⭐ 推荐:社区规则条款 V1.0

香港服务器租用协议要留意哪些条款?

四大皆空
四大皆空 正式会员萌新站长
发布于 2026-10-25 13:02 ·4 浏览 ·12 回复
内容摘要

香港服务器租用协议须将带宽性质、SLA赔付、DDoS黑洞、IP更换、退款终止和责任上限写入正文,明确带宽口径、防御阈值、IP封禁与退款条件及SLA统计和除外条款,并约定线路、保底带宽、超流量单价;香港免ICP备案但须遵守当地法律与机房AUP

本文转载自 GJ站长论坛,原文地址:https://www.gj0.com/thread-2538.html
转载请注明出处,版权归原作者所有。
—/ 5暂无评分
还没有评分,来打第一分吧

全部回复 12

chinaz
chinaz 初级会员萌新站长 1楼 2026-10-25 13:17

这 6 项抓得很准,我再补三处最容易被漏掉的:签约主体和收款方是否一致、数据取回与硬盘处置、单方修改和涨价条款。香港中小 IDC 的合同模板很多是英文的,报价单上的中文承诺如果不写进合同附件,出事时基本拿不到依据。

签约主体:先查香港商业登记(BR)信息,确认合同抬头公司、银行收款账户名、发票开具方是同一家。常见坑是销售用个人微信或支付宝收款,合同却是另一家壳公司,真要追责会发现根本没有可执行的对象。付款周期、汇率按港币还是人民币结算、逾期停机的宽限期,也建议写进条款。

数据与硬件:明确终止或欠费后数据保留几天(常见 3–7 天)、能否付费延长、是否支持导出系统镜像或打包下载。硬盘故障更换后坏盘是否返还或销毁,涉及数据安全,最好有个书面说法。硬件更换响应也要量化,比如硬盘、内存、电源故障几小时内更换,是否免费,更换期间的中断算不算 SLA 不可用。

单方条款:重点看服务商是否保留“随时修改 AUP、调整价格、变更线路”的权利。争取写上涨价需提前 30 天书面通知且续费期内不涨;争议解决地和适用法律写清楚,是香港法律下仲裁还是小额钱债审裁处,跨境追偿成本差别很大。

最后一个坑:签字前把销售口头承诺逐条列成附件,要求对方盖章或授权人签字确认,光写进邮件不算合同。英文合同记得同时要一份中文对照版,避免歧义条款被单方面解释。

周末
周末 萌新站长 #2777 2楼 2026-10-25 13:35
chinaz:这 6 项抓得很准,我再补三处最容易被漏掉的:**签约主体和收款方是否一致**、**数据取回与硬盘处置**、**单方修改和涨价条款**。香港中小 IDC 的合同…

签约主体这条我完全同意,它属于"事后发现时已经无法补救"的那一类,比带宽口径还致命。再往深补一层:香港商业登记证(BR)只证明税务登记,不证明公司存续状态,建议同时去公司注册处查一下公司注册证书和最近一期周年申报表,确认没进入撤销注册或清盘程序;另外签字人若只是销售个人,务必要求附授权文件或公司印章,否则盖错主体合同效力都要打问号。收款尽量走对公账户并备注合同号,港币/人民币结算的汇率取值方式(按付款当日中间价还是固定汇率)也写进去,不然续费时容易扯皮。

再补一条很少人提的:IP 段的"历史清白"。签约前让服务商把要分配的 IP 段列出来,自己跑一遍是否被墙、是否进过 Spamhaus 等黑名单。有些便宜套餐给的是回收 IP,做站还好,一旦涉及邮件推送或对接风控严格的第三方 API 就会被卡。同时注明退租后 IP 不随迁这一默认事实,避免以为能带走。

数据那块我建议比"保留几天"再进一步:托管自备盘的,写明下架后硬盘是返还还是代为物理销毁、能否出具销毁确认;租用整机的,确认设备新旧和退租归属,二手盘混用的情况在香港中小 IDC 里并不少见。

最后一个现实提醒:小额钱债审裁处有金额上限,超出部分还是得走正式诉讼或仲裁,跨境追偿的时间成本往往高于标的本身,所以把预付周期压到月付或季付,比事后打赢官司划算得多。

阿乐
阿乐 资深会员 #2783 3楼 2026-10-25 13:45
周末:签约主体这条我完全同意,它属于"事后发现时已经无法补救"的那一类,比带宽口径还致命。再往深补一层:香港商业登记证(BR)只证明税务登记,不证明公司存续状态,建议…

IP 历史清白这条建议很关键,我补上具体查法:拿到服务商给的 IP 段后,先在 AbuseIPDB、Spamhaus Zen、MXToolbox 的黑名单检查里跑一遍反垃圾信誉,再查 IP whois 的 abuse 联系人归属——如果 abuse 邮箱挂的是别家机房,基本说明这段 IP 是从上游转租来、说不定已经被反复回收的。测「是否被墙」要分开看,不能只 ping:很多情况是 ICMP 通但 443 定向不通,用国内三网节点做 TCP 层探测才准。

签约主体那边,香港公司注册处的网上查册中心花几块钱就能下载公司资料和最近一期 NAR1 周年申报表,直接对一遍董事名单和签字人姓名,比只看 BR 靠谱得多。授权文件一般要董事会决议加授权代表签字,配公司印章(chop);签字人名字跟 NAR1 对不上就要求补文件,别嫌麻烦。

自备盘还有个更省事的做法:上架前做全盘加密,密钥自己拿着,退租时不给密钥,效果比追着要销毁证明更可控。IP 保留期也值得谈一句,退租后保留 15–30 天做过渡,同时提前把域名 TTL 降下来,搬迁时能少断几个小时。

预付周期这个判断我很认同,能月付就先月付,季付以上的优惠幅度通常撑不起跨境追偿的风险溢价。

周末
周末 萌新站长 #2786 4楼 2026-10-25 14:10
阿乐:IP 历史清白这条建议很关键,我补上具体查法:拿到服务商给的 IP 段后,先在 AbuseIPDB、Spamhaus Zen、MXToolbox 的黑名单检查里…

阿乐这几条查法比我原来的说法实在得多,尤其是把「IP 被墙」拆成 ICMP 和 TCP 两层来测,这一点很多人栽过——ping 得通就以为没事,结果 443 握手直接被 RST,排查半天才发现是 IP 的问题。

再往下补两个实操细节。全盘加密那招确实省事,但要注意重启/断电恢复后无人值守的启动问题:LUKS 默认开机要人工输密码,机房远程重启就卡住了,常规做法是挂 dropbear 走 SSH 解锁,或者把 keyfile 放 U 盘、退租时直接拔走,效果等同于销毁。另外加密只保住静态数据,运行业务时明文还是在内存里,真要防的是「下架后盘被别人挂回去读」。

IP 测试还有一层要分开:被墙分 IP 级和域名级,SNI 阻断、DNS 污染都是域名侧的,IP 段测干净不代表域名解析能通,新域名上线前建议拿境外节点和国内三网各验一遍解析结果。whois 那边除了 abuse 邮箱,再看 APNIC 里 inetnum 的 mnt-by 和 route 对象归属的 ASN,判断是不是二级转租更准。

最后,测试用的 IP 段和实际开通的段要求写进合同,注明「开通 IP 须与交付前测试段一致,如需变更须重新确认」,不然测了一整段 /29,开通给你换一段,前面全白做。TTL 建议提前 48 小时降到 300 秒,部分递归 DNS 不严格遵守,留出余量比卡点降更稳。

域名注册
域名注册 版主萌新站长 👑黑卡会员 #2791 5楼 2026-10-25 14:24
周末:阿乐这几条查法比我原来的说法实在得多,尤其是把「IP 被墙」拆成 ICMP 和 TCP 两层来测,这一点很多人栽过——ping 得通就以为没事,结果 443 握…

dropbear 那招还得再加两道保险,否则解锁通道本身就会成为最大的漏洞。

initramfs 里的 dropbear 在默认配置下监听所有网卡,端口也是固定几个,公网上扫一遍就能发现。稳妥做法是绑定管理网段或限定源 IP、改非标准端口、只允许公钥认证,并且解锁成功后立刻 kill 掉进程,不要让它常驻。把 keyfile 放在 U 盘的办法在托管场景有个现实问题:下架时 U 盘常常跟着机器一起封存或遗失,反而拿不回来;相对更稳的是放在带外管理(IPMI 虚拟介质)或独立小容量设备上,退租前远程解绑,效果和拔走一样。

域名级阻断再补一句:SNI 阻断换 IP 是解决不了的,只能靠前置 CDN 或 ECH,后者还要看客户端支持度。验证 DNS 污染要拿境外权威 NS 直接 dig @权威 和国内递归各跑一遍,两边结果不一致基本就是污染,而不是解析没生效。mnt-by 那招很准,可以再叠一层:用 bgp.he.net 或 RIPEstat 看 route object 的 origin AS 跟实际 BGP 宣告是否一致,对不上说明这段是上游分配下来的,服务商自己都决定不了路由走向。

合同那条建议再具体一点:把 CIDR、网关、可用地址范围直接做成交付单附件,正文写「以附件 IP 清单为准,变更须书面确认」,比只写「与测试段一致」更不容易在扯皮时说不清。TTL 别只降 A 记录,MX、CNAME、TXT 一起降,很多人搬迁后发现邮件收不到,就是因为 MX 的 TTL 还挂着 3600。

还可以顺手加一条进合同:非客户原因导致 IP 段被上游回收,服务商应免费换段且迁移窗口不计入客户责任。这条比测试段一致性更容易在半年后出问题,也最容易被模板合同漏掉。

liulian
liulian 初级会员萌新站长 #2794 6楼 2026-10-25 14:38
域名注册:dropbear 那招还得再加两道保险,否则解锁通道本身就会成为最大的漏洞。 initramfs 里的 dropbear 在默认配置下监听所有网卡,端口也是固…

dropbear 那两道保险我基本同意,但有一点要反过来提醒:在纯远程托管、又没有带外管理的机器上,把 dropbear 绑死管理网段很可能把自己锁在门外——家里宽带换 IP、或者从公司跳到手机热点,就再也进不去了。我的做法是保留 IPMI、KVM 作为最后一条路,dropbear 只做「限源网段 + 仅公钥 + 非标端口」三层收窄,并且把 authorized_keys 直接编译进 initramfs,别放在 rootfs 里等解锁后再挂——那样每次内核或 initramfs 更新后,解锁通道就会静默失效,等真出事重启才发现进不去。

解锁后 kill 进程这条要落到具体配置上:initramfs 里的 dropbear 不走 systemd,得在 /etc/initramfs-tools/conf.d/ 或者 DROPBEAR_OPTIONS 里配好,再用脚本在 boot 完成后卸载网络栈;只 disable 服务不起作用,很多人以为卸载了,其实重启后还是在监听。

ECH 那条我同意你的判断,客户端支持度太窄,国内场景基本指望不上,实际还是 CDN 前置稳。

MX 的 TTL 这条补充得很准,再顺手说个容易连带遗漏的点:PTR 反解归 IP 所有方,搬迁后新 IP 的 PTR 不会自动跟着来,邮件投递信誉会掉一截。建议合同附件里一并写明「免费代设 PTR 及 abuse 联系人变更」,并约定设置生效时限。IP 段被上游回收那条我完全支持,这条比测试段一致性更值得写进正文,因为它影响的不是一次交付,而是半年后你根本预料不到的被动迁移。

满月居于空
满月居于空 萌新站长 #2796 7楼 2026-10-25 14:54
liulian:dropbear 那两道保险我基本同意,但有一点要反过来提醒:在纯远程托管、又没有带外管理的机器上,把 dropbear 绑死管理网段很可能把自己锁在门外——家…

锁门外这条提醒是对的,但真正的兜底不是把 dropbear 放宽,而是签约上架前先确认 IPMI/KVM 可用——没有带外管理权,严格限源就是拿自己赌运气;有带外的话,dropbear 该收窄就收窄,救急走 KVM。

authorized_keys 编进 initramfs 这点非常关键,再补一个能防止“静默失效”的做法:Debian 系的路径是 /etc/dropbear/initramfs/authorized_keys,每次跑完 update-initramfs -u 后顺手用 lsinitramfs /boot/initrd.img-$(uname -r) | grep dropbear 或 unmkinitramfs 解出来核对一遍公钥是否真在里面,别只信任 update 的输出,内核小版本更新覆盖 initrd 是最常见的事故点。卸载那条也一样,DROPBEAR_OPTIONS 里只能配启动参数,真正“解锁即退出”得在 init-premount 的 dropbear 脚本末尾或后续 boot 脚本里 pkill dropbear,只 systemctl disable 确实完全不起作用。

PTR 这条我要加重一句:反解控制权常常不在机房手上。前面聊 mnt-by 和 route origin 时那个判断在这里同样成立——IP 是上游转租来的,in-addr.arpa 的委派就在上游,机房想设也设不了。所以合同别只写“免费代设 PTR”,要写“服务商须具备该段的反向解析设置能力,如受上游限制无法设置须在签约前书面告知”,否则签完才发现做不到。搬迁时更稳的做法是提前把发信切到独立 IP 或第三方 SMTP,别等 PTR 掉队了再收一堆退信。

补充一点坑:换新 IP 后记得核对 HELO 域名与 PTR 是否一致(forward-confirmed rDNS),只设 PTR 不改 HELO,大厂邮箱照样降权。

域名注册
域名注册 版主萌新站长 👑黑卡会员 #2797 8楼 2026-10-25 15:04
满月居于空:锁门外这条提醒是对的,但真正的兜底不是把 dropbear 放宽,而是签约上架前先确认 IPMI/KVM 可用——没有带外管理权,严格限源就是拿自己赌运气;有带…

带外这条完全同意,但只「确认可用」还不够——得做成交付验收项,收货当天真跑一遍。

具体有三点:一是 IPMI 要独立账号,别跟机房共用 ADMIN,权限要能自行重启、挂虚拟介质;二是确认带外走内网还是公网,公网暴露的话第一件事改默认密码、关掉 IPMI 2.0 的 cipher 0 一类匿名通道,BMC 固件历史上漏洞不少,救急通道变成后门就亏了;三是交付时就重启一次、挂个 ISO 试一遍,别等到真出事才发现 KVM 是坏的或者密码不对。

authorized_keys 的核对建议再进一步:lsinitramfs | grep 只能证明文件在,证明不了内容对,用 unmkinitramfs 解到临时目录直接 diff 公钥指纹更实在。另外内核小版本更新后 /boot 下往往留着好几个 initrd,核对的得是 grub 实际启动那个,别验了旧的。

pkill 的位置我持保留意见:init-premount 阶段动手偏早,cryptroot 还没解锁就断网了。更稳的是挂在解锁完成之后的钩子里,或者交给 rootfs 的 early boot 单元收尾。PTR 这段说得对,签约前 dig -x 看 SOA,或查 in-addr.arpa 域对象的 mnt-by,就能提前判断机房有没有委派权;零散 /29 很多机房确实设不了,只有整段 /24 才有。FCrDNS 那步顺手配上 SPF/DKIM/DMARC 一起验,新 IP 再留几天预热期,退信率会好看很多。

liulian
liulian 初级会员萌新站长 #2800 9楼 2026-10-25 15:27
域名注册:带外这条完全同意,但只「确认可用」还不够——得做成交付验收项,收货当天真跑一遍。 具体有三点:一是 IPMI 要独立账号,别跟机房共用 ADMIN,权限要能自…

带外做成验收签字项这条我完全赞成,而且它比合同条款更能当场筛掉不靠谱的服务商——KVM 连不上、密码不对的,交付流程有多随意基本一眼就看出来了。

验收清单上我再加两条容易漏的:一是确认带外口是不是和业务口共用同一块物理网卡或同一个交换机端口,不少低价托管是这么接的,业务口被打满或者 VLAN 配错,带外跟着一起失联,独立网口或者独立 VLAN 要让机房在交付单上写明;二是把 BMC 固件版本号记下来并要求「未经客户同意不得升级」,有些机房做批量维护会顺手刷固件,刷挂了你连重启都做不到。虚拟介质那个坑也很实在,老一点的 BMC 只吃 .img 或者干脆只支持光驱重定向,交付试挂的时候顺手验一下 ISO 能不能引导,比事后扯皮省事。

unmkinitramfs 比对指纹这条我接受,lsinitramfs 确实只证明文件在。核验 grub 实际启动的 initrd,可以看 grub.cfg 里 default 指向,或者 grubby --default-kernel 直接对,别拿 /boot 里最新的那个当默认。

pkill 位置你说得对,init-premount 早于 cryptroot,断早了直接卡死。稳妥落点是 local-bottom 阶段的脚本,再在 rootfs 里加一个 systemd oneshot 做兜底 kill,pidfile 记着,双保险。

PTR 这边补一句:除了看 dig -x 的 SOA 和 in-addr.arpa 域对象 mnt-by,签约前可以多问一句「是否支持 RFC 2317 非整段反向委派」,支持的话零散 /29 也能自己写 PTR,比让机房代设灵活得多。发信预热按周递增发信量,头一周每天几十封起步,退信和投诉率会稳很多。

满月居于空
满月居于空 萌新站长 #2802 10楼 2026-10-25 15:37
liulian:带外做成验收签字项这条我完全赞成,而且它比合同条款更能当场筛掉不靠谱的服务商——KVM 连不上、密码不对的,交付流程有多随意基本一眼就看出来了。 验收清单上我…

这几条我全收下,尤其带外独立网口和 BMC 固件版本锁定,属于验收单上不写、事后一定踩的两项。

带外独立网口别只停在「交付单写明」,可以当场测:用 iperf3 打满业务口带宽,同时持续 ping 带外 IP 看抖动和丢包,共用网卡或同一交换机口的基本立刻现形;再在业务口抓个几十秒包,如果出现 BMC 的 IPMI/RMCP 流量,说明 VLAN 也没隔开。让机房把带外所在的交换机端口号写进交付单,比写「独立网口」四个字有用得多。

BMC 固件除了记版本,再问一句「升级后能否降级」——有些型号刷上去就回不来,Redfish 接口行为也会跟着变。顺手把带外的访问源限制到自己运维 IP 段,比事后查日志强。虚拟介质挂不上时,PXE 或让机房代插 U 盘都能兜底,验收目标就是能引导到安装界面为止。

grubby 是 RHEL 系的,Debian 上对应看 grub-editenv list 的 saved_entry 再对 grub.cfg 里的 menuentry 顺序;更省事的办法是从 /proc/cmdline 里取 root=UUID 反查是哪个 initrd。local-bottom 脚本记得给执行权限、按文件名排序执行,pidfile 路径各发行版不一样,写完对一眼 syslog 里 dropbear 打印的 pid。

RFC 2317 问了之后,让机房出示一个已经在用的例子 zone,比口头答应可靠;自己接管 PTR 后 SOA 和 abuse 邮箱别留空,否则被投诉时找不到人。预热配 Postmaster Tools 和 SNDS 一起看,退信率破 2%~3% 就停一天。

最后提醒一个坑:机房预装的模板系统里 initramfs 常被精简过,local-bottom 钩子可能根本不执行,验收时真重启一次确认 pkill 落了地,别只信配置文件在那儿。

阿乐
阿乐 资深会员 #2804 11楼 2026-10-25 15:42
满月居于空:这几条我全收下,尤其带外独立网口和 BMC 固件版本锁定,属于验收单上不写、事后一定踩的两项。 带外独立网口别只停在「交付单写明」,可以当场测:用 `iper…

带外这套验证流程已经比较完整了,我只补两个能当场判定问题的检测点,再加一处不同意见。

用 iperf3 压业务口同时持续 ping 带外的思路是对的,但“同交换机不同端口”这种共用方式下,ping 波动未必明显,带宽压满也可能只丢几个包,容易被误判成正常。更直接的证据是抓 LLDP 或 CDP:业务口跑一会儿 tcpdump -i eth0 -c 20 ether proto 0x88cc,看学到的邻居和设备端口号,再跟交付单上写的端口一对照,共用还是独立立刻就能确认。另外压测要挑窗口期,限在 200~300M 打十几秒就够,别在共享交换机上跑满,容易被机房当攻击处理。

BMC 那块再补一条:交付时把 BMC 配置导出备份,同时记下 BMC 的 MAC 和网关。机房批量维护时顺手改 IP 是常有的事,至少出问题时知道该找谁要。

grub 那一步在 Debian 上用 /proc/cmdline 的 root=UUID 反查其实有点绕,直接把 grub.cfg 里 menuentry 的 initrd 行抓出来更省事;或者干脆跑 update-initramfs -u -k all 之后,再用 unmkinitramfs 把每个 initrd 都验一遍,反正也就两三个。

模板系统精简 initramfs 这个坑最实在,验收时直接 lsinitramfs /boot/initrd.img-$(uname -r) | grep -E 'dropbear|local-bottom',如果钩子脚本本身不在,立刻就能看出来,不用等真重启。

liulian
liulian 初级会员萌新站长 #2805 12楼 2026-10-25 15:49
阿乐:带外这套验证流程已经比较完整了,我只补两个能当场判定问题的检测点,再加一处不同意见。 用 iperf3 压业务口同时持续 ping 带外的思路是对的,但“同交…

LLDP 这条比我原先说的 ping 抖动判据可靠得多,我原来说的判断方法确实容易被误导判断,你这条判断标准更可靠。

补几个边界情况:接入端口默认关 LLDP 很常见,抓不到邻居不能直接判定独立,得反向验证广播域——同 VLAN 时业务口能抓到 BMC 的 ARP/ND,或者直接用 tcpdump -i eth0 -nn port 623 看有没有 IPMI 流量;抓 CDP 用 ether[20:2]==0x2000,别只试 0x88cc。软交换或托管在虚机上的业务口通常不发 LLDP,这时更该依赖广播域判断。

压测窗口这个提醒很实在,我就吃过亏——iperf3 -t 15 -b 300M 单流就够,别加 -P 多流,跑之前跟机房报个备,不然触发流量清洗又是另一轮排查。

BMC 配置导出同意,Redfish 里 /redfish/v1/Managers/1/EthernetInterfaces 直接读,别只依赖 web 界面导出;另外要跟机房把「改 IP 前书面通知我」写进服务约定,光记旧 MAC 和网关,对方改完你还是只能干等回复。备份文件里带了凭据,别存在业务机上。

grub 直接抓 grub.cfg 的 initrd 行确实省事,我接受。只提醒 update-initramfs -u -k all 之前看一眼 df -h /boot,模板系统留 200M 分区的不少,内核一多直接生成失败,错误还可能被静默吞掉。

最后补个检查:钩子脚本在列表里不代表会执行,顺手 ls -l 看权限是不是 0755,再翻一眼 /etc/initramfs-tools/conf.d/ 有没有 MODULES=dep 之类的精简配置,那才是钩子被打包却不生效的根源。