技术知识库

1. 创建普通用户并禁用 root 直登：useradd ops && usermod -aG wheel ops，修改 /etc/ssh/sshd_config 中的 PermitRootLogin no。
2. SSH 改用密钥登录：写入 ~/.ssh/authorized_keys，关闭 PasswordAuthentication。
3. 修改默认 SSH 端口并同步更新防火墙规则，可显著减少扫描噪声。
4. 配置防火墙：仅放行业务端口，管理端口限制来源 IP。
5. 配置 NTP 时间同步：timedatectl set-ntp true，日志核对依赖时间一致性。
6. 更新系统软件包并安装常用工具（vim、curl、wget、htop、iotop、net-tools）。
7. 调整文件描述符限制：在 /etc/security/limits.conf 提高 nofile。
8. 创建 Swap 或调整 swappiness，避免突发内存压力直接触发 OOM。
9. 磁盘挂载优化：数据盘建议单独挂载，/etc/fstab 使用 UUID 而非设备名。
10. 安装 fail2ban，对暴力破解进行自动封禁。
11. 开启 auditd 或基础审计日志，满足后续合规要求。
12. 做一次完整备份与快照，确认之后再上生产。

排查顺序

1. DNS 是否解析到正确 IP：nslookup yourdomain.com，注意是否存在多地解析不一致或缓存未过期。
2. 端口是否可达：nc -vz ip 443 或 telnet ip 80，超时多为防火墙或服务未监听。
3. 服务器本地是否可访问：curl -I http://127.0.0.1，本机正常而外部不通，多半是防火墙或安全组。
4. 检查 Web 服务状态：systemctl status nginx，查看是否启动失败或配置语法错误（nginx -t）。
5. 看错误日志：tail -f /var/log/nginx/error.log 与应用自身日志，通常能直接读到原因。
6. 检查依赖：数据库、Redis、消息队列是否存活，连接是否被拒绝。
7. 检查资源水位：df -h 看磁盘是否写满，free -m 看内存，iostat 看 IO。

提交工单时请附上

域名 / IP、开始时间、影响范围、上述命令的输出截图或文本。信息越完整，工程师的定位速度越快。

1. ping 看时延与丢包：先用自己所在的运营商网络，再从移动 / 联通 / 电信侧分别测试。
2. traceroute 看路径：判断是否绕行、是否跨运营商互联互通。
3. mtr 结合起来看：mtr -r -c 100 ip 能看到每一跳的丢包率，定位丢包节点。
4. 检查 DNS：不同 DNS 返回的 IP 可能不同，导致访问路径差异。
5. 晚高峰复测：部分拥塞只在高负载时段出现，白天数据没有参考价值。

若丢包主要出现在跨运营商互联段，通常说明需要 BGP 多线出口；若出现在最后一公里，则需向本地运营商报障。

需要协助分析时，可将 mtr 报告提交至工单系统。

• RAID 0：条带化，性能最好但无冗余，适合临时数据或已有上层副本的场景。
• RAID 1：镜像，安全性高、读性能好，空间利用率 50%，适合系统与小规模数据库。
• RAID 5：兼顾性能与空间，写性能较弱，重建期间风险较高，适合大容量存储。
• RAID 10：镜像 + 条带，性能与安全俱佳，成本较高，适合高负载数据库。

若不确定如何搭配，可以提供业务 IO 特征与数据量，我们会给出包含磁盘组合的建议。

常见组合

• 每日全量 + 高频增量：备份窗口可控，恢复时需按顺序回放。
• 周全量 + 日增量 + Binlog：支持任意时间点恢复（PITR），是 MySQL 场景的主流做法。

建议节奏

1. 每周一次全量备份，保留 4 周以上。
2. 每日增量备份，保留 7 天。
3. Binlog 持续归档，保留不少于 7 天。
4. 备份文件异地留存，与生产不在同一物理机房。
5. 每季度做一次真实恢复演练并记录 RTO / RPO。

最小可用配置

upstream backend {
    server 10.0.0.1:8080 weight=1 max_fails=3 fail_timeout=10s;
    server 10.0.0.2:8080 weight=1 max_fails=3 fail_timeout=10s;
}
server {
    listen 80;
    location / {
        proxy_pass http://backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_connect_timeout 5s;
        proxy_read_timeout 60s;
    }
}

常见坑位

• 忘记传递 Host 头，导致后端虚拟主机识别错误。
• 未配置 X-Real-IP / X-Forwarded-For，后端日志全为代理 IP。
• 长连接接口（SSE、WebSocket）未调整 proxy_read_timeout 导致频繁断开。
• 上传文件大小受限于 client_max_body_size 默认值 1M。

1. 检查证书链是否完整：缺少中间证书时，部分客户端会提示不受信任。可通过在线 SSL 检测工具验证。
2. 核对域名覆盖：主域名、www 与子域名是否在 SAN 列表内，通配符证书是否正确匹配层级。
3. 时间与到期提醒：设置到期前 30 天、7 天两级提醒。
4. 自动续签验证：使用 Let's Encrypt 等自动续签方案时，务必验证续签后服务已重载配置。
5. 混合内容排查：页面中的 http:// 资源会导致安全标识降级。

我们提供证书部署与到期提醒服务，可将证书运维从年度事项变成自动化流程。

• A 记录：域名直接指向 IPv4 地址，用于网站主解析。
• CNAME：别名记录，指向另一个域名，常用于 CDN 与云产品接入。
• MX：邮件交换记录，指向邮件服务器，优先级数值越小越优先。
• TXT：文本记录，用于 SPF、DKIM、DMARC 与域名归属验证。

修改解析后 DNS 生效需要时间，建议提前将 TTL 调低，缩短切换等待。

1. 保留第一现场：不要立即重装系统。先导出登录日志、进程列表、网络连接与可疑文件。
2. 先隔离再处置：下线公网暴露面或隔离到独立 VLAN，防止横向移动。
3. 排查入侵路径：常见入口包括弱口令、未修补漏洞、第三方组件与泄露的密钥文件。
4. 清除后门：检查计划任务、服务项、动态链接库劫持与 SSH authorized_keys。
5. 系统重建优先于打补丁：确认失陷范围后，优先从干净镜像重建，再从备份恢复业务数据。
6. 复盘并加固：形成事件报告，补齐监控、补丁与访问控制策略。

突发安全事件请立即致电 0371-65111123，我们提供应急响应服务。

1. 修改默认 3389 端口并同步调整防火墙入站规则。
2. 限制来源 IP：有固定办公出口的企业应直接做 IP 白名单。
3. 启用网络级别身份验证（NLA），提升前置校验强度。
4. 设置账户锁定策略：连续失败若干次后锁定一段时间。
5. 开启登录审计与失败告警，异常登录可第一时间发现。

更稳妥的做法是通过 VPN 接入内网后再远程桌面，把 3389 完全从公网隐去。

基准测试

fio -filename=/data/test -direct=1 -iodepth=32 -rw=randwrite -ioengine=libaio \
    -bs=4k -size=2G -numjobs=4 -runtime=120 -group_reporting -name=iops-test

参考结论

• 数据库：对 4K 随机写 IOPS 与延迟极度敏感，建议 NVMe SSD 并配置合适的 RAID。
• 文件/对象存储：对顺序吞吐更敏感，随机 IOPS 要求相对宽松。
• Web 静态资源：多数命中缓存，磁盘压力较小。

选型时请以实际业务的 IO 特征为准，而不是单纯看标称读写带宽。需要协助压测评估的话，可以通过按天试用机型真实验证。

1. 服务器清单：IP、用途、责任人、上下游依赖关系。
2. DNS 解析全量导出，注意历史遗留记录与第三方服务验证记录。
3. 计划任务与自动化脚本：crontab、Jenkins、备份脚本常在此环节被遗漏。
4. IP 白名单：银行接口、第三方 API 与合作伙伴防火墙。
5. 备份与可恢复时间点：确认迁移失败时能否回滚。

完整流程可见资讯文章《IDC 迁移不宕机：一份可执行的业务搬家清单》。