題與排查技巧實(shí)錄6.1 實(shí)例連不上的排查思路實(shí)例啟動后連不上是最常見的問題。排查順序我一般是這樣先看實(shí)例狀態(tài)是不是在運(yùn)行中再看安全組有沒有放行你的IP和端口然后看網(wǎng)絡(luò)ACL有沒有誤攔接著看路由表有沒有指向互聯(lián)網(wǎng)網(wǎng)關(guān)最后看實(shí)例內(nèi)部防火墻有沒有開服務(wù)有沒有監(jiān)聽。如果是SSH連不上還要檢查密鑰對是否正確。很多人創(chuàng)建實(shí)例時選錯了密鑰對或者用了.ppk格式但用ssh命令連。密鑰對的權(quán)限也很重要Linux下私鑰文件必須是600權(quán)限否則SSH會拒絕使用。還有一個隱蔽的問題是實(shí)例的公有IP變了。如果你沒綁彈性IP實(shí)例停止再啟動后公有IP會變你還在用舊IP連當(dāng)然連不上。養(yǎng)成習(xí)慣需要固定IP就綁彈性IP。6.2 磁盤滿了怎么辦磁盤滿了是另一個高頻問題。EC2的根卷默認(rèn)可能只有8G或20G裝幾個軟件就滿了。解決辦法有兩種一是擴(kuò)容根卷二是掛載新卷。擴(kuò)容根卷的步驟是先在控制臺修改卷大小然后在實(shí)例內(nèi)部擴(kuò)展分區(qū)和文件系統(tǒng)。Linux下用growpart和resize2fsext4或xfs_growfsxfs。注意擴(kuò)容只能增大不能縮小所以別一次加太多。掛載新卷的步驟是創(chuàng)建卷、掛載到實(shí)例、在實(shí)例內(nèi)分區(qū)格式化、掛載到目錄、修改fstab。fstab一定要用UUID而不是設(shè)備名因?yàn)樵O(shè)備名可能會變。改完fstab后先用mount -a測試確認(rèn)沒問題再重啟否則可能開不了機(jī)。6.3 賬單異常怎么查賬單比預(yù)期高先別慌去Cost Explorer里按服務(wù)、按區(qū)域、按標(biāo)簽拆解。常見原因有忘了關(guān)的實(shí)例、閑置的彈性IP、未刪除的快照、跨區(qū)域流量、競價實(shí)例的額外費(fèi)用。我建議給所有資源打標(biāo)簽比如項(xiàng)目、環(huán)境、負(fù)責(zé)人。這樣賬單出來能直接定位到是誰的什么資源。還可以設(shè)置預(yù)算告警超過閾值就發(fā)郵件避免月底才發(fā)現(xiàn)超支。還有一個技巧是用成本分配標(biāo)簽把共享成本按比例分?jǐn)偟讲煌?xiàng)目。比如一個NAT網(wǎng)關(guān)被多個項(xiàng)目共用可以按流量比例分?jǐn)傎M(fèi)用這樣每個項(xiàng)目的成本更準(zhǔn)確。7. 我個人在實(shí)際操作中的幾點(diǎn)體會用了這么多年EC2踩過的坑不少總結(jié)幾條最值錢的經(jīng)驗(yàn)。第一永遠(yuǎn)不要在生產(chǎn)環(huán)境用默認(rèn)VPC的默認(rèn)安全組那個安全組默認(rèn)允許同組內(nèi)所有流量很容易出安全問題。第二創(chuàng)建實(shí)例時養(yǎng)成打標(biāo)簽的習(xí)慣哪怕只打一個Name標(biāo)簽以后找資源會方便很多。第三定期檢查閑置資源停止的實(shí)例、未綁定的彈性IP、舊的快照這些都是隱形成本。第四自動化能省則省啟動模板、自動擴(kuò)縮容、快照策略配一次省一輩子。第五多看看CloudWatch的指標(biāo)CPU、內(nèi)存、磁盤、網(wǎng)絡(luò)異常往往在出問題之前就有征兆。最后再分享一個小技巧如果你不確定某個實(shí)例類型適不適合你的應(yīng)用可以用按需實(shí)例跑一天看看CloudWatch的指標(biāo)再決定要不要轉(zhuǎn)預(yù)留或換類型。別一上來就買三年預(yù)留萬一選錯了退都退不掉。