规划你的第一台 Vultr 智能体服务器

这套参考流程适用于在 Linux 服务器上运行、通过模型 API 获取推理能力的智能体应用。它不是 GPU 容量指南，也不是可以直接用于生产的安装脚本。目的是在创建付费资源之前，把关键决定和检查项明确列出来。

我们核对了文中链接的文档，但没有执行完整流程。本文没有购买或部署任何实例。控制台标签和可用镜像可能变化，请以所选产品和操作系统的当前官方说明为准。不要在尚未理解每一步影响时，就把这份清单改写成命令执行。

1. 先写部署记录

记录应用版本、预计并发任务、需要持久保存的数据、管理员，以及每月支出范围。写明模型供应商和应用可以使用的外部工具。决定这是一场可以随时丢弃的试验，还是一个必须在故障后保留数据的服务。

选择地区时，同时考虑用户和依赖服务的位置。距离近的地区可以优先测试，但不能据此证明延迟一定合适，或已经满足合规要求。选择你能维护的受支持 Linux 版本，再确认应用运行时兼容。不要仅仅因为教程截图相同，就选择某个镜像。

按照准备测量的工作负载选择 CPU、内存和磁盘，为更新、日志和临时文档处理预留空间。部署前核对当前配置与持续费用，包括可选服务。Vultr 的 Cloud Compute 配置指南说明了镜像、SSH 密钥、防火墙组和网络等选择项。

在可信的管理员设备上，按照对应操作系统的当前说明创建或选择 SSH 密钥。私钥留在管理员设备上；服务器和供应商只需要公钥。为密钥设置清晰名称，以便以后识别和移除旧访问权限。

创建实例时选择正确公钥。记录实例身份和恢复控制台入口。首次连接时，通过可信渠道核验服务器主机身份，不要直接接受异常的主机密钥警告。移除现有访问方式之前，先验证计划使用的非 root 管理员账户及其必要权限。

不要把修改供应商账户中的密钥记录，误认为更新现有服务器。Vultr 的 SSH 密钥指南警告，控制台中通过重新安装来更新密钥的流程会清空服务器。对于已有机器，应使用文档说明的系统内密钥管理方式，并在关闭第一条连接前，确认第二条会话能够正常登录。

列出明确的端口清单。典型 Web 应用的公开入口应是带身份验证的 HTTPS 服务。管理访问应限制在你已知的访问路径内。数据库、队列、模型网关和内部应用监听端口，通常不需要直接暴露在公网。

Vultr 防火墙组会把规则应用到已关联实例，并支持 IPv4 和 IPv6。确认正确的防火墙组确实已经关联；只创建一个组，并不能保护没有关联的实例。当前控制方式请查看防火墙组参考。

把宿主机防火墙作为独立层进行审核。启用限制性规则前，保留允许的管理路径，并确认配置出错时可以恢复。Vultr 的防火墙排障指南区分了供应商层与实例层的过滤。不要把诊断用的“关闭防火墙”步骤，复制成永久配置。

决定反向代理运行在宿主机上，还是容器网络内部。把服务绑定到适当的私有接口或内部网络，只发布设计中确实需要的端口。能够通过私有管理路径访问数据库时，不要为了方便直接开放数据库公网端口。

Docker 的防火墙文档说明，已发布容器端口的流量可能在进入 ufw 过滤规则之前就被转发。因此，ufw 显示“active”并不足以证明该端口无法从外部访问。理解所用的 Docker 网络模式，并从机器外部验证真实的网络边界。

从可信、具备文档的来源安装所选应用。添加真实凭据之前，审核配置、密钥处理、数据卷和工具权限。模型 API 密钥应保留在服务端。首先使用非敏感测试数据，以及无法执行重大操作的工具。

在宣布服务器就绪之前，记录以下检查的结果：

不要因为配置文件看起来正确，就把检查标记为通过。测试实际行为，并保留足够证据，以便变更后能够重复检查。如果暂时无法测试某项属性，将其标记为未验证，并暂缓授予依赖该属性的权限。

设置复查日期，并列出试验创建的全部资源。如果决定放弃，只保留必要数据，验证导出有效，再有序移除资源。在 Vultr，停止实例不等于停止计费；销毁则会删除实例数据。清理之前，请阅读计费政策。

单独检查残留存储、快照和其他订阅。正常关机是一次运维操作；彻底清理还涉及数据管理和账单，因此也需要独立验证。