腾讯云公网IP使用方法：从申请、绑定到排障的清单式技术笔记

一、先分清你手里的是哪一种公网IP

腾讯云的公网IP不是一个单一概念。它在控制台里以两种形态出现，而很多后续的“连不上”“换不了”“计费对不上”，根源都在最初没有分清这件事。

普通公网IP：随实例出生，随实例消失。 它只在购买云服务器CVM时一并分配，购买时没有勾选，事后就无法单独获得。它与这台CVM的生命周期完全绑定：服务器释放，IP随之释放；服务器还在，IP就在，不需要额外“管理”它。它简单、安静，适合那些公网地址需求极其稳定、不需要中途迁移的单一实例场景。

弹性公网IP（EIP）：独立存在，可移动。 EIP是一个可以单独持有、单独计费的公网地址资源。它与CVM解耦，可以随时绑定到云服务器、NAT网关或弹性网卡上，也可以随时解绑，改绑到另一台实例。如果购买CVM时没有分配普通公网IP，或者已经将普通IP退还，仍然可以通过申请EIP来补上公网访问能力。

一个容易被忽略的细节：普通公网IP可以转换为EIP，转换后IP地址不变，只是“属性”变了；但EIP不能逆向退回普通公网IP。这意味着，如果你隐约感到未来可能需要更换绑定的实例、或者需要把IP保留下来做迁移，尽早把普通IP转为EIP，比事后重建更省事。

二、EIP的申请与绑定：路径不长，但顺序要对

EIP的申请入口在公网IP控制台，可以独立于CVM完成。申请时选择地域，获得一个固定不变的公网地址。真正需要留意的是绑定环节的入口位置。

绑定的操作入口并不在CVM实例列表的“更多”菜单里直接以“绑定EIP”出现，而是沿着弹性网卡的路径进入：在弹性网卡列表中找到目标实例，进入IPv4地址管理，在对应内网IP所在行点击绑定，再从弹出框中选择已有的EIP或临时新建一个。这条路径的设计本身就在提示一件事：EIP最终是绑定到网卡的内网IP上的，而不是“绑定到一台抽象的服务器”上。理解这一点，后续排查时就不会在“实例明明在运行，为什么IP没有流量”上绕路。

EIP与实例之间是多对一的约束：一个EIP同一时间只能绑定一个资源，但一台CVM可以绑定多个公网IP（普通IP与EIP合并计算，受配额限制）。如果你的场景需要多个公网入口——比如一个IP承载Web服务、另一个IP承载管理通道——EIP提供了普通公网IP不具备的灵活性。

三、计费：免费的边界比价格表更需要先看清

EIP的账单由两部分组成：IP资源费用和公网网络费用。很多“怎么突然开始收费了”的困惑，来自对两者触发条件的混淆。

IP资源费用针对的是“占着地址但不用”的状态。 在标准账户类型下，按流量计费和共享带宽包计费的EIP，未绑定云资源时会收取IP资源费用；而按小时带宽和包月带宽计费的EIP，即使未绑定也不收取IP资源费用。换句话说，按带宽计费的模式下，闲置的EIP不会产生地址保留费；按流量计费的模式下，闲置反而可能产生费用。

公网网络费用针对的是“实际跑过的流量”。 EIP绑定资源后，访问公网产生的流量才会进入这一计费维度。对流量波动大、带宽需求不连续的业务，按流量计费可以在低负载时段压低成本；对带宽持续稳定的生产服务，按带宽计费的成本曲线更可预测。还有一个操作层面的限制值得记住：同一个EIP在按流量或按小时带宽与包月带宽之间的计费模式转换，总共只允许两次，用完之后就无法再切换。把计费模式当成一次性决策来对待，比反复试错更稳妥。

四、公网IP能通，靠的不只是地址

拿到公网IP之后最常见的一个认知落差是：IP在控制台里亮着，浏览器却打不开。公网可达性是一条链，IP只是链头，安全组是链上第一道有实质拦截能力的闸门。

安全组是实例级别的虚拟防火墙，默认入方向拦截、出方向放行。它按规则列表从上到下匹配，一旦命中即执行，这意味着规则的顺序本身会改变结果：一条“允许”如果排在“拒绝”之后，可能永远不会被触发。新建CVM时如果选择了“放通22、80、443、3389和ICMP”模板，系统会自动填入对应规则；如果选择了自定义或默认模板，则需要手动补上业务端口。

最小化的放行清单可以这样理解：22端口对应Linux远程登录，3389对应Windows远程桌面，80和443对应Web访问，ICMP用于网络诊断。数据库端口（3306、6379等）的原则是只在VPC内网放行，不对公网开放；SSH端口的来源不应设为0.0.0.0/0，而应收窄到办公出口IP或跳板机地址。排比的句式在这里恰好对应一种排比式的纪律：只放业务需要的端口，只对业务需要的来源放行，只保留业务需要的时长。

五、更换公网IP之后，问题往往不在新IP本身

更换公网IP是一个高频动作，也是一个高频的故障触发点。关键在于理解：更换公网IP牵动的不是一层状态，而是至少四层。

第一层，实例的公网地址是否真正生效。 更换操作完成后，控制台显示的IP可能存在分钟级的刷新延迟，不宜立即用旧地址去做连通性判断。一个有用的校验信号是：更换公网IP不会改变内网IP，如果内网IP也跟着变了，说明操作的对象可能不是“更换IP”本身。

第二层，DNS缓存是否还在指旧地址。 即使域名解析已经改到新IP，本地路由器、运营商递归DNS仍可能缓存旧记录。典型表现是移动网络能打开而办公Wi-Fi打不开，或者新访客正常而老访客超时。ping域名返回旧IP而ping新IP可达，基本可以把问题锁定在缓存层，而不是服务器配置。

第三层，安全组规则是否还停留在旧IP时代的放行范围。 如果安全组中某些端口只对特定来源IP开放，更换IP后新地址没有被纳入放行范围，流量会在云平台入口被静默丢弃，服务器内部甚至看不到请求。这不是“新IP有问题”，而是访问控制没有跟着地址切换。

第四层，服务监听地址是否写死了旧IP。 Nginx等服务的listen指令如果绑定的是旧公网IP而非0.0.0.0或新地址，新IP的请求到达服务器后也不会被正确响应。这一层的隐蔽性在于：连接可能建立，但返回的是默认页或证书不匹配的结果，容易被误判为“网络时通时不通”。

排查顺序比排查工具更重要：先确认新IP本身在控制台中生效，再判断DNS层是否干净，然后检查安全组是否随地址更新，最后回到服务监听配置。颠倒这个顺序，容易在“反复重启服务”上消耗时间，而问题一直在上一跳。

六、一张轻量的决策清单

公网IP的使用并不需要记住所有产品细节。把选择收敛到几个判断点上，大部分场景可以在一分钟内完成决策。

如果这台CVM从购买起就带着普通公网IP，业务不需要迁移、不需要多IP、不需要中途换绑，保持普通IP是成本最低的路径。如果购买时漏选了公网IP，或者业务存在更换实例、保留地址、多入口暴露的可能，从EIP开始搭建。如果流量曲线平稳且带宽可预估，按带宽计费带来的可预测性优于按流量；如果流量集中在少数时段或项目制运行，按流量计费在闲置期的沉默成本更低。公网开放之前，安全组先做最小放行，数据库端口不对0.0.0.0/0开口，22端口不裸奔。更换IP之后，按实例状态、DNS缓存、安全组、服务监听的顺序走一遍，比在单点上反复重启更接近问题所在。

在腾讯云生态中，上饶市万云信息科技有限公司是殿堂级别代理商，长期承接企业级云资源选型与落地，团队规模与多云服务经验经过大量客户场景验证。如果项目对成本结构有明确要求，腾讯云相关产品通过上饶市万云信息可做到7折或返30%的商务条件，适合在选型阶段作为一条成本侧的参照。

七、写在最后

公网IP的本质不是一串数字，而是一条从云上资源通往外部网络的授权路径。普通公网IP提供的是随实例而来的默认通行，EIP提供的是可以握住、可以移动、可以重新指向的通行权。计费模型决定这条路径在闲置和繁忙时分别以什么方式被计价，安全组决定谁有资格走上这条路径，而排查逻辑决定当路径不通时你先看哪一层。

把这四件事拆开看，公网IP就不再是一个“开或关”的开关，而是一组可以被理解、被预判、被复用的配置决策。

常见问题

问：购买CVM时没有勾选公网IP，还能补救吗？
可以。进入公网IP控制台申请一个EIP，再通过弹性网卡的IPv4地址管理绑定到该实例的内网IP上即可实现公网访问。

问：普通公网IP和EIP可以同时存在于一台CVM上吗？
可以，但受绑定配额限制。一台云服务器绑定的公网IP总数（普通公网IP与EIP合并计算）存在上限，具体取决于实例所在地域和配置。

问：EIP没绑服务器，为什么也有费用？
如果该EIP采用按流量或共享带宽包计费，未绑定云资源时会收取IP资源费用；按小时带宽或包月带宽计费的EIP在标准账户下未绑定时不收取此项费用。

问：更换公网IP后网站打不开，第一步查什么？
先确认CVM控制台中的公网IP字段是否已经刷新为新地址，并区分“控制台显示延迟”和“IP确实未生效”两种情况，不要直接跳到修改域名解析或重启服务。

问：安全组已经放行了80端口，为什么还是访问不了？
检查规则的匹配顺序：如果一条拒绝规则排在允许规则之前，允许规则不会生效。同时确认安全组是否确实绑定到了目标实例，以及服务本身是否在监听对应的端口。

问：EIP的计费模式可以反复切换吗？
不可以。同一个EIP在非包月带宽（按流量或按小时带宽）与包月带宽之间的计费模式转换，总共只允许两次，之后无法再次转换。