我的运维笔记

这一讲做了什么

• 在阿里云买一台 ECS，系统选 Rocky Linux 9，nproc 显示 2 核。
• 记下公网 IP：47.111.128.189，这就是我这台机器的"门牌号"。
• 在 安全组里放行 22、80、443 三个端口。这一步不做，后面 Nginx 装好了外面也访问不到。
• 生成 SSH 密钥对，把公钥交给服务器，之后登录不再输密码。
• 新建普通用户 study，日常操作都用它，需要管理员权限时临时借 sudo。

关键命令

本机生成密钥，把公钥推到服务器：

# 生成一对 ed25519 密钥（一路回车即可）
ssh-keygen -t ed25519

# 把公钥装到服务器的 study 用户下，实现免密登录
ssh-copy-id study@47.111.128.189

# 登录
ssh study@47.111.128.189

登录后在服务器上确认环境、创建用户：

# 看系统版本和 CPU 核数
cat /etc/redhat-release
nproc

# 新建用户 study，并加入 wheel 组（wheel 组才有 sudo 权限）
sudo useradd -m -G wheel study
sudo passwd study

# 把本机公钥写进 study 的 authorized_keys
sudo mkdir -p /home/study/.ssh
sudo cp ~/.ssh/authorized_keys /home/study/.ssh/
sudo chown -R study:study /home/study/.ssh
sudo chmod 700 /home/study/.ssh
sudo chmod 600 /home/study/.ssh/authorized_keys

踩过的坑

这一讲做了什么

• 用 dnf 安装 Nginx，交给 systemd 管理，设置开机自启。
• 用 IP 访问，看到的是 Nginx 自带的欢迎页；用域名访问，看到的才是我的主页 —— 第一次直观感受到"请求里的域名"是有用的。
• 做 403 实验：把网页文件的属主改成 root、权限改成 700，访问立刻变成 403，理解了 user nginx; 这一行的含义。
• 写第一个站点配置 /etc/nginx/conf.d/mysite.conf，实现"一站一文件"。

关键命令

# 安装并立即启动，同时设为开机自启
sudo dnf install -y nginx
sudo systemctl enable --now nginx

# 看服务状态，q 退出
sudo systemctl status nginx

# 放行防火墙端口（--permanent 才是永久生效，必须 reload）
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

# 建网站目录，把属主交给 study，以后上传网页不用 sudo
sudo mkdir -p /var/www/mysite
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite

# 改完配置先测语法，再重载（不是 restart）
sudo nginx -t
sudo systemctl reload nginx

403 实验：Nginx 到底以谁的身份读文件

# 故意把权限改成"只有 root 能进"
sudo chown -R root:root /var/www/mysite
sudo chmod 700 /var/www/mysite

# 浏览器访问 → 403 Forbidden
# 看错误日志，能直接读到原因
sudo tail -n 20 /var/log/nginx/error.log

# 恢复
sudo chown -R study:study /var/www/mysite
sudo chmod 755 /var/www/mysite

日志里写的是 Permission denied。原因在于主配置里的 user nginx;：真正处理请求的是 worker 进程，它以 nginx 用户身份运行，进不去 700 的目录。所以网页目录的规矩是：目录 755、文件 644。

这一讲做了什么

• 在阿里云云解析里给主域名加了 A 记录，指向服务器公网 IP。
• 完成 ICP 备案，拿到备案号 浙ICP备2026083051号，放在页面底部。
• 用 certbot 的 webroot 方式申请 Let's Encrypt 证书，先 --dry-run 演练，成功后再正式申请。
• 把站点配置拆成两段：80 端口只负责证书验证和跳转，443 端口才提供内容。
• 启用 certbot-renew.timer，让证书到期前自动续。

关键命令

# 安装 certbot（Rocky 9 需要 EPEL）
sudo dnf install -y epel-release
sudo dnf install -y certbot

# 先演练：-w 是网站根目录，-d 是域名
sudo certbot certonly --webroot -w /var/www/mysite -d xkmlbb666.cyou -d www.xkmlbb666.cyou --dry-run

# 演练出现 The dry run was successful. 后，去掉 --dry-run 正式申请
sudo certbot certonly --webroot -w /var/www/mysite -d xkmlbb666.cyou -d www.xkmlbb666.cyou

# 看本机有哪些证书、什么时候到期
sudo certbot certificates

# 模拟一次续期，确认定时任务配好了
sudo certbot renew --dry-run

# 看续期定时器
systemctl list-timers | grep certbot

主站配置（/etc/nginx/conf.d/mysite.conf）的骨架：

# 80 端口：只为证书申请/续期提供验证文件，其余全部跳到 HTTPS
server {
    listen 80;
    server_name xkmlbb666.cyou www.xkmlbb666.cyou;

    location /.well-known/acme-challenge/ {
        root /var/www/mysite;
    }
    location / {
        return 301 https://$host$request_uri;
    }
}

# 443 端口：真正提供内容
server {
    listen 443 ssl;
    server_name xkmlbb666.cyou www.xkmlbb666.cyou;

    ssl_certificate     /etc/letsencrypt/live/xkmlbb666.cyou/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/xkmlbb666.cyou/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    root  /var/www/mysite;
    index index.html;

    access_log /var/log/nginx/mysite_access.log;
    error_log  /var/log/nginx/mysite_error.log;

    location / {
        try_files $uri $uri/ =404;
    }
}

踩过的坑