活动公告

系统通知
通知：2026夏日主题满意度调查
06-22 18:10
系统通知
通知：微软邮箱更换提醒
06-14 00:00
系统通知
通知：本站资源由网友上传分享，如有违规等问题请到版务模块进行投诉，资源失效请在帖子内回复要求补档，会尽快处理！
10-23 09:31
>社区 > 科技 > 经验交流 >帖子
本版发帖返回

使用轻量级Alpine Linux搭建高效稳定服务器的完全指南 从基础配置到安全优化一步步教你打造高性能服务器环境

这是个蓝孩子 当前离线 威震华夏关云长
SunJu_FaceMall

3万

主题

3079

科技点

3万

积分

执行版主

碾压王

积分
32876

塔罗立华奏
执行版主 发表于 2025-9-22 19:50:01 | 显示全部楼层 |阅读模式

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要 登录 才可以下载或查看，没有账号？立即注册

x
1. Alpine Linux简介

Alpine Linux是一个基于musl libc和BusyBox的轻量级Linux发行版，以其安全性、简洁性和高效性而闻名。与传统的Linux发行版相比，Alpine Linux具有以下显著优势：

• 极小的体积：基础Docker镜像仅约5MB，完整安装也只需几百MB空间
• 高安全性：默认使用musl libc而非glibc，并采用PaX和grsecurity补丁增强安全性
• 简单高效：包管理系统简单，启动速度快，资源占用少
• 适合容器化：是Docker官方推荐的默认基础镜像之一

这些特性使Alpine Linux成为构建高效稳定服务器的理想选择，特别是在资源受限环境或需要高安全性的场景中。

2. 安装Alpine Linux

2.1 准备工作

在开始安装之前，需要准备以下内容：

• 一台符合最低硬件要求的服务器（建议至少512MB RAM，2GB存储空间）
• Alpine Linux的ISO镜像文件（可从官方网站下载）
• 可通过网络访问的终端或控制台

2.2 安装步骤

1. 下载并创建启动介质

从Alpine Linux官网下载适合您服务器架构的ISO镜像（标准版或扩展版）。使用以下命令创建USB启动设备（以Linux系统为例）：
  2. # 检查USB设备名称（如/dev/sdb）
  3.    lsblk
  4.    
  5.    # 卸载USB设备（如果已挂载）
  6.    sudo umount /dev/sdb*
  7.    
  8.    # 将ISO写入USB设备
  9.    sudo dd if=alpine-standard-3.18.0-x86_64.iso of=/dev/sdb bs=4M status=progress
复制代码

1. 启动安装程序

将USB设备插入服务器，从USB启动。在启动菜单中选择”Boot Alpine Linux”进入临时系统。

1. 运行安装脚本

登录后（默认用户root，无密码），运行安装向导：
  2. setup-alpine
复制代码

1. 回答安装问题

安装程序会询问一系列问题，下面是典型配置：
  2. Keyboard layout: us
  3.    Hostname: alpine-server
  4.    Network interface: eth0
  5.    IP address: dhcp
  6.    NTP client: chrony
  7.    DNS domain: (留空)
  8.    DNS nameservers: 8.8.8.8 8.8.4.4
  9.    Root password: (设置安全的root密码)
  10.    Timezone: UTC
  11.    Proxy URL: (留空)
  12.    Mirror URL: http://dl-cdn.alpinelinux.org/alpine/
  13.    SSH server: openssh
  14.    Disk: sda
  15.    How to use disk: sys
复制代码

注意：选择”sys”模式会将Alpine Linux安装到磁盘并使其可启动，而不是”数据模式”（data）或”磁盘模式”（disk）。

1. 完成安装

安装完成后，重启系统：
  2. reboot
复制代码

系统将从硬盘启动，您可以使用设置的root密码登录。

3. 基础系统配置

3.1 更新系统

安装完成后，首先更新系统到最新版本：
  2. # 更新可用包列表
  3. apk update
  5. # 升级已安装的包
  6. apk upgrade
  8. # 如果有内核更新，需要重启系统
  9. reboot
复制代码

3.2 添加用户

出于安全考虑，不建议直接使用root账户进行日常操作。创建一个新用户并授予sudo权限：
  2. # 创建新用户（例如：admin）
  3. adduser admin
  5. # 安装sudo包
  6. apk add sudo
  8. # 配置sudoers文件，允许admin用户使用sudo
  9. echo "admin ALL=(ALL) ALL" >> /etc/sudoers
复制代码

3.3 配置网络

Alpine Linux使用/etc/network/interfaces文件来配置网络接口。编辑此文件以设置静态IP地址（如果之前选择了DHCP，现在可以更改为静态IP）：
  2. # 编辑网络配置文件
  3. vi /etc/network/interfaces
复制代码

添加以下内容（根据您的网络环境调整）：
  2. auto lo
  3. iface lo inet loopback
  5. auto eth0
  6. iface eth0 inet static
  7.     address 192.168.1.100
  8.     netmask 255.255.255.0
  9.     gateway 192.168.1.1
复制代码

重启网络服务以应用更改：
  2. # 重启网络服务
  3. /etc/init.d/networking restart
  5. # 或者重启整个系统
  6. reboot
复制代码

3.4 配置SSH服务

为了远程管理服务器，需要配置SSH服务：
  2. # 安装OpenSSH服务器（如果安装时未选择）
  3. apk add openssh
  5. # 启用并启动SSH服务
  6. rc-update add sshd
  7. service sshd start
复制代码

为了增强SSH安全性，编辑SSH配置文件：
  2. vi /etc/ssh/sshd_config
复制代码

建议进行以下修改：
  2. # 禁用root登录
  3. PermitRootLogin no
  5. # 仅允许密钥认证
  6. PasswordAuthentication no
  8. # 更改默认端口
  9. Port 2222
  11. # 仅允许特定用户登录
  12. AllowUsers admin
复制代码

重启SSH服务以应用更改：
  2. service sshd restart
复制代码

3.5 设置防火墙

Alpine Linux使用iptables作为防火墙。安装并配置基本防火墙规则：
  2. # 安装iptables
  3. apk add iptables
  5. # 创建基本防火墙规则
  6. iptables -F
  7. iptables -P INPUT DROP
  8. iptables -P FORWARD DROP
  9. iptables -P OUTPUT ACCEPT
  11. # 允许本地回环
  12. iptables -A INPUT -i lo -j ACCEPT
  14. # 允许已建立的连接
  15. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  17. # 允许SSH连接（根据之前设置的端口）
  18. iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
  20. # 允许HTTP和HTTPS（如果需要）
  21. iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  22. iptables -A INPUT -p tcp --dport 443 -j ACCEPT
  24. # 保存规则
  25. iptables-save > /etc/iptables/rules.v4
  27. # 创建启动脚本
  28. echo '#!/bin/sh' > /etc/local.d/iptables.start
  29. echo 'iptables-restore < /etc/iptables/rules.v4' >> /etc/local.d/iptables.start
  30. chmod +x /etc/local.d/iptables.start
  32. # 添加到启动项
  33. rc-update add local
复制代码

4. 服务器环境搭建

4.1 安装Web服务器

Nginx是一个高性能的Web服务器，适合在Alpine Linux上运行：
  2. # 安装Nginx
  3. apk add nginx
  5. # 创建网站目录
  6. mkdir -p /var/www/html
  8. # 创建简单的测试页面
  9. echo "<h1>Welcome to Alpine Linux Nginx Server</h1>" > /var/www/html/index.html
  11. # 配置Nginx
  12. vi /etc/nginx/nginx.conf
复制代码

基本的Nginx配置如下：
  2. user nginx;
  3. worker_processes auto;
  4. error_log /var/log/nginx/error.log;
  5. pid /var/run/nginx.pid;
  7. events {
  8.     worker_connections 1024;
  9. }
  11. http {
  12.     include /etc/nginx/mime.types;
  13.     default_type application/octet-stream;
  15.     log_format main '$remote_addr - $remote_user [$time_local] "$request" '
  16.                     '$status $body_bytes_sent "$http_referer" '
  17.                     '"$http_user_agent" "$http_x_forwarded_for"';
  19.     access_log /var/log/nginx/access.log main;
  21.     sendfile on;
  22.     tcp_nopush on;
  23.     tcp_nodelay on;
  24.     keepalive_timeout 65;
  25.     types_hash_max_size 2048;
  27.     server {
  28.         listen 80;
  29.         server_name localhost;
  31.         root /var/www/html;
  32.         index index.html index.htm;
  34.         location / {
  35.             try_files $uri $uri/ =404;
  36.         }
  38.         error_page 500 502 503 504 /50x.html;
  39.         location = /50x.html {
  40.             root /var/www/html;
  41.         }
  42.     }
  43. }
复制代码

启动Nginx并设置为开机自启：
  2. # 启动Nginx
  3. service nginx start
  5. # 设置为开机自启
  6. rc-update add nginx default
复制代码

如果您更喜欢使用Apache：
  2. # 安装Apache
  3. apk add apache2
  5. # 创建网站目录
  6. mkdir -p /var/www/localhost/htdocs
  8. # 创建简单的测试页面
  9. echo "<h1>Welcome to Alpine Linux Apache Server</h1>" > /var/www/localhost/htdocs/index.html
  11. # 启动Apache并设置为开机自启
  12. service apache2 start
  13. rc-update add apache2 default
复制代码

4.2 安装数据库服务器
  2. # 安装MariaDB
  3. apk add mariadb mariadb-client
  5. # 初始化数据库
  6. mysql_install_db --user=mysql --datadir=/var/lib/mysql
  8. # 启动MariaDB
  9. service mariadb start
  11. # 安全设置
  12. mysql_secure_installation
  14. # 设置为开机自启
  15. rc-update add mariadb default
复制代码
  2. # 安装PostgreSQL
  3. apk add postgresql postgresql-contrib
  5. # 初始化数据库
  6. /etc/init.d/postgresql setup
  8. # 启动PostgreSQL
  9. service postgresql start
  11. # 设置为开机自启
  12. rc-update add postgresql default
复制代码

4.3 安装PHP
  2. # 安装PHP及常用扩展
  3. apk add php8 php8-fpm php8-mysqli php8-pgsql php8-gd php8-curl php8-session php8-opcache
  5. # 配置PHP-FPM
  6. vi /etc/php8/php-fpm.d/www.conf
复制代码

修改以下配置：
  2. listen = /run/php/php8-fpm.sock
  3. listen.owner = nginx
  4. listen.group = nginx
  5. listen.mode = 0660
  6. user = nginx
  7. group = nginx
复制代码

启动PHP-FPM并设置为开机自启：
  2. # 启动PHP-FPM
  3. service php-fpm8 start
  5. # 设置为开机自启
  6. rc-update add php-fpm8 default
复制代码

4.4 配置Nginx支持PHP

编辑Nginx配置文件以支持PHP：
  2. vi /etc/nginx/nginx.conf
复制代码

在server块中添加以下配置：
  2. location ~ \.php$ {
  3.     fastcgi_pass unix:/run/php/php8-fpm.sock;
  4.     fastcgi_index index.php;
  5.     include fastcgi.conf;
  6. }
复制代码

创建PHP测试文件：
  2. echo "<?php phpinfo(); ?>" > /var/www/html/info.php
复制代码

重启Nginx以应用更改：
  2. service nginx restart
复制代码

5. 性能优化

5.1 系统级优化

编辑/etc/sysctl.conf文件以优化内核参数：
  2. vi /etc/sysctl.conf
复制代码

添加以下内容：
  2. # 增加文件描述符限制
  3. fs.file-max = 100000
  5. # 网络优化
  6. net.core.rmem_max = 16777216
  7. net.core.wmem_max = 16777216
  8. net.ipv4.tcp_rmem = 4096 87380 16777216
  9. net.ipv4.tcp_wmem = 4096 65536 16777216
  10. net.ipv4.tcp_fin_timeout = 30
  11. net.ipv4.tcp_keepalive_time = 1200
  12. net.ipv4.tcp_max_syn_backlog = 8192
  13. net.ipv4.tcp_max_tw_buckets = 5000
  14. net.ipv4.tcp_tw_reuse = 1
  15. net.ipv4.tcp_tw_recycle = 1
  16. net.ipv4.ip_local_port_range = 1024 65000
  18. # 虚拟内存优化
  19. vm.swappiness = 10
  20. vm.dirty_ratio = 60
  21. vm.dirty_background_ratio = 2
复制代码

应用更改：
  2. sysctl -p
复制代码

如果使用ext4文件系统，可以在/etc/fstab中添加挂载选项以优化性能：
  2. vi /etc/fstab
复制代码

修改根分区的挂载选项，添加noatime,nodiratime,data=writeback：
  2. /dev/sda1 / ext4 defaults,noatime,nodiratime,data=writeback 0 1
复制代码

5.2 服务优化

编辑Nginx配置文件进行性能优化：
  2. vi /etc/nginx/nginx.conf
复制代码

在http块中添加以下优化配置：
  2. # worker进程数，通常设置为CPU核心数
  3. worker_processes auto;
  5. # 每个worker进程的最大连接数
  6. worker_connections 2048;
  8. # 开启gzip压缩
  9. gzip on;
  10. gzip_vary on;
  11. gzip_min_length 1024;
  12. gzip_comp_level 6;
  13. gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;
  15. # 开启高效文件传输模式
  16. sendfile on;
  17. tcp_nopush on;
  18. tcp_nodelay on;
  20. # 保持连接超时时间
  21. keepalive_timeout 30;
  23. # 客户端请求头缓冲区大小
  24. client_header_buffer_size 4k;
  25. large_client_header_buffers 8 8k;
  27. # 开启文件缓存
  28. open_file_cache max=2048 inactive=20s;
  29. open_file_cache_valid 30s;
  30. open_file_cache_min_uses 2;
  31. open_file_cache_errors on;
复制代码

编辑PHP-FPM配置文件：
  2. vi /etc/php8/php-fpm.d/www.conf
复制代码

进行以下优化：
  2. # 进程管理器类型
  3. pm = dynamic
  5. # 最大子进程数
  6. pm.max_children = 50
  8. # 启动时创建的子进程数
  9. pm.start_servers = 5
  11. # 空闲时的最小子进程数
  12. pm.min_spare_servers = 5
  14. # 空闲时的最大子进程数
  15. pm.max_spare_servers = 35
  17. # 每个进程的最大请求数
  18. pm.max_requests = 500
  20. # PHP内存限制
  21. php_admin_value[memory_limit] = 128M
复制代码

对于MariaDB/MySQL，编辑配置文件：
  2. vi /etc/my.cnf.d/mariadb-server.cnf
复制代码

在[mysqld]部分添加以下优化配置：
  2. # 缓冲池大小，通常设置为系统内存的50-70%
  3. innodb_buffer_pool_size = 1G
  5. # 日志缓冲区大小
  6. innodb_log_buffer_size = 16M
  8. # 日志文件大小
  9. innodb_log_file_size = 256M
  11. # 刷新日志策略
  12. innodb_flush_log_at_trx_commit = 2
  14. # 查询缓存
  15. query_cache_type = 1
  16. query_cache_size = 128M
  17. query_cache_limit = 2M
  19. # 连接数
  20. max_connections = 200
  22. # 表缓存
  23. table_open_cache = 2000
  25. # 临时表
  26. tmp_table_size = 64M
  27. max_heap_table_size = 64M
  29. # 线程缓存
  30. thread_cache_size = 8
  32. # 慢查询日志
  33. slow_query_log = 1
  34. slow_query_log_file = /var/log/mysql/slow.log
  35. long_query_time = 2
复制代码

对于PostgreSQL，编辑配置文件：
  2. vi /etc/postgresql/postgresql.conf
复制代码

进行以下优化：
  2. # 连接数
  3. max_connections = 100
  5. # 共享缓冲区，通常设置为系统内存的25%
  6. shared_buffers = 512MB
  8. # 有效缓存大小，通常设置为系统内存的50%
  9. effective_cache_size = 1GB
  11. # 维护工作内存
  12. maintenance_work_mem = 128MB
  14. # 工作内存
  15. work_mem = 16MB
  17. # 检查点设置
  18. checkpoint_segments = 32
  19. checkpoint_completion_target = 0.9
  21. # 随机页面成本
  22. random_page_cost = 2.0
  24. # 统计信息收集
  25. stats_target = 100
  27. # 日志设置
  28. log_destination = 'stderr'
  29. logging_collector = on
  30. log_directory = 'pg_log'
  31. log_filename = 'postgresql-%Y-%m-%d_%H%M%S.log'
  32. log_statement = 'mod'
  33. log_min_duration_statement = 1000
复制代码

5.3 使用缓存服务
  2. # 安装Redis
  3. apk add redis
  5. # 配置Redis
  6. vi /etc/redis.conf
复制代码

进行以下优化：
  2. # 绑定地址
  3. bind 127.0.0.1
  5. # 端口
  6. port 6379
  8. # 最大内存使用量
  9. maxmemory 256mb
  11. # 内存淘汰策略
  12. maxmemory-policy allkeys-lru
  14. # 持久化
  15. save 900 1
  16. save 300 10
  17. save 60 10000
  19. # 启用AOF持久化
  20. appendonly yes
  21. appendfsync everysec
复制代码

启动Redis并设置为开机自启：
  2. # 启动Redis
  3. service redis start
  5. # 设置为开机自启
  6. rc-update add redis default
复制代码
  2. # 安装Memcached
  3. apk add memcached
  5. # 配置Memcached
  6. vi /etc/conf.d/memcached
复制代码

修改以下配置：
  2. MEMCACHED_OPTS="-m 256 -c 1024 -l 127.0.0.1"
复制代码

启动Memcached并设置为开机自启：
  2. # 启动Memcached
  3. service memcached start
  5. # 设置为开机自启
  6. rc-update add memcached default
复制代码

6. 安全优化

6.1 系统安全加固

除了之前的基本SSH配置外，还可以进行以下安全增强：
  2. # 编辑SSH配置文件
  3. vi /etc/ssh/sshd_config
复制代码

添加或修改以下配置：
  2. # 禁用空密码登录
  3. PermitEmptyPasswords no
  5. # 限制最大认证尝试次数
  6. MaxAuthTries 3
  8. # 禁用X11转发
  9. X11Forwarding no
  11. # 设置空闲超时时间
  12. ClientAliveInterval 300
  13. ClientAliveCountMax 2
  15. # 仅允许特定协议
  16. Protocol 2
  18. # 使用特定加密算法
  19. Ciphers chacha20-poly1305@openssl.com,aes256-gcm@openssl.com,aes128-gcm@openssl.com,aes256-ctr,aes192-ctr,aes128-ctr
  20. MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128@openssh.com
  21. KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
  23. # 使用特定密钥类型
  24. HostKey /etc/ssh/ssh_host_ed25519_key
  25. HostKey /etc/ssh/ssh_host_rsa_key
复制代码

重启SSH服务以应用更改：
  2. service sshd restart
复制代码
  2. # 安装fail2ban
  3. apk add fail2ban
  5. # 创建配置文件
  6. cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
  8. # 编辑配置文件
  9. vi /etc/fail2ban/jail.local
复制代码

配置SSH保护：
  2. [sshd]
  3. enabled = true
  4. port = 2222
  5. filter = sshd
  6. logpath = /var/log/messages
  7. maxretry = 3
  8. bantime = 3600
  9. findtime = 600
复制代码

启动fail2ban并设置为开机自启：
  2. # 启动fail2ban
  3. service fail2ban start
  5. # 设置为开机自启
  6. rc-update add fail2ban default
复制代码

6.2 网络安全

除了基本的防火墙规则外，还可以添加更严格的规则：
  2. # 创建防火墙脚本
  3. vi /etc/local.d/firewall.start
复制代码

添加以下内容：
  2. #!/bin/sh
  4. # 清除现有规则
  5. iptables -F
  6. iptables -X
  7. iptables -t nat -F
  8. iptables -t nat -X
  9. iptables -t mangle -F
  10. iptables -t mangle -X
  12. # 设置默认策略
  13. iptables -P INPUT DROP
  14. iptables -P FORWARD DROP
  15. iptables -P OUTPUT ACCEPT
  17. # 允许本地回环
  18. iptables -A INPUT -i lo -j ACCEPT
  20. # 允许已建立的连接
  21. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  23. # 允许ICMP（有限制）
  24. iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT
  26. # 允许SSH连接
  27. iptables -A INPUT -p tcp --dport 2222 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
  29. # 允许HTTP和HTTPS
  30. iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
  31. iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
  33. # 防止DDoS攻击
  34. iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
  36. # 防止端口扫描
  37. iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
  38. iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
  39. iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
  40. iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
  41. iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
  42. iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
  44. # 防止Ping洪水攻击
  45. iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
  46. iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
  48. # 保存规则
  49. iptables-save > /etc/iptables/rules.v4
复制代码

使脚本可执行：
  2. chmod +x /etc/local.d/firewall.start
复制代码

运行脚本：
  2. /etc/local.d/firewall.start
复制代码

TCP Wrappers提供了一层额外的安全保护，通过/etc/hosts.allow和/etc/hosts.deny文件控制对网络服务的访问：
  2. # 编辑hosts.allow
  3. vi /etc/hosts.allow
复制代码

添加以下内容：
  2. # 允许特定IP访问SSH
  3. sshd: 192.168.1.0/24, 10.0.0.1
  5. # 允许特定IP访问所有服务
  6. ALL: 192.168.1.100
复制代码
  2. # 编辑hosts.deny
  3. vi /etc/hosts.deny
复制代码

添加以下内容：
  2. # 拒绝所有其他访问
  3. ALL: ALL
复制代码

6.3 应用安全

编辑Nginx配置文件以增强安全性：
  2. vi /etc/nginx/nginx.conf
复制代码

在http块中添加以下安全配置：
  2. # 隐藏Nginx版本
  3. server_tokens off;
  5. # 添加安全头
  6. add_header X-Frame-Options "SAMEORIGIN" always;
  7. add_header X-Content-Type-Options "nosniff" always;
  8. add_header X-XSS-Protection "1; mode=block" always;
  9. add_header Referrer-Policy "strict-origin-when-cross-origin" always;
  10. add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https:; img-src 'self' data: https:; style-src 'self' 'unsafe-inline' https:; font-src 'self' data: https:" always;
  12. # SSL/TLS优化
  13. ssl_protocols TLSv1.2 TLSv1.3;
  14. ssl_prefer_server_ciphers on;
  15. ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
  16. ssl_session_timeout 1d;
  17. ssl_session_cache shared:SSL:50m;
  18. ssl_session_tickets off;
  19. ssl_stapling on;
  20. ssl_stapling_verify on;
  22. # 限制请求大小
  23. client_max_body_size 1M;
  25. # 禁止访问隐藏文件
  26. location ~ /\. {
  27.     deny all;
  28.     access_log off;
  29.     log_not_found off;
  30. }
  32. # 禁止访问备份文件
  33. location ~ ~$ {
  34.     deny all;
  35.     access_log off;
  36.     log_not_found off;
  37. }
  39. # 禁止访问特定文件类型
  40. location ~* \.(engine|inc|info|install|make|module|profile|test|po|sh|sql|theme|tpl(\.php)?|xtmpl)$|^(\..*|Entries.*|Repository|Root|Tag|Template)$|\.php_ {
  41.     deny all;
  42.     access_log off;
  43.     log_not_found off;
  44. }
复制代码

编辑PHP配置文件以增强安全性：
  2. vi /etc/php8/php.ini
复制代码

进行以下安全配置：
  2. # 禁用危险函数
  3. disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
  5. # 隐藏PHP版本
  6. expose_php = Off
  8. # 限制文件上传
  9. file_uploads = On
  10. upload_tmp_dir = /var/tmp
  11. upload_max_filesize = 2M
  12. max_file_uploads = 20
  14. # 限制内存使用
  15. memory_limit = 128M
  17. # 限制执行时间
  18. max_execution_time = 30
  19. max_input_time = 60
  21. # 会话安全
  22. session.cookie_httponly = 1
  23. session.cookie_secure = 1
  24. session.use_only_cookies = 1
  25. session.cookie_samesite = Strict
  27. # 错误报告
  28. display_errors = Off
  29. log_errors = On
  30. error_log = /var/log/php/error.log
  32. # 全局变量
  33. register_globals = Off
  35. # SQL安全
  36. magic_quotes_gpc = Off
  38. # 允许访问URL文件
  39. allow_url_fopen = Off
  40. allow_url_include = Off
  42. # 启用OPcache
  43. opcache.enable=1
  44. opcache.memory_consumption=128
  45. opcache.interned_strings_buffer=8
  46. opcache.max_accelerated_files=4000
  47. opcache.revalidate_freq=60
  48. opcache.fast_shutdown=1
  49. opcache.enable_file_override=0
  50. opcache.validate_timestamps=0
复制代码

创建PHP错误日志目录：
  2. mkdir -p /var/log/php
  3. touch /var/log/php/error.log
  4. chown nginx:nginx /var/log/php/error.log
复制代码

对于MariaDB/MySQL，执行以下安全操作：
  2. -- 删除匿名用户
  3. DELETE FROM mysql.user WHERE User='';
  5. -- 禁止root远程登录
  6. DELETE FROM mysql.user WHERE User='root' AND Host NOT IN ('localhost', '127.0.0.1', '::1');
  8. -- 删除测试数据库
  9. DROP DATABASE IF EXISTS test;
  10. DELETE FROM mysql.db WHERE Db='test' OR Db='test\\_%';
  12. -- 刷新权限
  13. FLUSH PRIVILEGES;
复制代码

对于PostgreSQL，执行以下安全操作：
  2. -- 修改postgres用户密码
  3. ALTER USER postgres WITH PASSWORD 'strong_password';
  5. -- 创建具有有限权限的应用用户
  6. CREATE USER app_user WITH PASSWORD 'app_password';
  7. CREATE DATABASE app_db;
  8. GRANT ALL PRIVILEGES ON DATABASE app_db TO app_user;
复制代码

6.4 系统监控与日志
  2. # 安装logrotate
  3. apk add logrotate
  5. # 创建Nginx日志轮转配置
  6. vi /etc/logrotate.d/nginx
复制代码

添加以下内容：
  2. /var/log/nginx/*.log {
  3.     daily
  4.     missingok
  5.     rotate 52
  6.     compress
  7.     delaycompress
  8.     notifempty
  9.     create 640 nginx adm
  10.     sharedscripts
  11.     postrotate
  12.         if [ -f /var/run/nginx.pid ]; then
  13.             kill -USR1 `cat /var/run/nginx.pid`
  14.         fi
  15.     endscript
  16. }
复制代码

创建PHP日志轮转配置：
  2. vi /etc/logrotate.d/php
复制代码

添加以下内容：
  2. /var/log/php/*.log {
  3.     daily
  4.     missingok
  5.     rotate 52
  6.     compress
  7.     delaycompress
  8.     notifempty
  9.     create 640 nginx adm
  10. }
复制代码
  2. # 安装监控工具
  3. apk add htop iotop vmstat
  5. # 安装和配置Monit
  6. apk add monit
  8. # 配置Monit
  9. vi /etc/monit/monitrc
复制代码

添加以下基本配置：
  2. set daemon 60
  3. set logfile syslog facility log_daemon
  4. set mailserver localhost
  5. set mail-format { from: monit@$HOST }
  6. set alert admin@example.com
  8. include /etc/monit/conf.d/*
复制代码

创建Nginx监控配置：
  2. mkdir -p /etc/monit/conf.d
  3. vi /etc/monit/conf.d/nginx
复制代码

添加以下内容：
  2. check process nginx with pidfile /var/run/nginx.pid
  3.     start program = "/etc/init.d/nginx start"
  4.     stop program = "/etc/init.d/nginx stop"
  5.     if failed port 80 protocol http then restart
  6.     if 3 restarts within 5 cycles then alert
复制代码

创建PHP-FPM监控配置：
  2. vi /etc/monit/conf.d/php-fpm
复制代码

添加以下内容：
  2. check process php-fpm with pidfile /var/run/php/php8-fpm.pid
  3.     start program = "/etc/init.d/php-fpm8 start"
  4.     stop program = "/etc/init.d/php-fpm8 stop"
  5.     if failed unixsocket /run/php/php8-fpm.sock then restart
  6.     if 3 restarts within 5 cycles then alert
复制代码

创建MariaDB监控配置：
  2. vi /etc/monit/conf.d/mariadb
复制代码

添加以下内容：
  2. check process mariadb with pidfile /var/run/mysqld/mysqld.pid
  3.     start program = "/etc/init.d/mariadb start"
  4.     stop program = "/etc/init.d/mariadb stop"
  5.     if failed host 127.0.0.1 port 3306 protocol mysql then restart
  6.     if 3 restarts within 5 cycles then alert
复制代码

启动Monit并设置为开机自启：
  2. # 启动Monit
  3. service monit start
  5. # 设置为开机自启
  6. rc-update add monit default
复制代码

7. 维护和备份

7.1 系统更新和维护

创建自动更新脚本：
  2. vi /usr/local/bin/update-system
复制代码

添加以下内容：
  2. #!/bin/sh
  4. # 更新包列表
  5. apk update
  7. # 升级所有包
  8. apk upgrade
  10. # 清理缓存
  11. apk cache clean
  13. # 记录更新日志
  14. logger -t update "System updated on $(date)"
复制代码

使脚本可执行：
  2. chmod +x /usr/local/bin/update-system
复制代码

创建每周自动更新任务：
  2. # 安装cron
  3. apk add cron
  5. # 启动cron服务
  6. service cron start
  7. rc-update add cron default
  9. # 添加每周更新任务
  10. echo "0 3 * * 0 /usr/local/bin/update-system" > /etc/crontabs/root
复制代码

创建磁盘空间监控脚本：
  2. vi /usr/local/bin/check-disk-space
复制代码

添加以下内容：
  2. #!/bin/sh
  4. # 设置警告阈值（百分比）
  5. WARNING_THRESHOLD=80
  6. CRITICAL_THRESHOLD=90
  8. # 获取根分区使用率
  9. DISK_USAGE=$(df / | awk 'NR==2 {print $5}' | sed 's/%//')
  11. # 检查是否超过阈值
  12. if [ "$DISK_USAGE" -ge "$CRITICAL_THRESHOLD" ]; then
  13.     echo "CRITICAL: Disk space is critically low at ${DISK_USAGE}% on $(hostname)" | logger -t disk-check
  14.     # 可以添加发送邮件或其他通知的代码
  15. elif [ "$DISK_USAGE" -ge "$WARNING_THRESHOLD" ]; then
  16.     echo "WARNING: Disk space is low at ${DISK_USAGE}% on $(hostname)" | logger -t disk-check
  17.     # 可以添加发送邮件或其他通知的代码
  18. fi
复制代码

使脚本可执行：
  2. chmod +x /usr/local/bin/check-disk-space
复制代码

添加到每日任务：
  2. echo "0 2 * * * /usr/local/bin/check-disk-space" >> /etc/crontabs/root
复制代码

7.2 备份策略

创建备份脚本：
  2. vi /usr/local/bin/backup-files
复制代码

添加以下内容：
  2. #!/bin/sh
  4. # 设置变量
  5. BACKUP_DIR="/var/backups"
  6. RETENTION_DAYS=30
  7. DATE=$(date +%Y%m%d)
  9. # 创建备份目录
  10. mkdir -p $BACKUP_DIR
  12. # 备份网站文件
  13. tar -czf $BACKUP_DIR/www-$DATE.tar.gz -C /var/www .
  15. # 备份系统配置
  16. tar -czf $BACKUP_DIR/config-$DATE.tar.gz \
  17.     /etc/nginx \
  18.     /etc/php8 \
  19.     /etc/postgresql \
  20.     /etc/my.cnf.d \
  21.     /etc/ssh \
  22.     /etc/iptables
  24. # 删除旧备份
  25. find $BACKUP_DIR -name "*.tar.gz" -type f -mtime +$RETENTION_DAYS -delete
  27. # 记录备份日志
  28. logger -t backup "File backup completed on $(date)"
复制代码

使脚本可执行：
  2. chmod +x /usr/local/bin/backup-files
复制代码

创建数据库备份脚本：
  2. vi /usr/local/bin/backup-databases
复制代码

添加以下内容：
  2. #!/bin/sh
  4. # 设置变量
  5. BACKUP_DIR="/var/backups"
  6. RETENTION_DAYS=30
  7. DATE=$(date +%Y%m%d)
  9. # 创建备份目录
  10. mkdir -p $BACKUP_DIR
  12. # 备份MariaDB/MySQL数据库
  13. mysqldump --all-databases --single-transaction --routines --triggers | gzip > $BACKUP_DIR/mysql-all-$DATE.sql.gz
  15. # 备份PostgreSQL数据库
  16. pg_dumpall -U postgres | gzip > $BACKUP_DIR/postgresql-all-$DATE.sql.gz
  18. # 删除旧备份
  19. find $BACKUP_DIR -name "*.sql.gz" -type f -mtime +$RETENTION_DAYS -delete
  21. # 记录备份日志
  22. logger -t backup "Database backup completed on $(date)"
复制代码

使脚本可执行：
  2. chmod +x /usr/local/bin/backup-databases
复制代码

添加到每日任务：
  2. echo "0 1 * * * /usr/local/bin/backup-files" >> /etc/crontabs/root
  3. echo "30 1 * * * /usr/local/bin/backup-databases" >> /etc/crontabs/root
复制代码

7.3 远程备份
  2. # 生成SSH密钥
  3. ssh-keygen -t rsa -b 4096 -f ~/.ssh/backup_key
  5. # 将公钥复制到远程服务器
  6. ssh-copy-id -i ~/.ssh/backup_key.pub user@remote-backup-server
复制代码
  2. vi /usr/local/bin/backup-remote
复制代码

添加以下内容：
  2. #!/bin/sh
  4. # 设置变量
  5. BACKUP_DIR="/var/backups"
  6. REMOTE_USER="backup"
  7. REMOTE_SERVER="backup.example.com"
  8. REMOTE_DIR="/backups/$(hostname)"
  9. SSH_KEY="$HOME/.ssh/backup_key"
  10. DATE=$(date +%Y%m%d)
  12. # 在远程服务器上创建目录
  13. ssh -i $SSH_KEY $REMOTE_USER@$REMOTE_SERVER "mkdir -p $REMOTE_DIR"
  15. # 同步备份文件到远程服务器
  16. rsync -avz -e "ssh -i $SSH_KEY" $BACKUP_DIR/ $REMOTE_USER@$REMOTE_SERVER:$REMOTE_DIR/
  18. # 记录备份日志
  19. logger -t backup "Remote backup completed on $(date)"
复制代码

使脚本可执行：
  2. chmod +x /usr/local/bin/backup-remote
复制代码

添加到每周任务：
  2. echo "0 4 * * 0 /usr/local/bin/backup-remote" >> /etc/crontabs/root
复制代码

8. 故障排除

8.1 常见问题及解决方案

如果系统无法启动，可以尝试以下方法：

1. 进入恢复模式

在启动过程中，在引导菜单选择”Boot Alpine Linux”后，按”e”键编辑启动参数，添加init=/bin/sh到内核行，然后按Ctrl+X或F10启动。

1. 检查文件系统
  2. fsck -y /dev/sda1
复制代码

1. 修复引导加载程序
  2. # 安装syslinux
  3.    apk add syslinux
  5.    # 安装引导加载程序
  6.    extlinux --install /boot
  8.    # 更新配置
  9.    update-extlinux
复制代码

如果遇到网络连接问题，可以尝试以下方法：

1. 检查网络接口状态
  2. ip a
复制代码

1. 检查网络服务状态
  2. service networking status
复制代码

1. 重启网络服务
  2. service networking restart
复制代码

1. 检查DNS配置
  2. cat /etc/resolv.conf
复制代码

1. 测试网络连接
  2. ping -c 4 8.8.8.8
  3.    ping -c 4 example.com
复制代码

如果服务无法启动，可以尝试以下方法：

1. 检查服务状态
  2. service nginx status
复制代码

1. 查看服务日志
  2. tail -f /var/log/nginx/error.log
复制代码

1. 手动启动服务并查看错误
  2. nginx -t
  3.    nginx
复制代码

1. 检查配置文件
  2. nginx -t
复制代码

如果服务器性能下降，可以尝试以下方法：

1. 检查系统资源使用情况
  2. htop
复制代码

1. 检查磁盘I/O
  2. iotop
复制代码

1. 检查内存使用
  2. free -h
  3.    vmstat
复制代码

1. 检查网络连接
  2. netstat -tuln
  3.    ss -tuln
复制代码

1. 检查进程状态
  2. ps aux
复制代码

8.2 日志分析

查看系统日志：
  2. # 查看系统日志
  3. cat /var/log/messages
  5. # 查看特定服务的日志
  6. grep "nginx" /var/log/messages
  8. # 实时查看日志
  9. tail -f /var/log/messages
复制代码

查看Nginx访问日志：
  2. # 查看访问日志
  3. cat /var/log/nginx/access.log
  5. # 查看错误日志
  6. cat /var/log/nginx/error.log
  8. # 分析访问日志，找出访问量最高的IP
  9. awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -10
  11. # 分析访问日志，找出访问量最高的页面
  12. awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -10
复制代码

查看PHP错误日志：
  2. # 查看PHP错误日志
  3. cat /var/log/php/error.log
  5. # 实时查看PHP错误日志
  6. tail -f /var/log/php/error.log
复制代码

查看数据库日志：
  2. # 查看MariaDB/MySQL错误日志
  3. cat /var/log/mysql/mysql.err
  5. # 查看PostgreSQL日志
  6. cat /var/log/postgresql/postgresql.log
复制代码

9. 结论

通过本指南，您已经学习了如何使用轻量级Alpine Linux搭建高效稳定的服务器环境。从基础安装到安全优化，我们详细介绍了每个步骤，并提供了实用的配置示例和代码。

Alpine Linux作为一个轻量级、安全且高效的Linux发行版，特别适合资源受限环境或需要高安全性的服务器场景。通过适当的配置和优化，您可以打造一个高性能、高可靠性的服务器环境。

请记住，服务器管理是一个持续的过程，需要定期更新、监控和维护。通过实施本指南中介绍的备份策略和监控措施，您可以确保服务器的长期稳定运行。

希望本指南能够帮助您成功搭建和管理您的Alpine Linux服务器。如果您有任何问题或需要进一步的帮助，请参考Alpine Linux官方文档或社区资源。
高性能, 存储空间
「七転び八起き（ななころびやおき）」
回复

使用道具 举报

返回列表 发新帖
您需要登录后才可以回帖 登录 | 立即注册
高级模式
B Color Image Link Quote Code Smilies

本版积分规则