我的运维笔记

第 1 讲 · 拿到服务器并成功登录

做了：创建阿里云 ECS 实例，用密钥登录，准备普通用户

做了什么

• 在阿里云华东 1（杭州）创建了一台 ECS，系统是 AlmaLinux 9（Rocky 9 同源），公网 IP 47.114.74.168。
• 控制台里给实例绑定密钥对，用 SSH 密钥而不是密码登录，比密码安全。
• 登录后新建了普通用户 study，日常操作都用它，超管操作再加 sudo。
• 在安全组里放行 22 端口，否则 SSH 连不上；后面做网站时又放行了 80 和 443。

关键命令

# 用私钥登录服务器（密钥文件权限必须是 600，否则 ssh 会拒绝使用）
ssh -i ~/.ssh/你的私钥 study@47.114.74.168

# 普通用户自己配好密钥登录：目录 700，authorized_keys 600，属主必须是本人
mkdir -p ~/.ssh && chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys            # 粘贴本地公钥
chmod 600 ~/.ssh/authorized_keys
chown -R study:study ~/.ssh

# 看系统版本、CPU 核数（Nginx 工作进程数就等于核数）
cat /etc/redhat-release
nproc

遇到的问题

第 2 讲 · 装 Nginx，把第一个网站跑起来

做了：安装 Nginx、建站点目录、写 mysite.conf、弄清 403 的真正原因

做了什么

• 用 dnf 安装 Nginx，设为开机自启并立即启动。
• 站点根目录放在 /var/www/mysite，属主给 study，以后传网页不用 sudo。
• 站点配置独立成 /etc/nginx/conf.d/mysite.conf，一站一文件。
• 安全组和 firewalld 都放行了 http / https，公网才能访问。
• 验证了「用 IP 访问」和「用域名访问」的区别：浏览器请求头里的 Host 不同，Nginx 据此把请求交给不同站点。

关键命令

# 安装并启动
sudo dnf install -y nginx
sudo systemctl enable --now nginx

# 站点目录：目录 755（工作进程要能进入并读取），属主给 study
sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite
ls -ld /var/www/mysite               # 应看到 drwxr-xr-x study study

# 放行端口（firewalld 与阿里云安全组两处都要放）
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

# 改完配置的固定三步：查语法 → 重载 → 看进程/日志
sudo nginx -t
sudo systemctl reload nginx
ps -ef | grep [n]ginx

站点配置（mysite.conf 的 80 端口部分）

server {
    listen 80;
    server_name linzhonjian.icu www.linzhonjian.icu;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log  /var/log/nginx/mysite_error.log;
    location / {
        try_files $uri $uri/ =404;
    }
}

遇到的问题

第 3 讲 · 给网站装上 HTTPS 安全锁

做了：用 Let's Encrypt 免费证书，80 端口做验证、443 端口出内容

做了什么

• 安装 certbot，用 --webroot 方式申请证书：验证文件放在站点目录里，Let's Encrypt 从公网来取。
• 80 端口的配置里专门留出 /.well-known/acme-challenge/ 这个 location，其余请求 301 跳到 https。
• 443 端口挂上证书，配 TLSv1.2 TLSv1.3，主站用自己独立的访问日志和错误日志。
• 用 certbot renew --dry-run 演练自动续期，确认能成功。

关键命令

# 安装 certbot
sudo dnf install -y certbot

# 先演练：确认 -w 的目录和 80 端口配置对得上，再去掉 --dry-run 正式申请
sudo certbot certonly --webroot -w /var/www/mysite \
  -d linzhonjian.icu -d www.linzhonjian.icu --dry-run
sudo certbot certonly --webroot -w /var/www/mysite \
  -d linzhonjian.icu -d www.linzhonjian.icu

# 看本机有哪些证书、到期时间
sudo certbot certificates

# 演练续期（不真的换证）
sudo certbot renew --dry-run

80 与 443 的分工

# 80 端口：只负责证书验证 + 跳转，不提供内容
server {
    listen 80;
    server_name linzhonjian.icu www.linzhonjian.icu;
    location /.well-known/acme-challenge/ { root /var/www/mysite; }
    location / { return 301 https://$host$request_uri; }
}

# 443 端口：真正提供内容，证书与本域名对应
server {
    listen 443 ssl;
    server_name linzhonjian.icu www.linzhonjian.icu;
    ssl_certificate     /etc/letsencrypt/live/linzhonjian.icu/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/linzhonjian.icu/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    root /var/www/mysite;
    index index.html;
    access_log /var/log/nginx/mysite_access.log;
    error_log  /var/log/nginx/mysite_error.log;
    location / { try_files $uri $uri/ =404; }
}

遇到的问题

第 4 讲 · 顺手记一笔：一台服务器放两个网站

做了：这个 notes 子站点本身就是第 4 讲的成果

同一个 IP 上再加一个网站，Nginx 靠请求头里的域名（Host）分发：解析加一条 notes 的 A 记录 → 建 /var/www/notes 目录 → 写 notes.conf 的 80 段 → 单独申请 notes 的证书 → 补 443 段。一站一文件、一站一日志、一站一证书。

# 盘点全部站点：看 listen 与 server_name
sudo nginx -T 2>/dev/null | grep -n -E "^\s*(listen|server_name)"

# 看 443 端口对某个域名出示的是哪张证书
openssl s_client -connect 127.0.0.1:443 -servername notes.linzhonjian.icu </dev/null 2>/dev/null \
  | openssl x509 -noout -ext subjectAltName