买了海外 VPS 又有顶级域名，然后呢？这 12 件事，才是公网 IP 真正的含金量

发布时间: 2026-07-11

VPS Cloudflare DNS 域名自托管 Docker HTTPS 公网IP 网络安全

先说结论

单独一台海外 VPS，只是一间通了电、接了网、却没有门牌号的小房间；单独一个顶级域名，只是一块漂亮招牌。把域名托管到 Cloudflare，再将 DNS 指向 VPS，才等于同时拥有“门牌、导航、店面和公网入口”。

它真正的价值并不是“可以搭一个博客”这么简单，而是让普通人第一次拥有一块全天在线、能被全世界标准互联网访问、能运行自己代码的数字土地：博客、API、Webhook、状态页、密码库、监控、文件入口、自动化任务、远程访问中转，甚至个人 AI 服务的统一入口，都可以从这里长出来。

但公网 IP 也像一扇开在闹市区的门：你刚装好门锁，互联网上的扫描器可能已经来拧过门把手。因此本文既讲“能做什么”，也讲“哪些东西千万别直接暴露”。

AI 生成题图：VPS、域名、DNS 与个人互联网服务。

图 1：AI 生成题图。VPS 是长期在线的计算空间，域名是容易记忆的门牌，DNS 则负责把访问者带到正确入口。

为什么“VPS + 域名”比单独买其中一个强得多

很多人买 VPS 的第一天，会做三件事：登录 SSH、跑一次测速、安装一个面板。第二天开始不知道还能干什么，最后机器只剩下每月续费提醒。

原因不是 VPS 没用，而是它缺少一个稳定入口。公网 IP 像一串经纬度，机器认识，人不容易记；域名像“幸福路 8 号”，既能记住，也能继续划分房间：

blog.example.com 可以放博客；
status.example.com 可以放状态页；
api.example.com 可以放 API；
vault.example.com 可以放密码库；
hook.example.com 可以接收 Webhook。

这里全部使用示例域名，文章不展示任何真实服务器 IP、内网地址或完整设备名称。

VPS、域名、Cloudflare DNS 与服务之间的关系。

图 2：把它想象成开店。域名是招牌，DNS 是地图导航，VPS 是真正提供服务的店面，Cloudflare 则可以承担门口的分流和基础防护。

技术上，浏览器先查询域名对应的 DNS 记录，再连接目标地址的 80 或 443 端口。反向代理程序根据来访域名，把请求转交给 VPS 内部不同的应用。因此，一台配置并不夸张的 VPS，也能用多个子域名承载很多轻量服务。

Cloudflare 到底在这里做什么

Cloudflare 并不会把一台空 VPS 自动变成网站。它主要负责 DNS 托管，并可选择性提供代理、TLS、缓存、访问规则等能力。

最容易混淆的是两种云朵状态：

仅 DNS，也就是灰云： DNS 直接返回源站地址，访问者与 VPS 直接连接。SSH、邮件和许多非 HTTP 服务通常需要这种方式。
已代理，也就是橙云： 对受支持的 HTTP/HTTPS 流量，访问者先连接 Cloudflare，再由 Cloudflare 回源。它适合网站和 Web API，但不代表源站可以不设防。

Cloudflare 官方文档中的代理状态页面截图。

图 3：Cloudflare 官方文档真实截图。橙云与灰云不是“更快”和“更慢”的简单开关，而是两条不同的访问路径。

一个实用的起步方法是：根域名和 www 用于博客并开启代理；单独准备一个不容易猜到的管理子域名，但通过 Cloudflare Access、VPN 或 IP 白名单保护，绝不能因为名字难猜就认为安全。

如果应用并不需要直接开放源站端口，还可以研究 Cloudflare Tunnel。它让 VPS 内的连接器主动向 Cloudflare 建立出站连接，再将指定主机名映射到本地服务，像商场员工从店内打电话联系总台，而不是在后墙开一扇永远不锁的门。

Cloudflare Tunnel 官方介绍页面截图。

图 4：Cloudflare Tunnel 官方页面真实截图。Tunnel 很适合减少直接暴露端口，但它不是免维护魔法，身份认证、应用更新和备份仍然必须做。

同时拥有 VPS 和顶级域名，可以做哪些真正有用的事

个人博客、作品集和长期可迁移的数字名片

这是最稳妥的第一项。社交平台账号像商场里的摊位，平台改变规则，摊主很难决定；自己的域名更像自有门牌，即使未来把网站从一台 VPS 搬到另一台，只要修改 DNS，读者仍然访问同一个地址。

静态博客对配置要求极低。Hugo、Hexo 或纯 HTML 生成后交给 Nginx/Caddy 提供，1GB 内存的 VPS 通常就能承载相当可观的普通访问量。域名还可以建立自己的邮箱转发地址、简历入口和项目说明页。

自己的 API、Webhook 和自动化中转站

Git 仓库推送、监控报警、表单提交、机器人通知，经常需要一个公网可访问的 HTTPS 地址。VPS 可以运行几十行 Python、Go 或 Node.js 程序，把不同系统之间的消息“翻译”并转发。

这像小区门口的快递柜：外部系统不需要知道你家内部怎么摆放，只需要把包裹送到一个固定入口；你的程序验证签名、记录日志，再决定放到哪里。

要注意，Webhook 必须验证签名或令牌、限制请求体大小、设置超时，并防止它变成任意命令执行入口。

状态页、监控和证书到期提醒

把 Uptime Kuma、Prometheus、Grafana 或轻量脚本放在 VPS 上，可以监控家中 NAS、博客、API 和其他服务器。但监控系统本身也需要监控，最好将通知发送到独立渠道。

公网 VPS 的优势是观察角度不同：家里断网时，家里的监控也可能一起失联；海外 VPS 仍能告诉你“目标什么时候离线、什么时候恢复”。

密码库、RSS、书签、短链接和稍后读

Vaultwarden、FreshRSS、Linkding、Shiori 等轻量应用非常适合个人使用。它们的共同特点是数据量不大，但需要长期在线和稳定域名。

不过密码库不是练手首选。应该先完成 HTTPS、备份、双因素认证、更新机制和恢复演练，再迁移真实密码。就像学会锁门、配备用钥匙、确认消防通道之后，才把保险柜搬进新房。

文件临时分享与跨设备入口

可以搭建带过期时间和密码的文件分享服务，或者把对象存储、NAS 的一部分通过受控方式暴露。它适合给客户发送大文件、手机与电脑互传、生成一次性下载链接。

不建议把 SMB、数据库端口、Docker API、NAS 管理后台直接暴露到公网。文件服务应有身份认证、上传大小限制、病毒扫描策略和存储配额，重要文件仍需独立备份。

远程访问的汇合点

VPS 可以作为 WireGuard、Tailscale DERP、自建反向隧道或其他零信任网络的中转点，让多地设备在受控网络中互相访问。它更像一座有门禁的中转车站，而不是把每户人家的门都拆掉。

远程访问尤其要避免“为了方便把所有端口开放”。优先使用密钥、设备身份、最小权限和网段级访问控制。

开发测试、演示环境和个人 CI

开发者可以把 VPS 当作长期在线的 Linux 实验室：测试 Docker Compose、运行预览环境、接收 Git Webhook、构建文档、定时备份代码。域名让每个实验都有固定地址，TLS 也更接近真实生产环境。

个人 AI 服务的统一入口

你可以在 VPS 上运行轻量聊天前端、提示词库、向量检索接口或模型 API 网关，将不同后端统一在自己的域名下。但不要把第三方 API 密钥写进前端，也不要建立没有额度、身份和速率限制的公开转发接口。

邮件服务：能做，但不建议作为第一项

技术上可以自建邮件服务器，现实中却涉及 IP 信誉、反向解析、SPF、DKIM、DMARC、垃圾邮件投诉和出站 25 端口限制。能发出去不等于能进收件箱。

对初学者，更合理的路线是先用域名建立邮件转发或选择专业邮件服务；等真正理解投递信誉和运维成本，再决定是否自建完整邮箱。

第一台 VPS 的项目优先级

第一台 VPS 的建设路线图。

图 5：先搭门牌和低风险公开内容，再做自动化和私有服务。重要数据永远放在备份、更新和恢复能力之后。

推荐顺序是：

配置 SSH 密钥、关闭密码直登、启用防火墙；
在 Cloudflare 添加域名和最少量 DNS 记录；
部署 Caddy 或 Nginx，先显示一个静态页面；
验证 HTTPS、重启恢复和日志；
部署状态页或博客；
建立自动备份并实际恢复一次；
最后再部署带私人数据的应用。

买什么配置比较划算

不要只看 CPU 核数和内存。对公网服务，机房位置、线路稳定性、IPv4 是否包含、月流量、磁盘类型、备份能力和商家续费规则同样重要。

RackNerd：适合低成本长期放一个轻量入口

本文给出的 RackNerd 购买链接在 2026 年 7 月 11 日抓取时，页面显示 1 vCPU、1GB RAM、20GB SSD、3000GB 月流量、1 个 IPv4，年付 21.99 美元。价格和可选机房可能变化，结账页信息才是最终标准。

RackNerd 1GB KVM VPS 套餐页面截图。

图 6：RackNerd 套餐页面真实截图，抓取于 2026 年 7 月 11 日。此类年付小鸡适合博客、状态页、轻量 API 和监控，不适合重型数据库或本地大模型。

1GB 套餐建议使用 Ubuntu Server、Caddy/Nginx 和少量容器，并设置内存限制。若准备同时运行数据库、监控和多个 Docker 服务，2GB 内存会从容很多。

CloudCone：适合关注按小时、弹性和活动套餐的人

CloudCone 推荐入口经常有活动型 VPS，但库存和价格变化比固定年付套餐更快。建议优先寻找 1 至 2GB 内存、包含 IPv4、20GB 以上 SSD、每月 1TB 以上流量的套餐，再比较续费价、备份价格和机房位置，而不是只看首付数字。

CloudCone VPS 官方页面截图。

图 7：CloudCone 官方 VPS 页面真实截图。活动库存具有时效性，购买前应以登录后的实例配置和结算金额为准。

本文包含推广链接。如果通过链接购买，作者可能获得佣金，但不会增加你的标价。是否购买应以实际需求、网络测试和服务条款为准。

一套最小可用的域名接入流程

假设你已经把域名的名称服务器切换到 Cloudflare，并拿到 VPS 的公网地址：

在 Cloudflare DNS 中添加 A 记录，例如主机名填写 blog，目标填写 VPS 地址；
网站先开启橙云代理，TTL 使用自动；
VPS 防火墙只开放 SSH、HTTP 和 HTTPS；
安装 Caddy，配置 blog.example.com 指向本地应用端口；
浏览器访问域名，确认 HTTPS 正常；
重启 VPS，确认服务自动启动；
从另一条网络再次访问，避免只在本地缓存中“看起来成功”。

示例 Caddyfile：

blog.example.com {
    encode zstd gzip
    reverse_proxy localhost:8080
}

DNS 生效前，不要反复删除重建记录。可以用 dig blog.example.com 或 nslookup blog.example.com 查看解析结果；使用橙云时看到的通常是 Cloudflare 边缘地址，而不是源站地址。

三种系统的一键检查脚本

这些脚本不调用第三方 SaaS，也不会修改 Cloudflare。它们只使用操作系统自带工具，检查 DNS、HTTPS、证书和 SSH 端口。请把示例域名替换成自己的域名；SSH 地址不要写进公开仓库。

Windows 11 PowerShell

param([string]$Domain = "blog.example.com", [int]$SshPort = 22)
$ErrorActionPreference = "Stop"
Write-Host "[DNS]" -ForegroundColor Cyan
Resolve-DnsName $Domain | Format-Table Name, Type, IPAddress
Write-Host "[HTTPS]" -ForegroundColor Cyan
$response = Invoke-WebRequest "https://$Domain" -Method Head -TimeoutSec 15
Write-Host "HTTP $($response.StatusCode)"
Write-Host "[SSH TCP]" -ForegroundColor Cyan
Test-NetConnection $Domain -Port $SshPort | Select-Object ComputerName, RemotePort, TcpTestSucceeded

保存为 check-vps-domain.ps1，执行：

powershell -ExecutionPolicy Bypass -File .\check-vps-domain.ps1 -Domain blog.example.com

Ubuntu 26.04 Bash

#!/usr/bin/env bash
set -euo pipefail
domain="${1:-blog.example.com}"
ssh_port="${2:-22}"
echo '[DNS]'
getent ahosts "$domain" | awk '!seen[$1]++ {print $1}'
echo '[HTTPS]'
curl -fsSIL --max-time 15 "https://$domain" | sed -n '1p'
echo '[CERTIFICATE]'
timeout 15 openssl s_client -connect "$domain:443" -servername "$domain" </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates
echo '[SSH TCP]'
timeout 5 bash -c "</dev/tcp/$domain/$ssh_port" && echo 'reachable'

macOS 26 Zsh

#!/bin/zsh
set -euo pipefail
domain="${1:-blog.example.com}"
ssh_port="${2:-22}"
echo '[DNS]'
dscacheutil -q host -a name "$domain"
echo '[HTTPS]'
curl -fsSIL --max-time 15 "https://$domain" | sed -n '1p'
echo '[CERTIFICATE]'
openssl s_client -connect "$domain:443" -servername "$domain" </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates
echo '[SSH TCP]'
nc -G 5 -vz "$domain" "$ssh_port"

人工自动执行方法

先运行脚本记录基线，再依次修改 DNS、反向代理和防火墙；每完成一步重新运行。任何一步失败，只回退刚才那一步，不要同时修改五个配置。最终再用手机蜂窝网络访问一次，并重启 VPS 验证服务自启动。

Agent 自动配置方法

可以把下面的提示词交给有终端权限的编码 Agent。不要把 Cloudflare 全局 API Key、VPS root 密码或私钥粘贴进对话；优先使用最小权限 Token 和已有 SSH Agent。

目标：把 blog.example.com 安全接入这台 Ubuntu VPS 上监听 localhost:8080 的应用。
要求：
1. 先只读检查系统版本、开放端口、防火墙、Caddy/Nginx 和现有站点，不覆盖已有配置。
2. 输出变更计划与回滚方法；备份将要修改的文件。
3. 仅开放必要端口，SSH 保持密钥登录，不显示公网 IP、主机全名、密钥或令牌。
4. 配置 HTTPS 反向代理、开机自启和日志轮转。
5. 依次验证本机回源、域名 DNS、HTTPS、证书日期、外网访问和重启恢复。
6. 若需要 Cloudflare API，只读取环境变量中的最小权限 Token，不把 Token 写入文件或日志。
7. 完成后列出修改文件、验证命令、结果和一键回滚命令。

最常见的翻车点

DNS 正确，但网站打不开

按顺序检查：应用是否监听、反向代理是否启动、防火墙是否开放 80/443、云厂商安全组是否拦截、域名是否指向预期记录。不要一上来就关闭所有防火墙。

开了橙云，SSH 突然不能连接

普通 SSH 不能直接依赖 Cloudflare 的标准网站代理。为 SSH 使用仅 DNS 记录，或改用 Cloudflare Tunnel、VPN、受控跳板等方案。不要把管理入口和公开网站混在同一个安全策略里。

HTTPS 出现循环跳转

常见原因是 Cloudflare TLS 模式、源站反向代理和应用自身的 HTTPS 重定向互相打架。优先使用端到端加密，并明确由哪一层负责跳转。

容器很多，1GB 内存很快用完

“容器很轻”不等于应用不占内存。数据库、Java 应用、监控平台和浏览器自动化都可能吃掉数百 MB。给容器设置限制，启用适量 swap，并定期看 OOM 日志。

有备份，但从没恢复过

没有验证过的备份，只是一个愿望。至少每季度在临时目录或另一台机器恢复一次，确认数据库、附件、配置和加密密钥都齐全。

哪些东西不要直接放到公网

Docker Remote API；
Redis、MySQL、PostgreSQL 等数据库端口；
NAS、路由器、虚拟化平台的管理后台；
没有认证的 Grafana、Prometheus、Jupyter、文件管理器；
带默认密码的任何面板；
包含个人照片、证件和唯一副本的重要存储。

公网扫描不是“你出名以后才会发生”。自动化扫描器像在整座城市逐门试锁的机器人，不认识你，也不需要先知道你的域名。只要端口开放，就可能在几分钟或几小时内被发现。

Q&A

只有 IPv6 的 VPS 可以吗

可以做实验，但兼容性和访问路径更复杂。第一台生产用途 VPS，包含独立 IPv4 通常更省心。

必须使用 Cloudflare 吗

不是。任何可靠 DNS 服务都能完成解析。Cloudflare 的优势是 DNS、代理、TLS、规则和 Tunnel 集成方便，但也意味着你需要理解哪些流量经过它、哪些不经过。

一个域名可以连接多台 VPS 吗

可以。不同子域名可以指向不同服务器，也可以通过负载均衡或反向代理分配。迁移时先降低 TTL，再切换记录，验证后再下线旧机。

1GB VPS 到底够不够

静态博客、Caddy、轻量 API、状态页通常够；多个数据库、Java 服务、完整监控栈或 AI 推理通常不够。决定因素不是容器数量，而是每个进程的真实内存、磁盘和 CPU 峰值。

域名开了橙云就不会暴露源站吗

不能这样保证。历史 DNS、其他子域名、邮件记录、应用主动请求和错误配置都可能泄露源站。源站仍应配置防火墙、更新和身份认证，必要时只允许受信入口访问。

写在最后

海外公网 VPS 最有价值的地方，不是测速截图里多高的带宽，也不是面板里显示了多少核，而是它给普通人提供了一个遵循开放协议、可以自己决定用途的长期在线节点。

顶级域名让这个节点拥有可迁移的身份，Cloudflare DNS 让访问路径更容易管理，HTTPS 和反向代理让多个服务共享一个入口，备份与最小权限则决定这块数字土地能不能住得长久。

如果你刚买第一台 VPS，别急着装二十个面板。先放一个页面，绑定一个子域名，完成一次 HTTPS，做一次重启验证，再做一次备份恢复。等这些最小闭环跑通，你会发现：这台小服务器真正卖给你的，不是 1GB 内存，而是一小块可以由自己设计规则的互联网。