在 VPS 上设置二级域名是一项将特定子域名（如 blog.example.com）指向服务器特定目录或服务的核心操作，这一过程不仅涉及 DNS 解析层面的指向，更需要在 Web 服务器软件中进行精确的虚拟主机配置，才能确保用户访问二级域名时获得正确的响应，通过合理的配置，用户可以在同一台 VPS 上托管多个网站或应用，实现资源的高效利用与业务逻辑的清晰分离。
DNS 解析层面的精准配置
实现二级域名访问的第一步是在域名服务商处进行正确的 DNS 解析设置，这是互联网将域名转换为 VPS IP 地址的基础，用户需要登录域名注册商（如阿里云、腾讯云、Cloudflare 等）的管理控制台，找到域名解析列表。
在此环节,A 记录是最常用的配置类型，用户需要添加一条新的主机记录，主机记录即为二级域名的前缀，例如欲设置 api.example.com，则在主机记录栏填写 api，记录值则填写 VPS 的公网 IP 地址，在某些场景下，如果需要将二级域名指向另一个域名（如 CDN 加速后的地址），则应选择 CNAME 记录。
值得注意的是,TTL（Time To Live） 值的设置至关重要，对于生产环境，建议设置为 600 秒或更短，这样在后续修改 IP 地址时，全球 DNS 服务器能更快地更新缓存，减少因 DNS 缓存导致的访问延迟，解析生效通常需要几分钟至 24 小时不等，可以使用 ping 或 nslookup 命令在本地终端验证解析是否已指向目标 VPS IP。
Web 服务器虚拟主机配置
DNS 解析生效后，流量虽然到达了 VPS，但 Web 服务器（如 Nginx 或 Apache）尚不知道如何处理这个二级域名的请求，必须通过配置虚拟主机来告知服务器：当接收到特定二级域名的请求时，应读取哪个目录下的文件或转发给哪个后端端口。
以目前主流的 Nginx 为例，配置的核心在于 server 块，用户需要在 Nginx 的配置目录（通常是 /etc/nginx/conf.d/ 或 /etc/nginx/sites-available/）下创建一个新的配置文件，在该文件中，server_name 指令必须明确填写完整的二级域名，server_name api.example.com;，通过 root 指令指定该域名对应的网站根目录，/var/www/api。
对于反向代理场景,例如将二级域名指向 VPS 上运行的 Node.js 或 Python 应用，则需要使用 location 块配合 proxy_pass 指令，将 tool.example.com 代理到本地运行的 3000 端口，配置如下：
server {
listen 80;
server_name tool.example.com;
location / {
proxy_pass http://127.0.0.1:3000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
配置完成后,必须执行 nginx -t 检查配置语法是否正确，随后执行 systemctl reload nginx 使配置生效，这一步确保了服务器层面的路由逻辑与 DNS 解析保持一致。
SSL 证书的部署与 HTTPS 强制跳转
为了符合现代浏览器的安全标准及百度 SEO 的优化要求，为二级域名配置 HTTPS 是必不可少的环节，未配置 SSL 的二级域名在浏览器中会被标记为“不安全”，且搜索引擎会降低其权重。
推荐使用 Let’s Encrypt 提供的免费 SSL 证书，通过 Certbot 工具，可以自动申请并部署证书，命令通常如下：certbot --nginx -d tool.example.com，该命令会自动修改 Nginx 配置文件，添加 SSL 证书路径及监听 443 端口的配置。
为了最大化安全性,应在 Nginx 配置中添加 HTTP 到 HTTPS 的强制跳转，这通常配置在监听 80 端口的 server 块中，使用 return 301 https://$host$request_uri; 指令，配置 HSTS（HTTP Strict Transport Security） 头部也是专业的安全实践，它能强制浏览器仅通过 HTTPS 连接，防止协议降级攻击。
防火墙与端口安全策略
在完成上述配置后,必须检查 VPS 的防火墙设置，无论是使用 ufw、firewalld 还是云服务商提供的安全组，都需要确保 HTTP（80） 和 HTTPS（443） 端口已对外开放。
如果二级域名用于非标准端口的服务（如 8080），出于安全考虑，不建议直接将非标准端口暴露在公网，最佳实践是仅开放 80 和 443 端口，通过 Nginx 反向代理内部端口，这样，Nginx 作为唯一的入口点，可以统一处理访问控制、IP 黑名单和请求过滤，从而隐藏后端服务的真实端口，增加攻击者的探测难度。
常见问题排查与性能优化
在配置过程中,404 Not Found 和 502 Bad Gateway 是最常见的错误，404 通常意味着 root 指令指向的目录路径错误，或者文件确实不存在；502 则通常意味着后端服务（如 PHP-FPM 或 Node.js）未启动，或者 proxy_pass 指向的端口错误，查看 Nginx 的 error.log 文件是定位问题最快的方法。
为了提升二级域名的访问速度,建议开启 Gzip 压缩，并对静态资源（如图片、CSS、JS）设置浏览器缓存，通过配置 expires 指令，可以减少重复请求对 VPS 带宽的压力，提升用户体验。
相关问答
Q1：设置二级域名后，访问时显示的是主域名的内容，这是什么原因？
A1：这通常是因为 Nginx 配置中 server_name 设置不当，或者该二级域名的请求被 Nginx 默认的 server 块拦截了，请检查配置文件，确保有一个独立的 server 块专门监听该二级域名，并且该配置文件已被正确包含在主配置文件中（include 指令），确认 DNS 解析是否已完全生效，避免本地缓存干扰。
Q2：是否可以使用通配符证书来保护所有二级域名？
A2：可以，使用 *.example.com 格式的通配符证书可以保护主域名下的所有二级域名，这对于需要频繁添加新二级域名的场景非常方便，无需为每个子域名单独申请证书，Let’s Encrypt 也支持通过 DNS 验证的方式申请通配符证书，但这需要具备在 DNS 服务商处自动添加 TXT 记录的权限。
如果您在 VPS 设置二级域名的过程中遇到任何疑问，或者有更复杂的反向代理需求，欢迎在下方留言，我们将为您提供进一步的解决方案。
