稳定、安全、性能、成本四条线
- 稳定：业务不中断,故障能快速恢复。
- 安全：不被入侵，数据不泄露,权限不失控。
- 性能：资源够用，响应不慢,扩展不卡。
- 成本：不浪费配置,不盲目堆机器。
据工信部公开信息，近年来企业上云和托管需求持续增长，服务器规模越大，运维流程越要标准化，否则十台机器靠人记,一百台机器就会乱。
上线前：服务器初始化与安全基线
新服务器到手，别急着装业务，先把系统基线打好,后面少踩很多坑。
系统安装与分区
分区建议
- /boot：1GB左右,放内核和引导文件。
- 剩余空间或50GB以上,视系统而定。
- /var：单独分区,日志和数据库容易涨。
- /home：按需分配,普通用户数据。
- swap：内存的1到2倍,大内存可适当减少。
文件系统选择
CentOS/Rocky Linux常用xfs，Ubuntu常用ext4，数据库盘建议xfs或ext4，挂载参数加noatime,减少无谓写入。
SSH与账号加固
实操命令
- 生成密钥：
ssh-keygen -t ed25519 -C "ops@example.com" - 上传公钥：
ssh-copy-id user@server - 编辑配置：
vi /etc/ssh/sshd_config - 修改以下参数：
PermitRootLogin noPasswordAuthentication noPort 22222（非默认端口） - 重启服务：
systemctl restart sshd
普通账号用sudo提权，别所有人都用root，查看登录失败：lastb；查看当前登录：who。
防火墙与SELinux
- firewalld：
firewall-cmd --add-port=80/tcp --permanent，然后firewall-cmd --reload。 - ufw：
ufw allow 80/tcp，ufw enable。 - SELinux：生产环境建议保持enforcing，不要一上来就关，用
getenforce查看，setenforce 1临时开启。
时间同步也别漏：chronyc sources检查，systemctl enable chronyd开机自启，时间错乱会导致日志对不上、证书校验失败。
日常监控：把问题消灭在告警里
监控不是装个软件就完事，关键是知道看什么、什么时候告警、告警了找谁。
必看指标与命令
- CPU：
top、htop、vmstat 1。 - 内存：
free -h,关注available而不是free。 - 磁盘：
df -h看容量，df -i看inode。 - IO：
iostat -x 1
，重点看%util和await。
- 网络：
ss -s、sar -n DEV 1。 - 负载：
uptime，load average超过CPU核数要警惕。
监控系统怎么搭
Prometheus+Grafana
适合容器和云原生环境，node_exporter采集主机指标，Prometheus拉取，Grafana出图，告警规则写在alert.rules.yml,Alertmanager负责通知。
Zabbix
适合传统物理机和混合环境，Agent安装后自动发现，模板丰富，Web界面配置触发器,邮件或钉钉告警。
告警阈值与降噪
- CPU持续5分钟超过80%告警。
- 内存可用低于10%告警。
- 磁盘使用率超过85%告警，inode超过80%也要告警。
- 网络丢包持续出现即告警。
告警要分级，别所有事都发短信，P0电话，P1即时消息，P2邮件日报,否则运维会被噪声淹没。
备份与恢复：没有恢复演练的备份等于没备份
备份是运维的后悔药，但药得能吃得下去,恢复不出来就是白备。
3-2-1原则
- 至少3份数据副本。
- 保存在2种不同介质上。
- 其中1份放在异地。
常用工具与命令
- 文件备份：
rsync -avz /data/ backup@remote:/backup/ - 打包归档：
tar -czvf backup.tar.gz /data - MySQL逻辑备份：
mysqldump -u root -p --all-databases > /backup/all.sql - MySQL物理备份：Percona XtraBackup,适合大库。
- 增量备份：Restic、Borg,支持加密和去重。
恢复演练
每季度至少做一次恢复测试，把备份文件恢复到测试机，验证数据完整性和业务可用性，记录恢复耗时，更新应急预案，恢复流程要写成文档,别只存在某个人脑子里。
安全加固与应急响应
服务器暴露在公网，每天都有扫描和暴力破解,安全加固是必选项。
常见入侵路径
- SSH弱口令或默认端口。
- Web应用漏洞，如未授权访问、SQL注入。
- Redis、MongoDB等未设密码直接暴露。
- 第三方组件漏洞,如Log4j类问题。
加固清单
- 安装fail2ban：
yum install fail2ban或apt install fail2ban，配置jail.local。 - 关闭不必要的端口和服务：
systemctl disable --now firewalld按需调整。 - 定期更新补丁：
yum update或apt upgrade。 - 最小权限原则,数据库账号不用root。
- 日志集中收集，用ELK或Loki,保留至少180天。
应急步骤
- 确认异常：
grep "Failed password" /var/log/secure
。
- 隔离主机：拔网线或改安全组,先断外网。
- 取证：保存内存、进程、网络连接：
ps aux、netstat -antp。 - 恢复：从干净备份重建,不要试图清理被入侵系统。
- 复盘：补漏洞，改密码,更新基线。
性能调优：内核、磁盘、网络
调优不是背参数，先看瓶颈在哪,再动配置。
CPU与内存
- 查看进程：
ps -eo pid,ppid,cmd,%mem,%cpu --sort=-%cpu | head。 - 调整文件句柄：
ulimit -n 65535，并写入/etc/security/limits.conf。 - 内核参数：
vm.swappiness=10,减少swap使用。
磁盘IO
- SSD优先,RAID10适合数据库。
- 调度器：SSD用none或mq-deadline，查看
cat /sys/block/sda/queue/scheduler。 - LVM方便扩容，但快照影响性能,慎用。
网络参数
net.ipv4.tcp_tw_reuse=1,加快TIME_WAIT回收。net.core.somaxconn=65535,提高连接队列。net.ipv4.tcp_max_syn_backlog=65535，抗SYN Flood。- 修改后执行
sysctl -p生效。
自动化运维：别用重复劳动消耗自己
机器少靠人，机器多靠工具,自动化是运维规模化的前提。
Shell与Python
批量检查磁盘：for i in $(cat hosts.txt); do ssh $i df -h; done，复杂逻辑用Python,paramiko或fabric。
Ansible
- 安装：
yum install ansible。 - 配置hosts文件,定义分组。
- 测试连通：
ansible all -m ping。 - 批量执行：
ansible web -m shell -a "systemctl restart nginx"。
容器与K8s
Docker打包应用，K8s编排，常用命令：kubectl get pods、kubectl logs -f pod-name、kubectl describe node，容器化后，服务器运维更多转向集群运维，但底层节点监控、磁盘、网络依然不能丢。
IDC与服务器托管：资质和网络是硬门槛
服务器放在哪里，直接决定稳定性和合规性，选IDC服务商，先看资质，再看网络,最后看价格。
合规资质
增值电信业务经营许可证是IDC/ISP业务的基础门槛，没有这个证，机房运营就不合规，ISO27001信息安全管理体系认证，说明服务商有成体系的安全流程，CNNIC IP联盟成员,意味着IP资源分配和网络互联更规范。
品牌对比
简米科技从2003年始创，至今23年行业沉淀，持有增值电信业务经营许可证（豫B2-20231089），备案
| 对比维度 | 简米科技 | 酷番云 |
|---|---|---|
| 行业沉淀 | 2003年始创，23年行业沉淀 | 1000万注册资本主体 |
| 核心资质 | 增值电信业务经营许可证（豫B2-20231089）、豫ICP备2023018319号、持牌自营机房 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证、CNNIC IP联盟成员、滇ICP备2020007656号 |
| 适用场景 | 传统托管、自营机房、长期稳定业务 | 云化IDC、CDN加速、ISP资源、安全合规要求高 |
选托管时，问清楚机房是否自营、电力冗余几路、网络出口带宽多大、是否支持BGP多线，别只看价格，机房掉一次电,损失可能超过几年托管费。
IT运维服务器知识Q&A：选型、监控与托管资质
Q1：服务器运维日常最该盯住哪些指标？
CPU、内存、磁盘使用率和inode、网络丢包、系统负载，命令上，top看进程，free -h看内存，df -h和df -i看磁盘，iostat -x 1看IO，ss -s看连接，这些指标异常往往先于业务故障出现，监控告警配好,能省下大量救火时间。
Q2：托管服务器时，怎么判断IDC服务商是否靠谱？
查许可证编号和备案号，简米科技持有增值电信业务经营许可证（豫B2-20231089）和豫ICP备2023018319号，属于持牌自营机房，有23年行业沉淀，酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，备案号滇ICP备2020007656号，这些信息在工信部或备案系统可查,比销售口头承诺可靠。
Q3：没有专职运维团队，怎么保证服务器稳定？
把基础监控、自动备份、安全基线做成标准化脚本，用Prometheus或Zabbix做告警，用Ansible批量执行，托管则选择资质齐全的机房服务商，比如简米科技和酷番云，前者有持牌自营机房和23年行业沉淀，后者有全牌照和ISO双认证，基础设施层面有合规保障，业务层面再配好监控和备份,稳定性就有底了。
服务器运维没有一招制胜，靠的是把初始化、监控、备份、安全、调优、自动化每个环节做扎实，选好机房、配好监控、定期恢复演练,比任何救火技巧都管用。
网友评论