特意看了一下，COS 里面 CDN 回源的费用是 0.15 元 1G ，CVM 走内网代理，流量费应该是 0 才对。如果他们只是靠请求头来识别流量的话，这个多出来的流量必须由他们背

我也倾向于 nginx 不用 docker ，只有在需要更换版本测试的时候会考虑到用 docker 来快速启动。本身 nginx 安装并不复杂，基本上发行版的包管理都带了，安装也就是一句命令的事，也不会和系统其他组件冲突。用了 docker 的话还要额外考虑配置文件、日志文件、静态资源文件的挂载，ssl 证书自动更新也要额外处理。反正使用 docker 的优势一个都没有体现，还额外增加了其他麻烦事。

哈哈，我也是粉丝之一

下单了，微信支付减了 10 元，然后外卖配送付了 10 块钱，还是 59 。

我也是非常不理解。

最近做了个 chrome 插件，插件需要自定义文心一言、通义千问、OpenAI 的密钥来使用。然后做好了测试的时候，发现插件只要指定了特定网站启用，访问接口的时候就会报跨域，只有 openai 能用。麻了。

十分不理解，一个对外开放调用的接口，为啥要做这个限制。

问了工单，说是为了安全，如果密钥要泄漏，怎么都能被刷。用限制前端调用的方式来来降低密钥泄漏的概率，我觉得意义真的不大。

20 核感觉真没必要，我用的 AMD 5700G 的小主机，配了 64G 内存。虚拟机开机之后平均负载都很低。常用的几个虚拟机打开占用都在 2%以下，把 4 节点的 k8s 集群 + harbor + jenkins + 软路由 + nfs 存储 这些都开启了之后，负载都不超过 10%，平均是 5%。 所以除非你开的每个虚拟机都满负载，能用到那么多核心，要不然真的没必要 20 ，只是开虚拟机跑测试程序的话，CPU 负载没有你想的那么高。

建议 1. 如果是要长期运行，可以考虑功耗不是那么高的。2. 不管现在要不要显卡，最好都要带一个显卡插槽(以后要用到扩展的时候就比较坑了，所以不要用小主机) 3. 还有网口最好起步两个，万兆的更好。4.电子产品买新不买旧。

可能和 crashkernel 配置有关，这个默认情况下机器内存越大，占用越多

用 arch 不如用 ubuntu 这样的发行版，现在一些官方发布的 linux 版本软件，基本都能适配 ubuntu 。

另外不得不说，windows 是才是最好用的 linux 桌面发行版

其实我觉得说 服务崩 和 开猿节流/降本增效 有关，调侃的成份要多一点 (并不是说没有关系，只是没有那么大)。
事故不管怎样都会发生，说 100%避免也不太现实，出不出事故和 是谁处理 / 多少成本 都没有必然的联系， 人 / 机器 都可能会出错，这个是没法完全避免的。而且就算没有裁员，也会有人主动离职，始终会有人离开和加入，想要人员不变动，也不现实，再说，人员即使不变动，服务也不可能 100%稳定。

如果是自己的东西，访问量/资源占用不高的情况下，费用肯定是 serverless 低。

serverless 的单价（单位时间的 CPU/内存/调用费用）要比 ECS 贵很多倍。

ECS 起步价格一个月都要几十块钱，也就是不管有没有用，都有一个最低消费在。
serverless 好处是没有最低消费，用多少资源花多少钱，只资源买单。
---

如果你只是做一个定时任务，每隔一个小时访问一个接口拉数据，用 ECS 一个月最低配的也要花十几块钱。但是这种场景换成 serverless ，基本成本就是 0 。

如果再极端一点，这个定时任务，跑的程序要用到 32G 内存，ECS 如果选个 32G 内存的机器，一个月不得几百块钱。这个换成 serverless ，成本肯定会比 ECS 低很多。

正因为 serverless 单价贵，所以如果你跑长时间高负载的任务，价格可能是同等规格的 ECS 的好几倍。

正常生活，不该节约的不要节约了。
别到时候去了一趟医院，一夜回到解放前。

基本上，遇到选机器配置的情况，我都是建议开 按量计费/竞价实例 实际测试一下，什么配置能选，什么配置不能选，基本上测试一下心里就有数了，开按量付费/竞价实例基本上也花不了多少钱。

如果内存能一次性放下所有的文档索引，磁盘 io 就算不用高配的，也没啥问题。数据量在几亿条，内存应该是够的。
如果是我的话，大概率会选几个 4C/32G ，700 一块钱/月。3 台正好 2100 。

我的建议是 ，可以开几个 按量计费/竞价实例 的 ECS 实例，把服务搭起来，数据导入进去，一天时间够测试完了，总费用不会超过 50 块钱。这样测试完了就知道该买什么配置的了。

这就是高端的商战嘛，第一次遇到这种的。

客户的网站能用 referer 限制一下频率嘛？针对这个来源的 referer 限制访问的频率，其他来源的忽略。

如果你的 centos7 一直没有 `yum update` 过，说实话那就没有必要换。

假如现在 server 的配置文件里面有：route 192.168.10.0 255.255.255.0 和 route 192.168.2.0 255.255.255.0
在没有其他的情况下，这两个配置会在 openvpn 服务器上添加两个路由指向 openvpn 的虚拟网关（不会有任何作用，因为 openvpn 不知道下一跳在哪里）

只有当你给 192.168.2.200 这个客户端推送了 iroute 192.168.10.0 255.255.255.0 之后，这里相当于告诉 openvpn 服务器，这个客户端拥有这个网段 192.168.10.0 ，所以只有有了这个配置之后，openvpn 服务端才会把到达网关的数据包发送给这个客户端。

所以，如果你要达到你的目的，路由器上必须要有 iroute 这个配置，也就是：iroute 192.168.10.0 255.255.255.0 ，它会告诉 openvpn 服务器，它这里有 192.168.10.0 这个网段。

你可以这样 debug 。

1. 首先，在 openvpn 服务器上 ping 一下 10.8.0.2 ，这个肯定是能通的。
2. 再在 openvpn 服务器上 ping192.168.10.1 ，这个如果不通，在 openvpn 服务器上抓包，只抓接口 tun0 的包，看包是不是去了 10.8.0.2 这个地址。如果没有包就加 route ，如果包下一跳没有到 10.8.0.2 ，那就路由器上加 iroute 。
3. 如果上一步，你看到包到了路由器，但是没有回包，你就登录路由器，用 tcpdump 抓包，看路由器有没有收到你的包，还是和上面一样。
4. 再在路由器上 ping 192.168.10.2 ，继续抓包，继续看数据包，如果到了路由器中断了，那就检查防火墙配置（我看了你贴的路由器配置，都是接受，按理说没问题）。
5. 如果最终，你在 192.168.10.2 这个机器上抓到了包，就往原路上跟着一步一步查，就能知道问题在哪里了。

---
其实我的网络和你差不太多，方案也是一样的，这样配置按理说其实没什么问题的。

@findwho
这位老哥 @blackeeper 是正解