活动公告

系统通知
通知：关于部分勋章领取条件及购买价格调整的通知
05-18 21:22
系统通知
通知：本站资源由网友上传分享，如有违规等问题请到版务模块进行投诉，资源失效请在帖子内回复要求补档，会尽快处理！
10-23 09:31
>社区 > 科技 > 经验交流 >帖子
本版发帖返回

全面解析Gentoo Linux系统下Web服务器的搭建配置优化与安全防护从零开始一步步教你打造高性能高可用性网站服务平台的完整教程

这是个蓝孩子 当前离线 威震华夏关云长
SunJu_FaceMall

3万

主题

2860

科技点

3万

积分

白金月票

碾压王

积分
32872

塔罗立华奏
<font color=白金月票" /> 发表于 2025-9-24 15:50:16 | 显示全部楼层 |阅读模式

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要 登录 才可以下载或查看，没有账号？立即注册

x
引言

Gentoo Linux是一个高度可定制的发行版，以其性能优化和灵活性而闻名。作为Web服务器平台，Gentoo提供了精确控制软件编译选项的能力，允许管理员针对特定硬件和工作负载进行优化。本教程将指导读者从零开始在Gentoo Linux上搭建、配置、优化和保护一个高性能、高可用性的Web服务器。

系统准备

Gentoo Linux安装

首先，我们需要一个基本的Gentoo Linux系统。Gentoo的安装过程相对复杂，但这也正是其灵活性的体现。

1. 下载最新的Gentoo安装媒介：wget https://bouncer.gentoo.org/fetch/root/all/releases/amd64/autobuilds/current-install-amd64-minimal/install-amd64-minimal-20220710T214653Z.iso
2. 创建启动USB设备：dd if=install-amd64-minimal-20220710T214653Z.iso of=/dev/sdX bs=4M status=progress
3. 从USB启动并按照Gentoo手册进行安装。关键步骤包括：磁盘分区和文件系统创建stage3归档文件下载和解压配置编译选项（make.conf）安装基础系统配置内核安装系统工具
4. 磁盘分区和文件系统创建
5. stage3归档文件下载和解压
6. 配置编译选项（make.conf）
7. 安装基础系统
8. 配置内核
9. 安装系统工具

下载最新的Gentoo安装媒介：
  2. wget https://bouncer.gentoo.org/fetch/root/all/releases/amd64/autobuilds/current-install-amd64-minimal/install-amd64-minimal-20220710T214653Z.iso
复制代码

创建启动USB设备：
  2. dd if=install-amd64-minimal-20220710T214653Z.iso of=/dev/sdX bs=4M status=progress
复制代码

从USB启动并按照Gentoo手册进行安装。关键步骤包括：

• 磁盘分区和文件系统创建
• stage3归档文件下载和解压
• 配置编译选项（make.conf）
• 安装基础系统
• 配置内核
• 安装系统工具

系统基础配置

安装完成后，进行一些基础配置：

1. 更新系统：emerge --sync
emerge -avuDN @world
2. 配置时区：echo "Asia/Shanghai" > /etc/timezone
emerge --config sys-libs/timezone-data
3. 配置主机名：nano /etc/conf.d/hostname
# 设置主机名为webserver
hostname="webserver"
4. 配置网络：nano /etc/conf.d/net
# 对于DHCP
config_eth0="dhcp"
# 或静态IP
#config_eth0="192.168.1.100 netmask 255.255.255.0"
#routes_eth0="default via 192.168.1.1"
5. 添加网络服务到启动级别：rc-update add net.eth0 default
6. 安装必要的系统工具：emerge -av app-admin/sysklogd app-admin/logrotate sys-process/cronie sys-apps/which app-misc/screen
rc-update add syslogd default
rc-update add cronie default

更新系统：
  2. emerge --sync
  3. emerge -avuDN @world
复制代码

配置时区：
  2. echo "Asia/Shanghai" > /etc/timezone
  3. emerge --config sys-libs/timezone-data
复制代码

配置主机名：
  2. nano /etc/conf.d/hostname
  3. # 设置主机名为webserver
  4. hostname="webserver"
复制代码

配置网络：
  2. nano /etc/conf.d/net
  3. # 对于DHCP
  4. config_eth0="dhcp"
  5. # 或静态IP
  6. #config_eth0="192.168.1.100 netmask 255.255.255.0"
  7. #routes_eth0="default via 192.168.1.1"
复制代码

添加网络服务到启动级别：
  2. rc-update add net.eth0 default
复制代码

安装必要的系统工具：
  2. emerge -av app-admin/sysklogd app-admin/logrotate sys-process/cronie sys-apps/which app-misc/screen
  3. rc-update add syslogd default
  4. rc-update add cronie default
复制代码

Web服务器选择与安装

Web服务器软件比较

在Gentoo Linux中，有几个流行的Web服务器选择：

1. Apache HTTP Server：优点：功能丰富，模块众多，文档完善，社区支持广泛缺点：资源消耗相对较高，默认配置下性能不如Nginx
2. 优点：功能丰富，模块众多，文档完善，社区支持广泛
3. 缺点：资源消耗相对较高，默认配置下性能不如Nginx
4. Nginx：优点：高性能，低内存占用，处理静态文件效率高，反向代理能力强缺点：模块生态系统不如Apache丰富，某些高级功能需要额外配置
5. 优点：高性能，低内存占用，处理静态文件效率高，反向代理能力强
6. 缺点：模块生态系统不如Apache丰富，某些高级功能需要额外配置
7. Lighttpd：优点：轻量级，低资源消耗，适合小型站点缺点：功能和扩展性不如Apache和Nginx
8. 优点：轻量级，低资源消耗，适合小型站点
9. 缺点：功能和扩展性不如Apache和Nginx

Apache HTTP Server：

• 优点：功能丰富，模块众多，文档完善，社区支持广泛
• 缺点：资源消耗相对较高，默认配置下性能不如Nginx

Nginx：

• 优点：高性能，低内存占用，处理静态文件效率高，反向代理能力强
• 缺点：模块生态系统不如Apache丰富，某些高级功能需要额外配置

Lighttpd：

• 优点：轻量级，低资源消耗，适合小型站点
• 缺点：功能和扩展性不如Apache和Nginx

对于本教程，我们将选择Nginx作为主要Web服务器，因为它在性能和资源使用方面具有优势，同时也能满足大多数Web服务需求。

安装Nginx

1. 安装Nginx：emerge -av www-servers/nginx
2. 添加Nginx到启动级别：rc-update add nginx default
3. 启动Nginx服务：/etc/init.d/nginx start

安装Nginx：
  2. emerge -av www-servers/nginx
复制代码

添加Nginx到启动级别：
  2. rc-update add nginx default
复制代码

启动Nginx服务：
  2. /etc/init.d/nginx start
复制代码

安装PHP（如果需要）

对于动态网站，我们通常需要PHP支持：

1. 安装PHP-FPM：emerge -av dev-lang/php
# 确保fpm USE标志被启用
2. 配置PHP-FPM：nano /etc/php/fpm-php7.4/php.ini
# 根据需要调整PHP设置
3. 添加PHP-FPM到启动级别：rc-update add php-fpm default
4. 启动PHP-FPM服务：/etc/init.d/php-fpm start

安装PHP-FPM：
  2. emerge -av dev-lang/php
  3. # 确保fpm USE标志被启用
复制代码

配置PHP-FPM：
  2. nano /etc/php/fpm-php7.4/php.ini
  3. # 根据需要调整PHP设置
复制代码

添加PHP-FPM到启动级别：
  2. rc-update add php-fpm default
复制代码

启动PHP-FPM服务：
  2. /etc/init.d/php-fpm start
复制代码

安装数据库（如果需要）

对于需要数据库支持的网站，我们安装MariaDB：

1. 安装MariaDB：emerge -av dev-db/mariadb
2. 配置MariaDB：emerge --config dev-db/mariadb
3. 添加MariaDB到启动级别：rc-update add mysql default
4. 启动MariaDB服务：/etc/init.d/mysql start
5. 安全设置：mysql_secure_installation

安装MariaDB：
  2. emerge -av dev-db/mariadb
复制代码

配置MariaDB：
  2. emerge --config dev-db/mariadb
复制代码

添加MariaDB到启动级别：
  2. rc-update add mysql default
复制代码

启动MariaDB服务：
  2. /etc/init.d/mysql start
复制代码

安全设置：
  2. mysql_secure_installation
复制代码

基本配置

Nginx基本配置

1. 编辑主配置文件：nano /etc/nginx/nginx.conf
2.
  2. 基本配置示例：
  3. “`nginx
  4. user nginx nginx;
  5. worker_processes auto;
  6. worker_rlimit_nofile 65535;
复制代码

编辑主配置文件：
  2. nano /etc/nginx/nginx.conf
复制代码

基本配置示例：
“`nginx
user nginx nginx;
worker_processes auto;
worker_rlimit_nofile 65535;

error_log /var/log/nginx/error_log info;

events {
  2. worker_connections 2048;
  3.    use epoll;
  4.    multi_accept on;
复制代码

}

http {
  2. include /etc/nginx/mime.types;
  3.    default_type application/octet-stream;
  5.    log_format main
  6.        '$remote_addr - $remote_user [$time_local] "$request" '
  7.        '$status $body_bytes_sent "$http_referer" '
  8.        '"$http_user_agent" "$http_x_forwarded_for"';
  10.    access_log /var/log/nginx/access_log main;
  12.    sendfile on;
  13.    tcp_nopush on;
  14.    tcp_nodelay on;
  15.    keepalive_timeout 65;
  16.    types_hash_max_size 2048;
  17.    server_tokens off;
  19.    include /etc/nginx/conf.d/*.conf;
  20.    include /etc/nginx/sites-enabled/*;
复制代码

}
  2. ### 配置虚拟主机
  4. 1. 创建站点配置目录：
  5.    ```bash
  6.    mkdir -p /etc/nginx/sites-available /etc/nginx/sites-enabled
复制代码

1. 创建默认站点配置：nano /etc/nginx/sites-available/default
2.
  2. 默认站点配置示例：server {
  3.    listen 80 default_server;
  4.    server_name _;
  6.    root /var/www/localhost/htdocs;
  7.    index index.html index.htm;
  9.    location / {
  10.        try_files $uri $uri/ =404;
  11.    }
  13.    # 禁止访问隐藏文件
  14.    location ~ /\. {
  15.        deny all;
  16.        access_log off;
  17.        log_not_found off;
  18.    }
  20.    # 错误页面
  21.    error_page 404 /404.html;
  22.    error_page 500 502 503 504 /50x.html;
  23.    location = /50x.html {
  24.        root /var/www/localhost/htdocs;
  25.    }
  26. }
复制代码
3. 启用站点：ln -s /etc/nginx/sites-available/default /etc/nginx/sites-enabled/
4.
  2. 创建网站根目录和测试页面：mkdir -p /var/www/localhost/htdocs
  3. echo "<html><body><h1>It works!</h1></body></html>" > /var/www/localhost/htdocs/index.html
  4. chown -R nginx:nginx /var/www/localhost/htdocs
复制代码
5. 测试Nginx配置：nginx -t
6. 重新加载Nginx配置：/etc/init.d/nginx reload

创建默认站点配置：
  2. nano /etc/nginx/sites-available/default
复制代码

默认站点配置示例：
  2. server {
  3.    listen 80 default_server;
  4.    server_name _;
  6.    root /var/www/localhost/htdocs;
  7.    index index.html index.htm;
  9.    location / {
  10.        try_files $uri $uri/ =404;
  11.    }
  13.    # 禁止访问隐藏文件
  14.    location ~ /\. {
  15.        deny all;
  16.        access_log off;
  17.        log_not_found off;
  18.    }
  20.    # 错误页面
  21.    error_page 404 /404.html;
  22.    error_page 500 502 503 504 /50x.html;
  23.    location = /50x.html {
  24.        root /var/www/localhost/htdocs;
  25.    }
  26. }
复制代码

启用站点：
  2. ln -s /etc/nginx/sites-available/default /etc/nginx/sites-enabled/
复制代码

创建网站根目录和测试页面：
  2. mkdir -p /var/www/localhost/htdocs
  3. echo "<html><body><h1>It works!</h1></body></html>" > /var/www/localhost/htdocs/index.html
  4. chown -R nginx:nginx /var/www/localhost/htdocs
复制代码

测试Nginx配置：
  2. nginx -t
复制代码

重新加载Nginx配置：
  2. /etc/init.d/nginx reload
复制代码

配置PHP支持

1. 创建PHP站点配置：nano /etc/nginx/sites-available/php-test
2.
  2. PHP站点配置示例：server {
  3.    listen 80;
  4.    server_name php-test.example.com;
  6.    root /var/www/php-test;
  7.    index index.php index.html index.htm;
  9.    location / {
  10.        try_files $uri $uri/ =404;
  11.    }
  13.    location ~ \.php$ {
  14.        fastcgi_pass unix:/run/php/php-fpm.sock;
  15.        fastcgi_index index.php;
  16.        include fastcgi_params;
  17.        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  18.        fastcgi_param PATH_INFO $fastcgi_path_info;
  19.    }
  21.    # 禁止访问隐藏文件
  22.    location ~ /\. {
  23.        deny all;
  24.        access_log off;
  25.        log_not_found off;
  26.    }
  27. }
复制代码
3. 启用PHP站点：ln -s /etc/nginx/sites-available/php-test /etc/nginx/sites-enabled/
4.
  2. 创建PHP测试站点：mkdir -p /var/www/php-test
  3. echo "<?php phpinfo(); ?>" > /var/www/php-test/index.php
  4. chown -R nginx:nginx /var/www/php-test
复制代码
5. 测试Nginx配置并重新加载：nginx -t && /etc/init.d/nginx reload

创建PHP站点配置：
  2. nano /etc/nginx/sites-available/php-test
复制代码

PHP站点配置示例：
  2. server {
  3.    listen 80;
  4.    server_name php-test.example.com;
  6.    root /var/www/php-test;
  7.    index index.php index.html index.htm;
  9.    location / {
  10.        try_files $uri $uri/ =404;
  11.    }
  13.    location ~ \.php$ {
  14.        fastcgi_pass unix:/run/php/php-fpm.sock;
  15.        fastcgi_index index.php;
  16.        include fastcgi_params;
  17.        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  18.        fastcgi_param PATH_INFO $fastcgi_path_info;
  19.    }
  21.    # 禁止访问隐藏文件
  22.    location ~ /\. {
  23.        deny all;
  24.        access_log off;
  25.        log_not_found off;
  26.    }
  27. }
复制代码

启用PHP站点：
  2. ln -s /etc/nginx/sites-available/php-test /etc/nginx/sites-enabled/
复制代码

创建PHP测试站点：
  2. mkdir -p /var/www/php-test
  3. echo "<?php phpinfo(); ?>" > /var/www/php-test/index.php
  4. chown -R nginx:nginx /var/www/php-test
复制代码

测试Nginx配置并重新加载：
  2. nginx -t && /etc/init.d/nginx reload
复制代码

性能优化

Nginx性能优化

1. 编辑Nginx主配置文件：nano /etc/nginx/nginx.conf
2.
  2. 优化worker进程和连接：
  3. “`nginx根据CPU核心数设置worker进程数worker_processes auto;
复制代码

编辑Nginx主配置文件：
  2. nano /etc/nginx/nginx.conf
复制代码

优化worker进程和连接：
“`nginx

worker_processes auto;

# 增加每个worker的最大连接数
   events {
  2. worker_connections 4096;
  3.    use epoll;
  4.    multi_accept on;
复制代码

}
  2. 3. 优化HTTP参数：
  3.    ```nginx
  4.    http {
  5.        # 启用gzip压缩
  6.        gzip on;
  7.        gzip_vary on;
  8.        gzip_min_length 1024;
  9.        gzip_comp_level 6;
  10.        gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;
  11.       
  12.        # 优化缓冲区大小
  13.        client_body_buffer_size 10K;
  14.        client_header_buffer_size 1k;
  15.        client_max_body_size 8m;
  16.        large_client_header_buffers 4 4k;
  17.       
  18.        # 优化超时设置
  19.        client_body_timeout 12;
  20.        client_header_timeout 12;
  21.        keepalive_timeout 15;
  22.        send_timeout 10;
  23.       
  24.        # 启用文件缓存
  25.        open_file_cache max=200000 inactive=20s;
  26.        open_file_cache_valid 30s;
  27.        open_file_cache_min_uses 2;
  28.        open_file_cache_errors on;
  29.    }
复制代码

PHP性能优化

1. 编辑PHP-FPM配置：nano /etc/php/fpm-php7.4/php-fpm.conf
2.
  2. 优化PHP-FPM进程管理：
  3. “`ini
  4. [global]
  5. pid = run/php-fpm.pid
  6. error_log = log/php-fpm.log
复制代码

编辑PHP-FPM配置：
  2. nano /etc/php/fpm-php7.4/php-fpm.conf
复制代码

优化PHP-FPM进程管理：
“`ini
[global]
pid = run/php-fpm.pid
error_log = log/php-fpm.log

[www]
   user = nginx
   group = nginx

listen = /run/php/php-fpm.sock
   listen.owner = nginx
   listen.group = nginx
   listen.mode = 0660

pm = dynamic
   pm.max_children = 50
   pm.start_servers = 5
   pm.min_spare_servers = 5
   pm.max_spare_servers = 35
   pm.max_requests = 500
  2. 3. 编辑PHP配置：
  3.    ```bash
  4.    nano /etc/php/fpm-php7.4/php.ini
复制代码

1. 优化PHP设置：
“`ini
memory_limit = 128M
max_execution_time = 30
max_input_time = 60
upload_max_filesize = 8M
post_max_size = 8M

; 启用OPcache
   opcache.enable=1
   opcache.memory_consumption=128
   opcache.interned_strings_buffer=8
   opcache.max_accelerated_files=4000
   opcache.revalidate_freq=60
   opcache.fast_shutdown=1
   opcache.enable_cli=1
  2. ### 系统级优化
  4. 1. 调整系统内核参数：
  5.    ```bash
  6.    nano /etc/sysctl.conf
复制代码

1. 添加以下内核参数：
“`conf增加文件描述符限制fs.file-max = 100000

添加以下内核参数：
“`conf

fs.file-max = 100000

# 网络优化
   net.core.rmem_max = 16777216
   net.core.wmem_max = 16777216
   net.ipv4.tcp_rmem = 4096 87380 16777216
   net.ipv4.tcp_wmem = 4096 65536 16777216
   net.ipv4.tcp_fin_timeout = 30
   net.ipv4.tcp_keepalive_time = 120
   net.ipv4.tcp_max_syn_backlog = 65536
   net.core.netdev_max_backlog = 65536
   net.ipv4.tcp_syncookies = 1
   net.ipv4.tcp_tw_reuse = 1
   net.ipv4.tcp_max_tw_buckets = 5000
   net.ipv4.ip_local_port_range = 1024 61000
  2. 3. 应用内核参数：
  3.    ```bash
  4.    sysctl -p
复制代码

1. 增加文件描述符限制：nano /etc/security/limits.conf
2. 添加以下内容：
“`confsoft nofile 65535hard nofile 65535”`
3. soft nofile 65535
4. hard nofile 65535

增加文件描述符限制：
  2. nano /etc/security/limits.conf
复制代码

添加以下内容：
“`conf

• soft nofile 65535
• hard nofile 65535

”`

缓存配置

1. 安装Redis作为缓存服务器：emerge -av dev-db/redis
2. 配置Redis：nano /etc/redis.conf
3. 基本Redis配置：bind 127.0.0.1
port 6379
daemonize yes
supervised systemd
loglevel notice
logfile /var/log/redis/redis.log
dir /var/lib/redis/
maxmemory 256mb
maxmemory-policy allkeys-lru
4. 启动Redis并添加到启动级别：/etc/init.d/redis start
rc-update add redis default
5. 安装PHP Redis扩展：emerge -av dev-php/pecl-redis
6. 配置PHP使用Redis：nano /etc/php/fpm-php7.4/ext/redis.ini
7.
  2. 添加以下内容：extension=redis.so
  3. session.save_handler = redis
  4. session.save_path = "tcp://127.0.0.1:6379"
复制代码

安装Redis作为缓存服务器：
  2. emerge -av dev-db/redis
复制代码

配置Redis：
  2. nano /etc/redis.conf
复制代码

基本Redis配置：
  2. bind 127.0.0.1
  3. port 6379
  4. daemonize yes
  5. supervised systemd
  6. loglevel notice
  7. logfile /var/log/redis/redis.log
  8. dir /var/lib/redis/
  9. maxmemory 256mb
  10. maxmemory-policy allkeys-lru
复制代码

启动Redis并添加到启动级别：
  2. /etc/init.d/redis start
  3. rc-update add redis default
复制代码

安装PHP Redis扩展：
  2. emerge -av dev-php/pecl-redis
复制代码

配置PHP使用Redis：
  2. nano /etc/php/fpm-php7.4/ext/redis.ini
复制代码

添加以下内容：
  2. extension=redis.so
  3. session.save_handler = redis
  4. session.save_path = "tcp://127.0.0.1:6379"
复制代码

高可用性配置

负载均衡设置

1. 安装Keepalived：emerge -av sys-cluster/keepalived
2. 配置Keepalived：nano /etc/keepalived/keepalived.conf
3.
  2. 主服务器配置示例：
  3. “`conf
  4. vrrp_script chk_nginx {
  5.    script “killall -0 nginx”
  6.    interval 2
  7.    weight 2
  8. }
复制代码

安装Keepalived：
  2. emerge -av sys-cluster/keepalived
复制代码

配置Keepalived：
  2. nano /etc/keepalived/keepalived.conf
复制代码

主服务器配置示例：
“`conf
vrrp_script chk_nginx {
   script “killall -0 nginx”
   interval 2
   weight 2
}

vrrp_instance VI_1 {
  2. state MASTER
  3.    interface eth0
  4.    virtual_router_id 51
  5.    priority 101
  6.    advert_int 1
  7.    authentication {
  8.        auth_type PASS
  9.        auth_pass yourpassword
  10.    }
  11.    virtual_ipaddress {
  12.        192.168.1.100/24 dev eth0
  13.    }
  14.    track_script {
  15.        chk_nginx
  16.    }
复制代码

}
  2. 4. 备份服务器配置示例：
  3.    ```conf
  4.    vrrp_script chk_nginx {
  5.        script "killall -0 nginx"
  6.        interval 2
  7.        weight 2
  8.    }
  9.    
  10.    vrrp_instance VI_1 {
  11.        state BACKUP
  12.        interface eth0
  13.        virtual_router_id 51
  14.        priority 100
  15.        advert_int 1
  16.        authentication {
  17.            auth_type PASS
  18.            auth_pass yourpassword
  19.        }
  20.        virtual_ipaddress {
  21.            192.168.1.100/24 dev eth0
  22.        }
  23.        track_script {
  24.            chk_nginx
  25.        }
  26.    }
复制代码

1. 启动Keepalived并添加到启动级别：/etc/init.d/keepalived start
rc-update add keepalived default
  2. /etc/init.d/keepalived start
  3. rc-update add keepalived default
复制代码

Nginx负载均衡配置

1. 创建负载均衡配置：nano /etc/nginx/conf.d/load-balancer.conf
2.
  2. 负载均衡配置示例：
  3. “`nginx
  4. upstream backend {
  5.    # 负载均衡方法：轮询(默认)、least_conn、ip_hash
  6.    least_conn;server backend1.example.com weight=5;
  7.    server backend2.example.com weight=5;
  8.    server backend3.example.com weight=3 backup;# 健康检查
  9.    keepalive 32;
  10. }
复制代码

创建负载均衡配置：
  2. nano /etc/nginx/conf.d/load-balancer.conf
复制代码

负载均衡配置示例：
“`nginx
upstream backend {
   # 负载均衡方法：轮询(默认)、least_conn、ip_hash
   least_conn;

server backend1.example.com weight=5;
   server backend2.example.com weight=5;
   server backend3.example.com weight=3 backup;

# 健康检查
   keepalive 32;
}

server {
  2. listen 80;
  3.    server_name loadbalancer.example.com;
  5.    location / {
  6.        proxy_pass http://backend;
  7.        proxy_set_header Host $host;
  8.        proxy_set_header X-Real-IP $remote_addr;
  9.        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  10.        proxy_connect_timeout 2s;
  11.    }
复制代码

}
  2. ### 数据库主从复制
  4. 1. 配置主数据库服务器：
  5.    ```bash
  6.    nano /etc/mysql/my.cnf
复制代码

1.
  2. 主数据库配置：[mysqld]
  3. server-id = 1
  4. log-bin = mysql-bin
  5. binlog-do-db = your_database
复制代码
2. 重启MySQL服务：/etc/init.d/mysql restart
3.
  2. 创建复制用户：CREATE USER 'repl'@'%' IDENTIFIED BY 'password';
  3. GRANT REPLICATION SLAVE ON *.* TO 'repl'@'%';
  4. FLUSH PRIVILEGES;
复制代码
4. 获取主数据库状态：SHOW MASTER STATUS;
5. 配置从数据库服务器：nano /etc/mysql/my.cnf
6.
  2. 从数据库配置：[mysqld]
  3. server-id = 2
  4. relay-log = mysql-relay-bin
复制代码
7. 重启从数据库服务：/etc/init.d/mysql restart
8.
  2. 配置从数据库连接主数据库：CHANGE MASTER TO
  3. MASTER_HOST='master_database_ip',
  4. MASTER_USER='repl',
  5. MASTER_PASSWORD='password',
  6. MASTER_LOG_FILE='mysql-bin.000001',
  7. MASTER_LOG_POS=107;
复制代码
9. 启动从数据库复制：START SLAVE;
10. 检查从数据库状态：SHOW SLAVE STATUS\G

主数据库配置：
  2. [mysqld]
  3. server-id = 1
  4. log-bin = mysql-bin
  5. binlog-do-db = your_database
复制代码

重启MySQL服务：
  2. /etc/init.d/mysql restart
复制代码

创建复制用户：
  2. CREATE USER 'repl'@'%' IDENTIFIED BY 'password';
  3. GRANT REPLICATION SLAVE ON *.* TO 'repl'@'%';
  4. FLUSH PRIVILEGES;
复制代码

获取主数据库状态：
  2. SHOW MASTER STATUS;
复制代码

配置从数据库服务器：
  2. nano /etc/mysql/my.cnf
复制代码

从数据库配置：
  2. [mysqld]
  3. server-id = 2
  4. relay-log = mysql-relay-bin
复制代码

重启从数据库服务：
  2. /etc/init.d/mysql restart
复制代码

配置从数据库连接主数据库：
  2. CHANGE MASTER TO
  3. MASTER_HOST='master_database_ip',
  4. MASTER_USER='repl',
  5. MASTER_PASSWORD='password',
  6. MASTER_LOG_FILE='mysql-bin.000001',
  7. MASTER_LOG_POS=107;
复制代码

启动从数据库复制：
  2. START SLAVE;
复制代码

检查从数据库状态：
  2. SHOW SLAVE STATUS\G
复制代码

安全防护

防火墙配置

1. 安装并配置iptables：emerge -av net-firewall/iptables
2. 创建防火墙规则脚本：nano /etc/firewall.sh
3. 防火墙规则示例：
“`bash
#!/bin/sh

安装并配置iptables：
  2. emerge -av net-firewall/iptables
复制代码

创建防火墙规则脚本：
  2. nano /etc/firewall.sh
复制代码

防火墙规则示例：
“`bash
#!/bin/sh

# 清除现有规则
   iptables -F
   iptables -X
   iptables -t nat -F
   iptables -t nat -X
   iptables -t mangle -F
   iptables -t mangle -X

# 设置默认策略
   iptables -P INPUT DROP
   iptables -P FORWARD DROP
   iptables -P OUTPUT ACCEPT

# 允许本地回环
   iptables -A INPUT -i lo -j ACCEPT
   iptables -A OUTPUT -o lo -j ACCEPT

# 允许已建立的连接
   iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

# 允许SSH
   iptables -A INPUT -p tcp –dport 22 -j ACCEPT

# 允许HTTP和HTTPS
   iptables -A INPUT -p tcp –dport 80 -j ACCEPT
   iptables -A INPUT -p tcp –dport 443 -j ACCEPT

# 允许ICMP (ping)
   iptables -A INPUT -p icmp –icmp-type echo-request -j ACCEPT

# 记录并拒绝其他连接
   iptables -A INPUT -j LOG –log-prefix “INPUT_DROP: ”
   iptables -A INPUT -j DROP
  2. 4. 使脚本可执行并运行：
  3.    ```bash
  4.    chmod +x /etc/firewall.sh
  5.    /etc/firewall.sh
复制代码

1. 保存防火墙规则：/etc/init.d/iptables save
2. 添加iptables到启动级别：rc-update add iptables default

保存防火墙规则：
  2. /etc/init.d/iptables save
复制代码

添加iptables到启动级别：
  2. rc-update add iptables default
复制代码

SSL/TLS配置

1. 安装Let’s Encrypt客户端：emerge -av app-crypt/certbot
2. 获取SSL证书：certbot certonly --webroot -w /var/www/localhost/htdocs -d yourdomain.com -d www.yourdomain.com
3. 配置Nginx使用SSL：nano /etc/nginx/sites-available/yourdomain.com
4.
  2. SSL配置示例：
  3. “`nginx
  4. server {
  5.    listen 80;
  6.    server_name yourdomain.com www.yourdomain.com;
  7.    return 301 https://\(host\)request_uri;
  8. }
复制代码

安装Let’s Encrypt客户端：
  2. emerge -av app-crypt/certbot
复制代码

获取SSL证书：
  2. certbot certonly --webroot -w /var/www/localhost/htdocs -d yourdomain.com -d www.yourdomain.com
复制代码

配置Nginx使用SSL：
  2. nano /etc/nginx/sites-available/yourdomain.com
复制代码

SSL配置示例：
“`nginx
server {
   listen 80;
   server_name yourdomain.com www.yourdomain.com;
   return 301 https://\(host\)request_uri;
}

server {
  2. listen 443 ssl http2;
  3.    server_name yourdomain.com www.yourdomain.com;
  5.    root /var/www/yourdomain.com;
  6.    index index.html index.htm;
  8.    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
  9.    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
  11.    # SSL安全设置
  12.    ssl_protocols TLSv1.2 TLSv1.3;
  13.    ssl_prefer_server_ciphers on;
  14.    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
  15.    ssl_session_timeout 1d;
  16.    ssl_session_cache shared:SSL:50m;
  17.    ssl_session_tickets off;
  19.    # OCSP Stapling
  20.    ssl_stapling on;
  21.    ssl_stapling_verify on;
  22.    resolver 8.8.8.8 8.8.4.4 valid=300s;
  23.    resolver_timeout 5s;
  25.    # HSTS
  26.    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
  28.    location / {
  29.        try_files $uri $uri/ =404;
  30.    }
  32.    # PHP支持
  33.    location ~ \.php$ {
  34.        fastcgi_pass unix:/run/php/php-fpm.sock;
  35.        fastcgi_index index.php;
  36.        include fastcgi_params;
  37.        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  38.        fastcgi_param PATH_INFO $fastcgi_path_info;
  39.    }
复制代码

}
  2. 5. 启用站点并重新加载Nginx：
  3.    ```bash
  4.    ln -s /etc/nginx/sites-available/yourdomain.com /etc/nginx/sites-enabled/
  5.    nginx -t && /etc/init.d/nginx reload
复制代码

1. 设置证书自动续期：crontab -e
2. 添加以下内容：0 3 * * * /usr/bin/certbot renew --quiet --post-hook "/etc/init.d/nginx reload"

设置证书自动续期：
  2. crontab -e
复制代码

添加以下内容：
  2. 0 3 * * * /usr/bin/certbot renew --quiet --post-hook "/etc/init.d/nginx reload"
复制代码

Nginx安全模块

1. 安装Nginx安全模块：emerge -av www-servers/nginx[security]
2. 配置Nginx安全规则：nano /etc/nginx/nginx.conf
3.
  2. 添加安全相关配置：http {
  3.    # 防止点击劫持
  4.    add_header X-Frame-Options "SAMEORIGIN" always;
  6.    # 防止MIME类型嗅探
  7.    add_header X-Content-Type-Options "nosniff" always;
  9.    # XSS保护
  10.    add_header X-XSS-Protection "1; mode=block" always;
  12.    # 内容安全策略
  13.    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https:; img-src 'self' https: data:; style-src 'self' 'unsafe-inline' https:; font-src 'self' https: data:; connect-src 'self' https:; frame-src 'self' https:; object-src 'none';" always;
  15.    # 禁用Nginx版本信息
  16.    server_tokens off;
  18.    # 限制请求方法
  19.    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
  20.        return 405;
  21.    }
  23.    # 防止目录遍历
  24.    location ~* \.(engine|inc|info|install|make|module|profile|test|po|sh|.*sql|theme|tpl(\.php)?|xtmpl)$|^(\..*|Entries.*|Repository|Root|Tag|Template)$ {
  25.        deny all;
  26.    }
  27. }
复制代码

安装Nginx安全模块：
  2. emerge -av www-servers/nginx[security]
复制代码

配置Nginx安全规则：
  2. nano /etc/nginx/nginx.conf
复制代码

添加安全相关配置：
  2. http {
  3.    # 防止点击劫持
  4.    add_header X-Frame-Options "SAMEORIGIN" always;
  6.    # 防止MIME类型嗅探
  7.    add_header X-Content-Type-Options "nosniff" always;
  9.    # XSS保护
  10.    add_header X-XSS-Protection "1; mode=block" always;
  12.    # 内容安全策略
  13.    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https:; img-src 'self' https: data:; style-src 'self' 'unsafe-inline' https:; font-src 'self' https: data:; connect-src 'self' https:; frame-src 'self' https:; object-src 'none';" always;
  15.    # 禁用Nginx版本信息
  16.    server_tokens off;
  18.    # 限制请求方法
  19.    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
  20.        return 405;
  21.    }
  23.    # 防止目录遍历
  24.    location ~* \.(engine|inc|info|install|make|module|profile|test|po|sh|.*sql|theme|tpl(\.php)?|xtmpl)$|^(\..*|Entries.*|Repository|Root|Tag|Template)$ {
  25.        deny all;
  26.    }
  27. }
复制代码

Fail2Ban配置

1. 安装Fail2Ban：emerge -av net-analyzer/fail2ban
2. 配置Fail2Ban：cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
nano /etc/fail2ban/jail.local
3.
  2. 基本Fail2Ban配置：
  3. “`ini
  4. [DEFAULT]
  5. bantime = 3600
  6. findtime = 600
  7. maxretry = 3
复制代码

安装Fail2Ban：
  2. emerge -av net-analyzer/fail2ban
复制代码

配置Fail2Ban：
  2. cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
  3. nano /etc/fail2ban/jail.local
复制代码

基本Fail2Ban配置：
“`ini
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3

[sshd]
   enabled = true
   port = 22
   filter = sshd
   logpath = /var/log/auth.log
   maxretry = 3

[nginx-http-auth]
   enabled = true
   filter = nginx-http-auth
   port = http,https
   logpath = /var/log/nginx/error.log

[nginx-limit-req]
   enabled = true
   filter = nginx-limit-req
   port = http,https
   logpath = /var/log/nginx/error.log
   maxretry = 10
  2. 4. 启动Fail2Ban并添加到启动级别：
  3.    ```bash
  4.    /etc/init.d/fail2ban start
  5.    rc-update add fail2ban default
复制代码

文件系统安全

1.
  2. 设置适当的文件权限：
  3. “`bash网站根目录权限chown -R nginx:nginx /var/www
  4. find /var/www -type d -exec chmod 755 {} \;
  5. find /var/www -type f -exec chmod 644 {} \;
复制代码

设置适当的文件权限：
“`bash

chown -R nginx:nginx /var/www
find /var/www -type d -exec chmod 755 {} \;
find /var/www -type f -exec chmod 644 {} \;

# 配置文件权限
   chmod 600 /etc/nginx/conf.d/.conf
   chmod 600 /etc/nginx/sites-available/chmod 600 /etc/php/fpm-php7.4/php.ini
   chmod 600 /etc/mysql/my.cnf
  2. 2. 使用chroot增强安全性（可选）：
  3.    ```bash
  4.    emerge -av sys-apps/debootstrap
  5.    debootstrap --arch=amd64 stable /var/chroot http://deb.debian.org/debian/
复制代码

1. 配置chroot环境中的Nginx（高级配置，需要详细设置）。

监控与维护

日志分析

1. 安装GoAccess：emerge -av app-text/goaccess
2. 配置GoAccess：nano ~/.goaccessrc
3.
  2. GoAccess配置示例：time-format %H:%M:%S
  3. date-format %d/%b/%Y
  4. log-format %h %^[%d:%t %^] "%r" %s %b "%R" "%u"
复制代码
4. 生成HTML报告：goaccess -f /var/log/nginx/access.log -o /var/www/localhost/htdocs/report.html --real-time-html

安装GoAccess：
  2. emerge -av app-text/goaccess
复制代码

配置GoAccess：
  2. nano ~/.goaccessrc
复制代码

GoAccess配置示例：
  2. time-format %H:%M:%S
  3. date-format %d/%b/%Y
  4. log-format %h %^[%d:%t %^] "%r" %s %b "%R" "%u"
复制代码

生成HTML报告：
  2. goaccess -f /var/log/nginx/access.log -o /var/www/localhost/htdocs/report.html --real-time-html
复制代码

性能监控

1. 安装监控工具：emerge -av app-admin/sysstat app-benchmarks/httperf net-analyzer/nmap
2. 配置sysstat：nano /etc/sysstat/sysstat
3. 启用sysstat数据收集：ENABLED="true"
4. 启动sysstat并添加到启动级别：/etc/init.d/sysstat start
rc-update add sysstat default
5. 使用sar命令监控系统性能：sar -u 2 10  # CPU使用率
sar -r 2 10  # 内存使用率
sar -b 2 10  # I/O传输率

安装监控工具：
  2. emerge -av app-admin/sysstat app-benchmarks/httperf net-analyzer/nmap
复制代码

配置sysstat：
  2. nano /etc/sysstat/sysstat
复制代码

启用sysstat数据收集：
  2. ENABLED="true"
复制代码

启动sysstat并添加到启动级别：
  2. /etc/init.d/sysstat start
  3. rc-update add sysstat default
复制代码

使用sar命令监控系统性能：
  2. sar -u 2 10  # CPU使用率
  3. sar -r 2 10  # 内存使用率
  4. sar -b 2 10  # I/O传输率
复制代码

自动备份

1. 创建备份脚本：nano /usr/local/bin/backup.sh
2. 备份脚本示例：
“`bash
#!/bin/bash

创建备份脚本：
  2. nano /usr/local/bin/backup.sh
复制代码

备份脚本示例：
“`bash
#!/bin/bash

# 设置变量
   DATE=$(date +%Y%m%d)
   BACKUP_DIR=”/backup”
   WEB_DIR=“/var/www”
   DB_NAME=“your_database”
   DB_USER=“db_user”
   DB_PASS=“db_password”

# 创建备份目录
   mkdir -p\(BACKUP_DIR/\)DATE

# 备份网站文件
   tar -czf\(BACKUP_DIR/\)DATE/website_files.tar.gz $WEB_DIR

# 备份数据库
   mysqldump -u\(DB_USER -p\)DB_PASS\(DB_NAME | gzip > \)BACKUP_DIR/$DATE/database.sql.gz

# 备份Nginx配置
   tar -czf\(BACKUP_DIR/\)DATE/nginx_config.tar.gz /etc/nginx

# 备份PHP配置
   tar -czf\(BACKUP_DIR/\)DATE/php_config.tar.gz /etc/php

# 删除30天前的备份
   find $BACKUP_DIR -type d -mtime +30 -exec rm -rf {} \;
  2. 3. 使脚本可执行：
  3.    ```bash
  4.    chmod +x /usr/local/bin/backup.sh
复制代码

1. 设置定时备份：crontab -e
2. 添加以下内容：0 2 * * * /usr/local/bin/backup.sh

设置定时备份：
  2. crontab -e
复制代码

添加以下内容：
  2. 0 2 * * * /usr/local/bin/backup.sh
复制代码

常见问题与解决方案

Nginx启动失败

1. 检查配置文件语法：nginx -t
2. 检查端口占用：netstat -tulnp | grep :80
3. 查看错误日志：tail -f /var/log/nginx/error.log

检查配置文件语法：
  2. nginx -t
复制代码

检查端口占用：
  2. netstat -tulnp | grep :80
复制代码

查看错误日志：
  2. tail -f /var/log/nginx/error.log
复制代码

PHP-FPM启动失败

1. 检查配置文件：php-fpm -t
2. 查看错误日志：tail -f /var/log/php-fpm.log
3. 检查socket权限：ls -la /run/php/php-fpm.sock

检查配置文件：
  2. php-fpm -t
复制代码

查看错误日志：
  2. tail -f /var/log/php-fpm.log
复制代码

检查socket权限：
  2. ls -la /run/php/php-fpm.sock
复制代码

数据库连接问题

1. 检查数据库服务状态：/etc/init.d/mysql status
2. 检查数据库连接：mysql -u root -p
3.
  2. 检查数据库用户权限：SELECT user, host FROM mysql.user;
  3. SHOW GRANTS FOR 'user'@'host';
复制代码

检查数据库服务状态：
  2. /etc/init.d/mysql status
复制代码

检查数据库连接：
  2. mysql -u root -p
复制代码

检查数据库用户权限：
  2. SELECT user, host FROM mysql.user;
  3. SHOW GRANTS FOR 'user'@'host';
复制代码

网站性能问题

1. 检查服务器资源使用情况：top
free -m
df -h
2. 分析Nginx访问日志：goaccess -f /var/log/nginx/access.log
3. 测试网站响应时间：curl -o /dev/null -s -w "%{time_total}\n" https://yourdomain.com

检查服务器资源使用情况：
  2. top
  3. free -m
  4. df -h
复制代码

分析Nginx访问日志：
  2. goaccess -f /var/log/nginx/access.log
复制代码

测试网站响应时间：
  2. curl -o /dev/null -s -w "%{time_total}\n" https://yourdomain.com
复制代码

SSL证书问题

1. 检查证书有效期：openssl x509 -in /etc/letsencrypt/live/yourdomain.com/cert.pem -text -noout | grep "Not After"
2. 测试SSL配置：openssl s_client -connect yourdomain.com:443
3.
  2. 使用在线工具检查SSL配置：
  3. 访问https://www.ssllabs.com/ssltest/测试SSL配置。
复制代码

检查证书有效期：
  2. openssl x509 -in /etc/letsencrypt/live/yourdomain.com/cert.pem -text -noout | grep "Not After"
复制代码

测试SSL配置：
  2. openssl s_client -connect yourdomain.com:443
复制代码

使用在线工具检查SSL配置：
访问https://www.ssllabs.com/ssltest/测试SSL配置。

总结与展望

通过本教程，我们详细介绍了在Gentoo Linux系统下搭建、配置、优化和保护Web服务器的全过程。从系统准备到高可用性配置，从性能优化到安全防护，我们涵盖了构建高性能、高可用性网站服务平台的各个方面。

Gentoo Linux的高度可定制性使我们能够针对特定硬件和工作负载进行精确优化，从而获得最佳性能。通过合理配置Nginx、PHP-FPM和数据库，结合负载均衡和故障转移机制，我们可以构建一个稳定可靠的Web服务环境。

随着技术的发展，Web服务器技术也在不断进步。未来，我们可以关注以下趋势：

1. HTTP/3和QUIC协议：新一代网络协议，提供更快的连接建立和更好的传输性能。
2. 容器化部署：使用Docker和Kubernetes等容器技术简化部署和管理。
3. 服务网格：使用Istio等服务网格技术提供更细粒度的流量控制和安全策略。
4. 边缘计算：将计算资源推向网络边缘，减少延迟，提高用户体验。

通过持续学习和实践，我们可以不断提升Web服务器的性能和安全性，为用户提供更好的服务体验。

以上是全面解析Gentoo Linux系统下Web服务器的搭建配置优化与安全防护的完整教程。希望本教程能帮助读者构建自己的高性能、高可用性Web服务平台。
高性能
「七転び八起き（ななころびやおき）」
回复

使用道具 举报

返回列表 发新帖
您需要登录后才可以回帖 登录 | 立即注册
高级模式
B Color Image Link Quote Code Smilies

本版积分规则