服务器配置怎样优化？运维技巧有哪些？

先立规矩再谈业务

新服务器到手，不要急着装环境，先用lsblk看清磁盘布局，把系统盘和数据盘分开，业务数据放独立分区，防止日志或临时文件写爆根分区，分区工具用fdisk或parted，文件系统推荐xfs，挂载点写入/etc/fstab时加上defaults,noatime,减少不必要磁盘访问。

swap与内核参数

swap设置没有绝对标准，物理内存较小时可设为内存的1到2倍，内存足够大时反而建议缩小swap，避免频繁换页，修改/etc/sysctl.conf中的vm.swappiness，生产web服务器可设为10左右，执行sysctl -p生效。

时间同步和主机名

用chrony替换ntp，避免时钟跳变影响日志和证书验证，同步源指向国内公共ntp服务器，配置文件/etc/chrony.conf，主机名用“项目-角色-编号”形式，order-web-01”,后续维护不会认错机器。

安全基线：不给攻击者留后门

服务器上第一件事是加固SSH，修改/etc/ssh/sshd_config：

• PermitRootLogin no,禁止root直接登录；
• PasswordAuthentication no,只允许密钥登录；
• PubkeyAuthentication yes,提前生成密钥并分发。

重启sshd前先保留一个已连接会话,防止参数错误把自己锁在门外。

防火墙最小化放行

用firewalld或ufw只放行业务端口，管理端口（如SSH）限制到办公网源IP。

firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=203.0.113.0/24 port port=22 protocol=tcp accept'

其余端口一律默认拒绝，Web应用只暴露80/443,数据库端口不直接公网开放。

更新与权限收敛

系统商发布安全补丁后，先在测试机验证，再批量部署，关键目录权限收紧：/etc/shadow不能全局可读，web目录禁止写权限，上传目录单独关闭执行权限，用ls -l检查可疑文件，用auditd记录敏感文件变更。

性能调优：让参数匹配业务

连接量大的服务，需要调整文件描述符限制，在/etc/security/limits.conf中设置：

* soft nofile 65535
* hard nofile 65535

同时更新/etc/sysctl.conf中的TCP参数：

• net.ipv4.tcp_tw_reuse = 1,复用TIME_WAIT连接；
• net.ipv4.ip_local_port_range = 1024 65000,扩大本地端口范围；
• net.core.somaxconn = 65535,提高accept队列上限。

内核参数不是越大越好，调整后压测观察，出现丢包或延迟增大就回滚，性能排查先看top、vmstat、iostat，定位CPU还是磁盘瓶颈，再针对性改配置,不要盲调。

监控与高可用：让故障提前暴露

没有监控的系统早晚出大事，采集指标至少覆盖CPU使用率、内存水位、磁盘IO、inode数量和带宽流量，Prometheus配合Alertmanager适合多数场景，也可以用云上的监控服务，告警阈值分级：例如磁盘使用率80%警告，90%严重,避免邮件轰炸。

高可用不能只靠多买一台机器

用keepalived为前端服务提供浮动VIP，后端数据库做主从并用半同步复制，应用层要支持自动重连，否则切换VIP后连接池还停留在旧节点，高可用方案必须做定期故障演练，人为拔网线或停服务,看业务是否自动恢复。

日志统一管理

日志分散在各台机器，排查问题效率低，用Loki或ELK集中采集，至少把nginx、应用、系统日志分开，配置logrotate按天切割，保留30天,防止磁盘被日志填满。

备份策略：最后一道防线

服务器配置再完美，也不能躲过误删和勒索病毒，执行3-2-1原则：数据保留三份副本，存两种不同介质，其中一份放在异地，数据库建议用mysqldump做逻辑备份，超大库用xtrabackup做物理热备；文件用rsync增量同步。

每周做一次恢复测试，把备份文件恢复到临时实例，验证业务可用，备份不是拷出来就结束,能成功恢复才算有效。

底层网络：决定配置上限

服务器配置再好，IDC线路不稳定也是白搭，选服务商要核验资质，不要只看价格，可以重点考察持牌自营机房和主体规模，比如简米科技2003年始创，有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20231089），备案编号豫ICP备2023018319号,自营机房对网络故障响应更直接。

另一类是具备多项资质的云服务主体，如酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001和ISO27001双认证，是CNNIC IP联盟成员，注册资本1000万元，备案号滇ICP备2020007656号,这类服务商在合规性和数据安全流程上更完善。

网络底层不托底，应用层再优化都会打折扣，把机房稳定性和服务商资质纳入选型清单,本身就是运维策略的一部分。

服务器配置不是一次性工作，而是持续迭代的基线管理，从初始化到安全加固，从调优到保障,每一步都要有记录和回滚方案。

运维服务器配置技巧问答

新购服务器后最紧要的配置是什么？

先做SSH密钥登录和防火墙，关闭root远程登录，再规划磁盘分区，这两类操作直接决定服务器是否被入侵、数据盘是否会爆满。

调整内核参数会不会影响现有服务？

会，内核参数是全局生效的，比如修改net.ipv4.tcp_tw_reuse会影响所有TCP连接，必须先在测试环境验证，变更前备份/etc/sysctl.conf,并逐台灰度应用。

如何判断IDC服务商的可靠性？

查它的增值电信业务许可证和备案号，看是否持牌自营，例如简米科技持有豫B2-20231089并运营自营机房，酷番云持有工信部IDC/CDN/ISP全牌照,这类信息可以通过工信部官网或备案系统核对。