结论先说：只关机不等于完全停费。测试机确定不用了，要走删除/释放，并把盘和弹性公网 IP 一并清掉；只是短期暂停、以后还要用，才适合只关机。 一、关机后哪些还在计费，先看实例类型 1. 普通按需实例（不含本地盘、不含 FPGA 卡、非裸金属）：关机后 vCPU、内存、镜像、GPU 不再计费，但系统盘、数据盘仍按云硬盘计费，弹性公网 IP 和带宽也按各自的计费方式继续计费。所以关机能省掉计算部分，却不是零账单。 2. 特殊实例要特别注意：裸金属、含本地盘、含 FPGA 卡的实例，以及竞享模式的竞价实例，关机后仍然计费，想停费只能删除实例。 二、确定不用的收尾步骤 1. 先备份：需要保留的数据先做云硬盘快照或整机镜像，确认备份可用后再删，删除后数据不可恢复。 2. 到弹性云服务器 ECS 控制台选中这台实例，执行删除；在删除确认页，不需要保留数据盘时勾选“删除云服务器挂载的数据盘”，不需要保留公网 IP 时勾选“释放云服务器绑定的弹性公网 IP 地址”。 3. 再到云硬盘控制台检查有没有残留的数据盘，到弹性公网 IP 和带宽控制台检查有没有未释放的 EIP，不需要的快照和镜像也一并清理。 4. 最后到费用中心核对账单，确认这台实例及关联资源不再持续出账。 三、一个容易忽略的提醒 普通实例关机后计算资源不再保留，再开机时可能因资源不足而失败，遇到这种情况可以稍后再试，或者考虑变更规格。 依据：华为云官方文档《弹性云服务器关机后还会计费吗？》https://support.huaweicloud.cn/ecs_faq/zh-cn_topic_0018124776.html 和《弹性云服务器怎样停止计费？》https://support.huaweicloud.cn/ecs_faq/zh-cn_topic_0046592591.html

先说结论：到期不会马上删数据，但也别把它当成长期存档。能不能续费找回、能留几天，取决于计费方式和你的账号等级，没有一个所有人都适用的固定天数。 一、到期后一般走三步1、宽限期：包年/包月到期没续费、按需欠费，先进宽限期。这段时间资源还能正常用，但这段时间的费用不会免，续费时会一并算进去，所以越早处理越划算。2、保留期：宽限期满了还没续费或缴清欠款，就进保留期。这时资源被冻结，不能正常用，云服务器会关机、磁盘读写受限，数据还在，但只能通过续费或充值解冻。解冻后也要自己开机、检查业务和数据是否正常。3、保留期满：还没处理，资源就被释放，系统盘和数据盘里的数据会被删除，无法找回。所以到期就删不对，一直留着也不对，关键看你卡在哪一步。 二、到底留几天？看账号等级（中国站，单位是自然日）V5：包年/包月宽限7天、保留15天；按需宽限7天、保留15天，两段加起来最长22天。V4和V3：包年/包月宽限7天、保留7天；按需宽限1天、保留7天。V2：包年/包月宽限1天、保留7天；按需宽限0天、保留7天，也就是欠费后直接进保留期。V1和V0：包年/包月宽限1天、保留1天；按需宽限0天、保留1天。等级由累计消费决定，等级越高越宽松，而且这段时间属于等级权益，不支持申请延长。所以低等级账号千万别按15天加15天去等，按需只有1天保留期的话，拖一天就可能没了。查自己的天数，以控制台费用中心里账号等级和续费管理中的到期提醒为准；促销活动或个别产品有单独说明的，以活动页和产品文档为准。 三、云硬盘和快照是不是同规则？大体同理，但要分开看：云服务器和它挂的云硬盘可能不是同一天到期，也可能计费方式不同，要分别续费，最好设成统一到期日。保留期内磁盘被冻结，续费能解冻；保留期满磁盘释放，数据同样无法找回。快照是另一回事：只有在释放之前就做好的快照，才可能用来新建云硬盘、把数据找回来；没做快照，释放后不能凭空恢复。重要数据最好再拷一份出来，不要只押在一台机器上。 四、建议的操作顺序1、还没到期：先做快照或镜像，重要数据再导出一份到本地或其他存储。2、刚到期或刚欠费：在宽限期内尽快续费或充值，能正常用的时候先把数据拷走，别拖到冻结。3、已进保留期：马上在费用中心续费管理里续费或缴清欠款，解冻后自行开机并核对数据完整性。4、控制台已经看不到实例：大概率已过保留期被释放，先联系客服确认，不要反复建同名资源去赌数据还在。 一句话总结：到期后数据不是立刻没，但宽限期加保留期一过就真的没了；能留几天看等级和计费方式，越早续费、越早备份，主动权越大。

先给结论：传统 LXC 没有“在 config 里配网卡代理”这种一键端口映射（那是 LXD 的 proxy device 才有的），所以入向暴露只能用 nftables/iptables 写 DNAT；Debian 12 默认就是 nftables，直接用 nft 命令写最稳。重启不丢的做法是规则固化到 /etc/nftables.conf 并启用 nftables 开机自启。 一、先给容器固定 IP（不做这步，规则迟早失效） DHCP 分配的 10.0.3.x 重启后可能变化，DNAT 规则里写的是 IP，地址一变就指空了。在 /var/lib/lxc/容器名>/config 里写死： lxc.net.0.type = vethlxc.net.0.link = lxcbr0lxc.net.0.flags = uplxc.net.0.ipv4.address = 10.0.3.101/24lxc.net.0.ipv4.gateway = 10.0.3.1 然后 lxc-stop -n 容器名> && lxc-start -n 容器名>，用 lxc-ls -f 确认拿到 10.0.3.101。 二、开转发，写 DNAT（宿主机 8080 → 容器 80） echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-lxc.conf && sysctl --system nft add table ip lxc_natnft add chain ip lxc_nat prerouting '{ type nat hook prerouting priority dstnat; }'nft add chain ip lxc_nat postrouting '{ type nat hook postrouting priority srcnat; }'nft add rule ip lxc_nat prerouting tcp dport 8080 dnat to 10.0.3.101:80nft add rule ip lxc_nat postrouting ip daddr 10.0.3.101 tcp dport 80 masqueradenft add rule ip filter FORWARD ip daddr 10.0.3.101 tcp dport 80 acceptnft add rule ip filter FORWARD ct state established,related accept 重点说下 FORWARD 这两条：Debian 12 上如果装过 Docker，FORWARD 链默认是 DROP，光有 DNAT 包照样被丢，这是“规则都在但就是不通”最常见的原因。 三、重启不丢：固化 + 开机自启 nft list ruleset > /etc/nftables.confsystemctl enable --now nftables 以后每次改完规则都重新保存一遍。注意 Debian 12 上别把 iptables-persistent 和 nft 混着用，统一用 nft 这一套最省心。 四、华为云安全组别漏 ECS 控制台 → 安全组 → 入方向加一条 TCP 8080（源地址按需收紧），实时生效不用重启。如果子网还绑了自定义网络 ACL，ACL 是无状态的，出入两个方向都要放行。 五、分段验证（按顺序，一步一定位） 1. lxc-attach -n 容器名> -- ss -lntp：确认服务监听的是 0.0.0.0:80。如果只绑了 127.0.0.1，DNAT 过去也是 connection refused，必须改应用配置。2. 宿主机上 curl http://10.0.3.101:80：不通查容器和网桥。3. 宿主机上 curl http://宿主机内网IP>:8080：不通查 DNAT/FORWARD，用 nft list chain ip lxc_nat prerouting 看计数涨不涨。4. 外网 curl http://:8080：不通查安全组/ACL。 一个易错点：在宿主机本机执行 curl 127.0.0.1:8080 不通不代表配错了，本机流量不走 prerouting 链，别被这个误导；自测用宿主机内网 IP 或 EIP。 补充回答你第二个问题：config 里的 lxc.net.0.ipv4.nat 只管容器出网的 SNAT，做不了“宿主机端口 → 容器端口”的入向映射，别在这上面花时间；真想要一键映射就换 LXD，用 lxc config device add 容器名> web proxy listen=tcp:0.0.0.0:8080 connect=tcp:127.0.0.1:80 一条命令搞定。

先说结论：你这个场景（只备到华为云 OBS、每天一个包、只留 7 天），选 obsutil 还是 rclone 差别不大，真正决定省不省钱的是三件事：走内网 endpoint、把分片调大、让 OBS 生命周期自己删旧包。下面给一套能直接跑的配置。 一、obsutil 还是 rclone？ 只在华为云内用、图省心 → obsutil。官方工具，对 OBS 的分片、断点续传、增量 sync 都有优化，配置一条命令搞定：obsutil config -i=AK -k=SK -e=内网endpoint。 以后可能同步到别的云/NAS → rclone。走 S3 兼容协议，provider 选 HuaweiOBS，通用性强。代价是每次 sync 都要 LIST 对比，请求数略多，参数要自己调。 二、省流量：同区域走内网 endpoint ECS 和 OBS 桶在同一区域时，用内网 endpoint 访问，上传流量走内网，不占公网带宽。rclone 的 S3 endpoint 填内网域名（控制台桶概览里有），obsutil 的 -e 参数同理。这是省流量最大的一笔，优先级最高。 三、省请求费：分片调大 + 对象数压到最少 OBS 请求费的大头在 PUT 次数，而分片上传每个分片都是一次 PUT：rclone 默认 --s3-chunk-size 只有 5MiB，一个 1GB 的包会被切成约 205 次 PUT；改成 128MiB 只要约 8 次 PUT。 另外两点：别传一堆碎文件，先在本地 tar.gz 打成一个包，一天只产生 1 个对象；用 copy 不用 sync——文件名带日期天然唯一，不需要同步语义，copy 还省掉了 LIST 目标端。 rclone copy /data/backup obs:mybucket/backup/$(date +%F) --s3-chunk-size 128M --s3-upload-concurrency 4 --s3-no-check-bucket --size-only 四、SQLite 一致性：别直接 tar 正在写的库 WAL 模式下直接打包 db 文件会拿到撕裂的页，恢复时报 malformed。先做在线热备，再打包： sqlite3 /data/app.db ".backup '/backup/app-$(date +%F).db'"tar -czf /backup/backup-$(date +%F).tar.gz -C /data app-$(date +%F).db docker-volumes docker-compose.yml 五、7 天自动清理：生命周期规则（0 请求） 控制台进桶 → 生命周期 → 新建两条规则，前缀都填 backup/：1）对象创建 7 天后过期删除；2）未完成的分段上传 3 天后清理（否则中断的分片会一直占容量计费）。服务端删除不消耗任何请求，比脚本里每天跑 delete 省。 注意三点：规则只支持前缀匹配，所以备份必须放独立前缀；时间粒度是天，实际删除会晚几小时，容量按 8 份估；别选低频/归档存储——低频最短 30 天、归档 90 天，7 天删会被补收最短存储费，标准存储最便宜。 六、定时脚本示例 #!/bin/bashset -eD=$(date +%F)sqlite3 /data/app.db ".backup '/backup/app-$D.db'"tar -czf /backup/backup-$D.tar.gz -C /data app-$D.db docker-volumes docker-compose.ymlrclone copy /backup/backup-$D.tar.gz obs:mybucket/backup/ --s3-chunk-size 128M --s3-no-check-bucket --size-onlyrm -f /backup/backup-$D.tar.gz /backup/app-$D.db cron 加 flock 防重入，避免某天备份超时导致两个进程叠加：17 3 * * * /usr/bin/flock -n /tmp/backup.lock /root/backup-obs.sh >> /var/log/backup.log 2>&1 上线前先 rclone copy --dry-run 核对一遍传输范围。按这套配下来：每天 1 个对象、约 8 次 PUT、同区域内网流量免费、7 天自动滚动清理，请求费基本可以忽略，存储包也只占 7~8 份的容量。