简体中文 繁體中文 English 日本語 Deutsch 한국 사람 بالعربية TÜRKÇE português คนไทย Français

开启辅助访问 切换到宽版

站内搜索

搜索

活动公告

通知：是的！我们正在计划一个大动作！
11-02 12:46
通知：Telegram 推送频道https://t.me/+2tB3a7aKXlw2YjA1 及时接收第一手论坛帖子信息～
10-23 09:32
通知：本站资源由网友上传分享，如有违规等问题请到版务模块进行投诉，将及时处理！
10-23 09:31
通知：加入QQ社群吧 https://qm.qq.com/q/QZibQd1hiq
10-23 09:28
通知：签到时间调整为每日4:00（东八区）
10-23 09:26
>社区 > 科技 > 经验交流 >帖子
本版发帖返回

使用openSUSE Tumbleweed轻松搭建高效稳定的网络服务指南从基础配置到安全优化全方位解析助您快速掌握企业级应用

威震华夏关云长

3万

主题

423

科技点

3万

积分

大区版主

木柜子打湿

积分
31916

三倍冰淇淋无人之境【一阶】财Doro小樱（小丑装）立华奏以外的星空【二阶】⑨的冰沙
发表于 2025-9-28 10:20:00 | 显示全部楼层 |阅读模式 [标记阅至此楼]

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要 登录 才可以下载或查看，没有账号？立即注册

x
引言

openSUSE Tumbleweed作为一款滚动发布的Linux发行版，以其稳定性、安全性和最新软件包而闻名，是搭建企业级网络服务的理想选择。本文将详细介绍如何使用openSUSE Tumbleweed从零开始构建高效、稳定且安全的网络服务环境，涵盖基础配置、服务部署、性能优化和安全加固等方面，帮助您快速掌握企业级应用搭建技能。

1. openSUSE Tumbleweed系统安装与基础配置

1.1 系统安装准备

在开始安装openSUSE Tumbleweed之前，需要做好以下准备工作：

1. 下载最新的openSUSE Tumbleweed ISO镜像文件：wget https://download.opensuse.org/tumbleweed/iso/openSUSE-Tumbleweed-DVD-x86_64-Current.iso
2. 创建启动U盘或光盘：# 在Linux系统下使用dd命令创建启动U盘
sudo dd if=openSUSE-Tumbleweed-DVD-x86_64-Current.iso of=/dev/sdX bs=4M status=progress
3. 确保服务器硬件满足最低要求：CPU: 2核或以上内存: 4GB或以上硬盘: 40GB或以上可用空间
4. CPU: 2核或以上
5. 内存: 4GB或以上
6. 硬盘: 40GB或以上可用空间

下载最新的openSUSE Tumbleweed ISO镜像文件：
  2. wget https://download.opensuse.org/tumbleweed/iso/openSUSE-Tumbleweed-DVD-x86_64-Current.iso
复制代码

创建启动U盘或光盘：
  2. # 在Linux系统下使用dd命令创建启动U盘
  3. sudo dd if=openSUSE-Tumbleweed-DVD-x86_64-Current.iso of=/dev/sdX bs=4M status=progress
复制代码

确保服务器硬件满足最低要求：

• CPU: 2核或以上
• 内存: 4GB或以上
• 硬盘: 40GB或以上可用空间

1.2 系统安装过程

1. 从启动介质引导服务器，选择”Installation”选项开始安装。
2. 在安装过程中：选择语言和键盘布局选择”Server”作为基础系统角色配置磁盘分区（建议使用LVM以便后续扩展）设置网络配置（静态IP或DHCP）创建管理员账户和密码
3. 选择语言和键盘布局
4. 选择”Server”作为基础系统角色
5. 配置磁盘分区（建议使用LVM以便后续扩展）
6. 设置网络配置（静态IP或DHCP）
7. 创建管理员账户和密码
8. 完成安装后重启系统。

从启动介质引导服务器，选择”Installation”选项开始安装。

在安装过程中：

• 选择语言和键盘布局
• 选择”Server”作为基础系统角色
• 配置磁盘分区（建议使用LVM以便后续扩展）
• 设置网络配置（静态IP或DHCP）
• 创建管理员账户和密码

完成安装后重启系统。

1.3 系统基础配置

安装完成后，首先更新系统到最新状态：
  2. # 刷新软件包仓库
  3. sudo zypper refresh
  5. # 更新所有软件包
  6. sudo zypper update --no-recommends
  8. # 如果内核更新，重启系统
  9. sudo reboot
复制代码

编辑网络配置文件，设置静态IP地址：
  2. # 查看网络接口名称
  3. ip addr
  5. # 编辑网络配置文件
  6. sudo nano /etc/sysconfig/network/ifcfg-eth0
复制代码

在配置文件中添加以下内容：
  2. BOOTPROTO='static'
  3. IPADDR='192.168.1.100/24'
  4. GATEWAY='192.168.1.1'
  5. DNS1='8.8.8.8'
  6. DNS2='8.8.4.4'
  7. STARTMODE='auto'
复制代码

重启网络服务：
  2. sudo systemctl restart network
复制代码
  2. # 设置主机名
  3. sudo hostnamectl set-hostname server.example.com
  5. # 编辑hosts文件
  6. sudo nano /etc/hosts
复制代码

在hosts文件中添加：
  2. 127.0.0.1   localhost
  3. 192.168.1.100   server.example.com   server
复制代码

openSUSE使用Firewalld作为防火墙管理工具：
  2. # 启动并启用防火墙
  3. sudo systemctl start firewalld
  4. sudo systemctl enable firewalld
  6. # 查看防火墙状态
  7. sudo firewall-cmd --state
  9. # 开放SSH端口（默认22）
  10. sudo firewall-cmd --permanent --add-service=ssh
  11. sudo firewall-cmd --reload
复制代码

为了安全起见，建议修改SSH默认配置：
  2. # 编辑SSH配置文件
  3. sudo nano /etc/ssh/sshd_config
复制代码

修改以下配置项：
  2. # 禁止root登录
  3. PermitRootLogin no
  5. # 更改默认端口
  6. Port 2222
  8. # 仅允许特定用户登录
  9. AllowUsers adminuser
  11. # 禁用密码认证，使用密钥认证
  12. PasswordAuthentication no
  13. PubkeyAuthentication yes
复制代码

重启SSH服务：
  2. sudo systemctl restart sshd
复制代码

2. 网络服务搭建

2.1 Web服务器搭建（Apache/Nginx）
  2. # 安装Apache
  3. sudo zypper install apache2
  5. # 启动并启用Apache服务
  6. sudo systemctl start apache2
  7. sudo systemctl enable apache2
  9. # 检查Apache状态
  10. sudo systemctl status apache2
复制代码

配置Apache虚拟主机：
  2. # 创建网站目录
  3. sudo mkdir -p /srv/www/example.com/public_html
  4. sudo chown -R wwwrun:www /srv/www/example.com/public_html
  6. # 创建虚拟主机配置文件
  7. sudo nano /etc/apache2/vhosts.d/example.com.conf
复制代码

添加以下配置：
  2. <VirtualHost *:80>
  3.     ServerName example.com
  4.     ServerAlias www.example.com
  5.     DocumentRoot /srv/www/example.com/public_html
  6.     ErrorLog /var/log/apache2/example.com-error.log
  7.     CustomLog /var/log/apache2/example.com-access.log combined
  8. </VirtualHost>
复制代码

启用配置并重启Apache：
  2. # 启用配置
  3. sudo a2enmod vhost_alias
  4. sudo a2ensite example.com
  6. # 重启Apache
  7. sudo systemctl restart apache2
复制代码
  2. # 安装Nginx
  3. sudo zypper install nginx
  5. # 启动并启用Nginx服务
  6. sudo systemctl start nginx
  7. sudo systemctl enable nginx
  9. # 检查Nginx状态
  10. sudo systemctl status nginx
复制代码

配置Nginx虚拟主机：
  2. # 创建网站目录
  3. sudo mkdir -p /srv/www/example.com/public_html
  4. sudo chown -R wwwrun:www /srv/www/example.com/public_html
  6. # 创建虚拟主机配置文件
  7. sudo nano /etc/nginx/vhosts.d/example.com.conf
复制代码

添加以下配置：
  2. server {
  3.     listen 80;
  4.     server_name example.com www.example.com;
  5.     root /srv/www/example.com/public_html;
  6.     index index.html index.htm;
  8.     location / {
  9.         try_files $uri $uri/ =404;
  10.     }
  12.     access_log /var/log/nginx/example.com-access.log;
  13.     error_log /var/log/nginx/example.com-error.log;
  14. }
复制代码

测试配置并重启Nginx：
  2. # 测试配置
  3. sudo nginx -t
  5. # 重启Nginx
  6. sudo systemctl restart nginx
复制代码

2.2 数据库服务器搭建（MariaDB/MySQL）
  2. # 安装MariaDB服务器和客户端
  3. sudo zypper install mariadb mariadb-client
  5. # 启动并启用MariaDB服务
  6. sudo systemctl start mariadb
  7. sudo systemctl enable mariadb
  9. # 运行安全安装脚本
  10. sudo mysql_secure_installation
复制代码

创建数据库和用户：
  2. # 登录MariaDB
  3. mysql -u root -p
  5. # 创建数据库
  6. CREATE DATABASE exampledb;
  8. # 创建用户并授权
  9. CREATE USER 'exampleuser'@'localhost' IDENTIFIED BY 'password';
  10. GRANT ALL PRIVILEGES ON exampledb.* TO 'exampleuser'@'localhost';
  11. FLUSH PRIVILEGES;
  12. EXIT;
复制代码
  2. # 添加MySQL仓库
  3. sudo zypper addrepo https://dev.mysql.com/get/mysql-zypper-repo.noarch.rpm
  5. # 刷新仓库
  6. sudo zypper refresh
  8. # 安装MySQL服务器
  9. sudo zypper install mysql-community-server
  11. # 启动并启用MySQL服务
  12. sudo systemctl start mysql
  13. sudo systemctl enable mysql
  15. # 运行安全安装脚本
  16. sudo mysql_secure_installation
复制代码

2.3 PHP环境搭建
  2. # 安装PHP及常用扩展
  3. sudo zypper install php8 php8-fpm php8-mysql php8-gd php8-mbstring php8-xml php8-curl php8-zip
  5. # 启动并启用PHP-FPM服务
  6. sudo systemctl start php-fpm
  7. sudo systemctl enable php-fpm
复制代码

配置Nginx使用PHP-FPM：
  2. # 编辑Nginx配置
  3. sudo nano /etc/nginx/nginx.conf
复制代码

在http块中添加：
  2. upstream php-handler {
  3.     server unix:/run/php-fpm/php-fpm.sock;
  4. }
复制代码

编辑虚拟主机配置：
  2. sudo nano /etc/nginx/vhosts.d/example.com.conf
复制代码

修改配置以支持PHP：
  2. server {
  3.     listen 80;
  4.     server_name example.com www.example.com;
  5.     root /srv/www/example.com/public_html;
  6.     index index.php index.html index.htm;
  8.     location / {
  9.         try_files $uri $uri/ =404;
  10.     }
  12.     location ~ \.php$ {
  13.         fastcgi_pass php-handler;
  14.         fastcgi_index index.php;
  15.         fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  16.         include fastcgi_params;
  17.     }
  19.     access_log /var/log/nginx/example.com-access.log;
  20.     error_log /var/log/nginx/example.com-error.log;
  21. }
复制代码

重启Nginx和PHP-FPM：
  2. sudo systemctl restart nginx
  3. sudo systemctl restart php-fpm
复制代码

2.4 文件服务器搭建（NFS/Samba）
  2. # 安装NFS服务器
  3. sudo zypper install nfs-kernel-server
  5. # 创建共享目录
  6. sudo mkdir -p /srv/nfs/share
  7. sudo chown nobody:nogroup /srv/nfs/share
  8. sudo chmod 777 /srv/nfs/share
  10. # 配置NFS共享
  11. sudo nano /etc/exports
复制代码

添加以下内容：
  2. /srv/nfs/share 192.168.1.0/24(rw,sync,no_subtree_check)
复制代码

启动并启用NFS服务：
  2. sudo systemctl start nfs-server
  3. sudo systemctl enable nfs-server
  5. # 更新NFS共享表
  6. sudo exportfs -a
复制代码

配置防火墙允许NFS：
  2. sudo firewall-cmd --permanent --add-service=nfs
  3. sudo firewall-cmd --permanent --add-service=mountd
  4. sudo firewall-cmd --permanent --add-service=rpc-bind
  5. sudo firewall-cmd --reload
复制代码
  2. # 安装Samba
  3. sudo zypper install samba
  5. # 创建共享目录
  6. sudo mkdir -p /srv/samba/share
  7. sudo chown nobody:nogroup /srv/samba/share
  8. sudo chmod 777 /srv/samba/share
  10. # 配置Samba
  11. sudo nano /etc/samba/smb.conf
复制代码

添加以下配置：
  2. [global]
  3.    workgroup = WORKGROUP
  4.    server string = Samba Server
  5.    security = user
  6.    map to guest = bad user
  7.    dns proxy = no
  9. [Share]
  10.    path = /srv/samba/share
  11.    browsable = yes
  12.    writable = yes
  13.    guest ok = yes
  14.    read only = no
复制代码

启动并启用Samba服务：
  2. sudo systemctl start nmb smb
  3. sudo systemctl enable nmb smb
复制代码

配置防火墙允许Samba：
  2. sudo firewall-cmd --permanent --add-service=samba
  3. sudo firewall-cmd --reload
复制代码

2.5 邮件服务器搭建（Postfix/Dovecot）
  2. # 安装Postfix
  3. sudo zypper install postfix
  5. # 配置Postfix
  6. sudo nano /etc/postfix/main.cf
复制代码

修改以下配置：
  2. myhostname = mail.example.com
  3. mydomain = example.com
  4. myorigin = $mydomain
  5. inet_interfaces = all
  6. mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
  7. mynetworks = 127.0.0.0/8, 192.168.1.0/24
  8. home_mailbox = Maildir/
复制代码

启动并启用Postfix：
  2. sudo systemctl start postfix
  3. sudo systemctl enable postfix
复制代码
  2. # 安装Dovecot
  3. sudo zypper install dovecot dovecot-imapd dovecot-pop3d
  5. # 配置Dovecot
  6. sudo nano /etc/dovecot/dovecot.conf
复制代码

确保以下配置正确：
  2. protocols = imap pop3 lmtp
  3. listen = *
复制代码

配置认证：
  2. sudo nano /etc/dovecot/conf.d/10-auth.conf
复制代码

修改以下配置：
  2. disable_plaintext_auth = no
  3. auth_mechanisms = plain login
复制代码

配置邮件位置：
  2. sudo nano /etc/dovecot/conf.d/10-mail.conf
复制代码

修改以下配置：
  2. mail_location = maildir:~/Maildir
复制代码

启动并启用Dovecot：
  2. sudo systemctl start dovecot
  3. sudo systemctl enable dovecot
复制代码

配置防火墙允许邮件服务：
  2. sudo firewall-cmd --permanent --add-service=smtp
  3. sudo firewall-cmd --permanent --add-service=pop3
  4. sudo firewall-cmd --permanent --add-service=imap
  5. sudo firewall-cmd --permanent --add-service=smtps
  6. sudo firewall-cmd --permanent --add-service=pop3s
  7. sudo firewall-cmd --permanent --add-service=imaps
  8. sudo firewall-cmd --reload
复制代码

3. 服务优化与性能调优

3.1 系统性能优化

编辑sysctl配置文件：
  2. sudo nano /etc/sysctl.d/99-server-tuning.conf
复制代码

添加以下内容：
  2. # 增加文件描述符限制
  3. fs.file-max = 100000
  5. # 网络调优
  6. net.core.rmem_max = 16777216
  7. net.core.wmem_max = 16777216
  8. net.ipv4.tcp_rmem = 4096 87380 16777216
  9. net.ipv4.tcp_wmem = 4096 65536 16777216
  10. net.ipv4.tcp_fin_timeout = 30
  11. net.ipv4.tcp_keepalive_time = 1200
  12. net.ipv4.tcp_max_syn_backlog = 65536
  13. net.core.netdev_max_backlog = 65536
  14. net.ipv4.tcp_max_tw_buckets = 1440000
  15. net.ipv4.tcp_tw_reuse = 1
  16. net.ipv4.tcp_tw_recycle = 0
  17. net.ipv4.tcp_syncookies = 1
  18. net.ipv4.tcp_synack_retries = 2
  19. net.ipv4.tcp_syn_retries = 2
  21. # 虚拟内存调优
  22. vm.swappiness = 10
  23. vm.dirty_ratio = 60
  24. vm.dirty_background_ratio = 2
复制代码

应用配置：
  2. sudo sysctl -p /etc/sysctl.d/99-server-tuning.conf
复制代码

为提高文件系统性能，可以调整挂载选项：
  2. # 编辑fstab文件
  3. sudo nano /etc/fstab
复制代码

修改根分区挂载选项，添加noatime和nodiratime：
  2. UUID=xxxx-xxxx   /   ext4   defaults,noatime,nodiratime   0   1
复制代码

重新挂载文件系统：
  2. sudo mount -o remount /
复制代码

3.2 Web服务器性能优化

编辑Apache配置文件：
  2. sudo nano /etc/apache2/server-tuning.conf
复制代码

修改以下参数：
  2. <IfModule prefork.c>
  3.     StartServers          5
  4.     MinSpareServers       5
  5.     MaxSpareServers      10
  6.     MaxClients          150
  7.     MaxRequestsPerChild  0
  8. </IfModule>
  10. <IfModule worker.c>
  11.     StartServers          2
  12.     MaxClients          150
  13.     MinSpareThreads      25
  14.     MaxSpareThreads      75
  15.     ThreadsPerChild      25
  16.     MaxRequestsPerChild  0
  17. </IfModule>
  19. KeepAlive On
  20. KeepAliveTimeout 5
  21. MaxKeepAliveRequests 100
复制代码

启用Apache缓存模块：
  2. sudo a2enmod cache
  3. sudo a2enmod cache_disk
  4. sudo a2enmod expires
  5. sudo a2enmod headers
  6. sudo a2enmod deflate
复制代码

配置缓存：
  2. sudo nano /etc/apache2/conf.d/cache.conf
复制代码

添加以下内容：
  2. <IfModule mod_cache.c>
  3.     CacheEnable disk /
  4.     CacheRoot /var/cache/apache2/mod_cache_disk
  5.     CacheDirLevels 2
  6.     CacheDirLength 1
  7.     CacheDefaultExpire 3600
  8.     CacheMaxFileSize 1000000
  9.     CacheMinFileSize 1
  10. </IfModule>
  12. <IfModule mod_expires.c>
  13.     ExpiresActive On
  14.     ExpiresByType image/jpg "access plus 1 year"
  15.     ExpiresByType image/jpeg "access plus 1 year"
  16.     ExpiresByType image/gif "access plus 1 year"
  17.     ExpiresByType image/png "access plus 1 year"
  18.     ExpiresByType text/css "access plus 1 month"
  19.     ExpiresByType application/pdf "access plus 1 month"
  20.     ExpiresByType text/x-javascript "access plus 1 month"
  21.     ExpiresByType application/x-shockwave-flash "access plus 1 month"
  22.     ExpiresByType image/x-icon "access plus 1 year"
  23.     ExpiresDefault "access plus 2 days"
  24. </IfModule>
  26. <IfModule mod_deflate.c>
  27.     AddOutputFilterByType DEFLATE text/plain
  28.     AddOutputFilterByType DEFLATE text/html
  29.     AddOutputFilterByType DEFLATE text/xml
  30.     AddOutputFilterByType DEFLATE text/css
  31.     AddOutputFilterByType DEFLATE application/xml
  32.     AddOutputFilterByType DEFLATE application/xhtml+xml
  33.     AddOutputFilterByType DEFLATE application/rss+xml
  34.     AddOutputFilterByType DEFLATE application/javascript
  35.     AddOutputFilterByType DEFLATE application/x-javascript
  36. </IfModule>
复制代码

重启Apache：
  2. sudo systemctl restart apache2
复制代码

编辑Nginx主配置文件：
  2. sudo nano /etc/nginx/nginx.conf
复制代码

修改以下参数：
  2. user wwwrun;
  3. worker_processes auto;
  4. worker_rlimit_nofile 100000;
  6. events {
  7.     worker_connections 4096;
  8.     use epoll;
  9.     multi_accept on;
  10. }
  12. http {
  13.     # 基本设置
  14.     sendfile on;
  15.     tcp_nopush on;
  16.     tcp_nodelay on;
  17.     keepalive_timeout 30;
  18.     keepalive_requests 100000;
  19.     reset_timedout_connection on;
  20.     client_body_timeout 10;
  21.     send_timeout 2;
  22.    
  23.     # 缓冲区设置
  24.     client_body_buffer_size 128k;
  25.     client_max_body_size 10m;
  26.     client_header_buffer_size 1k;
  27.     large_client_header_buffers 4 4k;
  28.     output_buffers 1 32k;
  29.     postpone_output 1460;
  30.    
  31.     # Gzip压缩
  32.     gzip on;
  33.     gzip_min_length 10240;
  34.     gzip_proxied expired no-cache no-store private auth;
  35.     gzip_types text/plain text/css text/xml text/javascript application/x-javascript application/xml;
  36.     gzip_disable "MSIE [1-6]\.";
  37.    
  38.     # 缓存设置
  39.     open_file_cache max=200000 inactive=20s;
  40.     open_file_cache_valid 30s;
  41.     open_file_cache_min_uses 2;
  42.     open_file_cache_errors on;
  43. }
复制代码

重启Nginx：
  2. sudo systemctl restart nginx
复制代码

3.3 数据库性能优化

编辑MariaDB/MySQL配置文件：
  2. sudo nano /etc/my.cnf
复制代码

添加以下内容：
  2. [mysqld]
  3. # 基本设置
  4. character-set-server = utf8mb4
  5. collation-server = utf8mb4_unicode_ci
  6. default-storage-engine = InnoDB
  8. # 内存设置
  9. innodb_buffer_pool_size = 2G
  10. innodb_buffer_pool_instances = 2
  11. innodb_log_file_size = 256M
  12. innodb_log_buffer_size = 8M
  13. innodb_flush_log_at_trx_commit = 2
  14. innodb_flush_method = O_DIRECT
  15. innodb_file_per_table = 1
  16. key_buffer_size = 256M
  17. max_allowed_packet = 16M
  18. thread_cache_size = 16
  19. table_open_cache = 2000
  20. query_cache_type = 1
  21. query_cache_size = 128M
  22. query_cache_limit = 2M
  24. # 连接设置
  25. max_connections = 200
  26. max_connect_errors = 100000
  27. wait_timeout = 300
  28. interactive_timeout = 300
  30. # 其他设置
  31. skip-name-resolve
  32. sync_binlog = 0
  33. slow_query_log = 1
  34. slow_query_log_file = /var/log/mysql/slow.log
  35. long_query_time = 2
复制代码

重启MariaDB/MySQL：
  2. sudo systemctl restart mariadb
复制代码

3.4 PHP性能优化

编辑PHP-FPM配置文件：
  2. sudo nano /etc/php8/php-fpm.d/www.conf
复制代码

修改以下参数：
  2. pm = dynamic
  3. pm.max_children = 100
  4. pm.start_servers = 20
  5. pm.min_spare_servers = 10
  6. pm.max_spare_servers = 30
  7. pm.max_requests = 1000
复制代码

编辑PHP配置文件：
  2. sudo nano /etc/php8/php.ini
复制代码

修改以下参数：
  2. memory_limit = 256M
  3. max_execution_time = 300
  4. max_input_time = 300
  5. upload_max_filesize = 64M
  6. post_max_size = 64M
  7. max_file_uploads = 20
  8. realpath_cache_size = 4096k
  9. realpath_cache_ttl = 120
  10. opcache.enable = 1
  11. opcache.memory_consumption = 128
  12. opcache.interned_strings_buffer = 8
  13. opcache.max_accelerated_files = 4000
  14. opcache.revalidate_freq = 60
  15. opcache.fast_shutdown = 1
  16. opcache.enable_file_override = 0
  17. opcache.validate_timestamps = 1
复制代码

重启PHP-FPM：
  2. sudo systemctl restart php-fpm
复制代码

4. 安全加固与防护

4.1 系统安全加固

创建管理员用户并禁用root远程登录：
  2. # 创建新用户
  3. sudo useradd -m -G wheel adminuser
  4. sudo passwd adminuser
  6. # 禁用root远程SSH登录
  7. sudo nano /etc/ssh/sshd_config
复制代码

修改以下配置：
  2. PermitRootLogin no
复制代码

重启SSH服务：
  2. sudo systemctl restart sshd
复制代码

编辑sudoers文件：
  2. sudo visudo
复制代码

添加以下内容：
  2. # 允许wheel组成员使用sudo
  3. %wheel ALL=(ALL) ALL
  5. # 允许adminuser无需密码使用sudo
  6. adminuser ALL=(ALL) NOPASSWD: ALL
复制代码

安装并配置自动更新：
  2. # 安装自动更新工具
  3. sudo zypper install zypper-automatic
  5. # 配置自动更新
  6. sudo nano /etc/zypp/zypper-automatic.conf
复制代码

修改以下配置：
  2. [Main]
  3. UpdateInterval = daily
  4. RandomizeDelay = 60
  5. UpdateType = security
复制代码

启用并启动自动更新服务：
  2. sudo systemctl enable --now zypper-automatic.timer
复制代码

4.2 防火墙配置

配置更严格的防火墙规则：
  2. # 创建新的防火墙区域
  3. sudo firewall-cmd --permanent --new-zone=publicweb
  5. # 设置默认策略
  6. sudo firewall-cmd --permanent --zone=publicweb --set-target=DROP
  8. # 开放必要端口
  9. sudo firewall-cmd --permanent --zone=publicweb --add-service=http
  10. sudo firewall-cmd --permanent --zone=publicweb --add-service=https
  11. sudo firewall-cmd --permanent --zone=publicweb --add-service=ssh
  13. # 将网络接口分配到新区域
  14. sudo firewall-cmd --permanent --zone=publicweb --change-interface=eth0
  16. # 重新加载防火墙配置
  17. sudo firewall-cmd --reload
复制代码

如果需要配置端口转发：
  2. # 启用IP伪装（NAT）
  3. sudo firewall-cmd --permanent --zone=publicweb --add-masquerade
  5. # 配置端口转发
  6. sudo firewall-cmd --permanent --zone=publicweb --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.100
  8. # 重新加载防火墙配置
  9. sudo firewall-cmd --reload
复制代码

4.3 Fail2Ban防护
  2. # 安装Fail2Ban
  3. sudo zypper install fail2ban
  5. # 创建本地配置文件
  6. sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
  8. # 编辑配置文件
  9. sudo nano /etc/fail2ban/jail.local
复制代码

修改以下配置：
  2. [DEFAULT]
  3. bantime = 1h
  4. findtime = 10m
  5. maxretry = 3
  7. [sshd]
  8. enabled = true
  9. port = 2222
  10. logpath = %(sshd_log)s
  11. maxretry = 3
  12. bantime = 1d
  14. [apache-auth]
  15. enabled = true
  16. port = http,https
  17. logpath = %(apache_error_log)s
  18. maxretry = 3
  19. bantime = 1d
  21. [nginx-http-auth]
  22. enabled = true
  23. port = http,https
  24. logpath = %(nginx_error_log)s
  25. maxretry = 3
  26. bantime = 1d
复制代码

启动并启用Fail2Ban：
  2. sudo systemctl start fail2ban
  3. sudo systemctl enable fail2ban
复制代码

4.4 SSL/TLS安全配置

使用Let’s Encrypt获取免费SSL证书：
  2. # 安装Certbot
  3. sudo zypper install certbot
  5. # 获取证书
  6. sudo certbot certonly --webroot -w /srv/www/example.com/public_html -d example.com -d www.example.com
复制代码

启用SSL模块：
  2. sudo a2enmod ssl
复制代码

创建SSL配置文件：
  2. sudo nano /etc/apache2/vhosts.d/example.com-ssl.conf
复制代码

添加以下内容：
  2. <IfModule mod_ssl.c>
  3. <VirtualHost *:443>
  4.     ServerName example.com
  5.     ServerAlias www.example.com
  6.     DocumentRoot /srv/www/example.com/public_html
  7.     ErrorLog /var/log/apache2/example.com-ssl-error.log
  8.     CustomLog /var/log/apache2/example.com-ssl-access.log combined
  9.    
  10.     SSLEngine on
  11.     SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
  12.     SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
  13.    
  14.     # 安全配置
  15.     SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
  16.     SSLCipherSuite HIGH:!aNULL:!MD5
  17.     SSLHonorCipherOrder on
  18.     SSLCompression off
  19.     SSLSessionTickets off
  20.    
  21.     # HSTS
  22.     Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  23. </VirtualHost>
  24. </IfModule>
复制代码

重启Apache：
  2. sudo systemctl restart apache2
复制代码

编辑Nginx虚拟主机配置：
  2. sudo nano /etc/nginx/vhosts.d/example.com.conf
复制代码

添加以下内容：
  2. server {
  3.     listen 80;
  4.     server_name example.com www.example.com;
  5.     return 301 https://$host$request_uri;
  6. }
  8. server {
  9.     listen 443 ssl http2;
  10.     server_name example.com www.example.com;
  11.     root /srv/www/example.com/public_html;
  12.     index index.php index.html index.htm;
  13.    
  14.     ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  15.     ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
  16.    
  17.     # 安全配置
  18.     ssl_protocols TLSv1.2 TLSv1.3;
  19.     ssl_prefer_server_ciphers on;
  20.     ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
  21.     ssl_session_timeout 1d;
  22.     ssl_session_cache shared:SSL:50m;
  23.     ssl_session_tickets off;
  24.     ssl_stapling on;
  25.     ssl_stapling_verify on;
  26.    
  27.     # HSTS
  28.     add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
  29.    
  30.     location / {
  31.         try_files $uri $uri/ =404;
  32.     }
  33.    
  34.     location ~ \.php$ {
  35.         fastcgi_pass php-handler;
  36.         fastcgi_index index.php;
  37.         fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  38.         include fastcgi_params;
  39.     }
  40.    
  41.     access_log /var/log/nginx/example.com-ssl-access.log;
  42.     error_log /var/log/nginx/example.com-ssl-error.log;
  43. }
复制代码

重启Nginx：
  2. sudo systemctl restart nginx
复制代码

4.5 安全扫描与审计

Lynis是一款强大的安全审计工具：
  2. # 安装Lynis
  3. sudo zypper install lynis
  5. # 运行安全审计
  6. sudo lynis audit system
  8. # 查看报告
  9. sudo cat /var/log/lynis-report.dat
复制代码

安装并配置auditd：
  2. # 安装auditd
  3. sudo zypper install auditd
  5. # 启动并启用auditd
  6. sudo systemctl start auditd
  7. sudo systemctl enable auditd
  9. # 添加审计规则
  10. sudo nano /etc/audit/rules.d/audit.rules
复制代码

添加以下内容：
  2. # 监控文件变更
  3. -w /etc/passwd -p wa -k identity
  4. -w /etc/group -p wa -k identity
  5. -w /etc/shadow -p wa -k identity
  6. -w /etc/sudoers -p wa -k identity
  7. -w /etc/ssh/sshd_config -p wa -k sshd_config
  9. # 监控系统调用
  10. -a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod
  11. -a always,exit -F arch=b64 -S chown,fchown,lchown,fchownat -F auid>=1000 -F auid!=4294967295 -k perm_mod
复制代码

重新加载审计规则：
  2. sudo systemctl restart auditd
  3. sudo auditctl -R /etc/audit/rules.d/audit.rules
复制代码

5. 监控与维护

5.1 系统监控
  2. # 添加Zabbix仓库
  3. sudo rpm -Uvh https://repo.zabbix.com/zabbix/5.0/sles/15/x86_64/zabbix-release-5.0-1.sles15.noarch.rpm
  5. # 刷新仓库
  6. sudo zypper refresh
  8. # 安装Zabbix服务器、前端和代理
  9. sudo zypper install zabbix-server-mysql zabbix-web-mysql zabbix-apache-conf zabbix-agent
  11. # 创建数据库和用户
  12. mysql -u root -p
  13. CREATE DATABASE zabbix CHARACTER SET utf8mb4 COLLATE utf8mb4_bin;
  14. CREATE USER zabbix@localhost IDENTIFIED BY 'password';
  15. GRANT ALL PRIVILEGES ON zabbix.* TO zabbix@localhost;
  16. EXIT;
  18. # 导入初始架构和数据
  19. zcat /usr/share/doc/packages/zabbix-server-mysql/create.sql.gz | mysql -uzabbix -p zabbix
  21. # 配置Zabbix服务器
  22. sudo nano /etc/zabbix/zabbix_server.conf
复制代码

修改以下配置：
  2. DBHost=localhost
  3. DBName=zabbix
  4. DBUser=zabbix
  5. DBPassword=password
复制代码

配置PHP前端：
  2. sudo nano /etc/php7/php.ini
复制代码

修改以下配置：
  2. max_execution_time = 300
  3. memory_limit = 128M
  4. post_max_size = 16M
  5. upload_max_filesize = 2M
  6. max_input_time = 300
  7. date.timezone = Asia/Shanghai
复制代码

启动并启用Zabbix服务：
  2. sudo systemctl restart zabbix-server zabbix-agent apache2
  3. sudo systemctl enable zabbix-server zabbix-agent apache2
复制代码

访问http://server.example.com/zabbix完成Zabbix前端安装。
  2. # 安装Prometheus
  3. sudo zypper install prometheus prometheus-node_exporter
  5. # 配置Prometheus
  6. sudo nano /etc/prometheus/prometheus.yml
复制代码

添加以下内容：
  2. global:
  3.   scrape_interval: 15s
  4.   evaluation_interval: 15s
  6. rule_files:
  7.   # - "first_rules.yml"
  8.   # - "second_rules.yml"
  10. scrape_configs:
  11.   - job_name: 'prometheus'
  12.     static_configs:
  13.       - targets: ['localhost:9090']
  15.   - job_name: 'node_exporter'
  16.     static_configs:
  17.       - targets: ['localhost:9100']
复制代码

启动并启用Prometheus和Node Exporter：
  2. sudo systemctl start prometheus node_exporter
  3. sudo systemctl enable prometheus node_exporter
复制代码

安装Grafana：
  2. # 添加Grafana仓库
  3. sudo zypper addrepo https://packages.grafana.com/oss/rpm grafana
  5. # 刷新仓库
  6. sudo zypper refresh
  8. # 安装Grafana
  9. sudo zypper install grafana
  11. # 启动并启用Grafana
  12. sudo systemctl start grafana-server
  13. sudo systemctl enable grafana-server
复制代码

访问http://server.example.com:3000配置Grafana，并添加Prometheus作为数据源。

5.2 日志管理

安装Elasticsearch：
  2. # 添加Elasticsearch仓库
  3. sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch
  4. sudo zypper addrepo https://artifacts.elastic.co/packages/7.x/yum elasticsearch
  6. # 刷新仓库
  7. sudo zypper refresh
  9. # 安装Elasticsearch
  10. sudo zypper install elasticsearch
  12. # 配置Elasticsearch
  13. sudo nano /etc/elasticsearch/elasticsearch.yml
复制代码

修改以下配置：
  2. network.host: 0.0.0.0
  3. discovery.type: single-node
复制代码

启动并启用Elasticsearch：
  2. sudo systemctl start elasticsearch
  3. sudo systemctl enable elasticsearch
复制代码

安装Logstash：
  2. # 安装Logstash
  3. sudo zypper install logstash
  5. # 创建配置文件
  6. sudo nano /etc/logstash/conf.d/02-beats-input.conf
复制代码

添加以下内容：
  2. input {
  3.   beats {
  4.     port => 5044
  5.   }
  6. }
复制代码

创建过滤器配置：
  2. sudo nano /etc/logstash/conf.d/10-syslog-filter.conf
复制代码

添加以下内容：
  2. filter {
  3.   if [type] == "syslog" {
  4.     grok {
  5.       match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
  6.     }
  7.     date {
  8.       match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
  9.     }
  10.   }
  11. }
复制代码

创建输出配置：
  2. sudo nano /etc/logstash/conf.d/30-elasticsearch-output.conf
复制代码

添加以下内容：
  2. output {
  3.   elasticsearch {
  4.     hosts => ["localhost:9200"]
  5.     index => "%{[@metadata][beat]}-%{+YYYY.MM.dd}"
  6.   }
  7. }
复制代码

启动并启用Logstash：
  2. sudo systemctl start logstash
  3. sudo systemctl enable logstash
复制代码

安装Kibana：
  2. # 安装Kibana
  3. sudo zypper install kibana
  5. # 配置Kibana
  6. sudo nano /etc/kibana/kibana.yml
复制代码

修改以下配置：
  2. server.host: "0.0.0.0"
  3. elasticsearch.hosts: ["http://localhost:9200"]
复制代码

启动并启用Kibana：
  2. sudo systemctl start kibana
  3. sudo systemctl enable kibana
复制代码

访问http://server.example.com:5601配置Kibana。
  2. # 安装Filebeat
  3. sudo zypper install filebeat
  5. # 配置Filebeat
  6. sudo nano /etc/filebeat/filebeat.yml
复制代码

修改以下配置：
  2. filebeat.inputs:
  3. - type: log
  4.   enabled: true
  5.   paths:
  6.     - /var/log/*.log
  7.     - /var/log/messages
  8.     - /var/log/secure
  9.     - /var/log/maillog
  11. output.logstash:
  12.   hosts: ["localhost:5044"]
复制代码

启动并启用Filebeat：
  2. sudo systemctl start filebeat
  3. sudo systemctl enable filebeat
复制代码

5.3 自动化备份

创建备份脚本：
  2. sudo nano /usr/local/bin/backup.sh
复制代码

添加以下内容：
  2. #!/bin/bash
  4. # 设置变量
  5. BACKUP_DIR="/backup"
  6. DATE=$(date +%Y%m%d)
  7. RETENTION_DAYS=30
  9. # 创建备份目录
  10. mkdir -p $BACKUP_DIR/$DATE
  12. # 备份系统配置文件
  13. tar -czf $BACKUP_DIR/$DATE/etc.tar.gz /etc
  15. # 备份网站文件
  16. tar -czf $BACKUP_DIR/$DATE/www.tar.gz /srv/www
  18. # 备份数据库
  19. mysqldump --all-databases | gzip > $BACKUP_DIR/$DATE/mysql.sql.gz
  21. # 删除旧备份
  22. find $BACKUP_DIR -type d -mtime +$RETENTION_DAYS -exec rm -rf {} \;
  24. # 记录日志
  25. echo "Backup completed on $(date)" >> /var/log/backup.log
复制代码

使脚本可执行：
  2. sudo chmod +x /usr/local/bin/backup.sh
复制代码

编辑crontab：
  2. sudo crontab -e
复制代码

添加以下内容：
  2. # 每天凌晨2点执行备份
  3. 0 2 * * * /usr/local/bin/backup.sh
复制代码

6. 高级配置与故障排除

6.1 负载均衡配置

编辑Nginx配置：
  2. sudo nano /etc/nginx/conf.d/load-balancer.conf
复制代码

添加以下内容：
  2. upstream backend {
  3.     least_conn;
  4.     server backend1.example.com weight=5;
  5.     server backend2.example.com weight=5;
  6.     server backend3.example.com backup;
  7. }
  9. server {
  10.     listen 80;
  11.     server_name loadbalancer.example.com;
  13.     location / {
  14.         proxy_pass http://backend;
  15.         proxy_set_header Host $host;
  16.         proxy_set_header X-Real-IP $remote_addr;
  17.         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  18.         proxy_set_header X-Forwarded-Proto $scheme;
  19.     }
  20. }
复制代码

重启Nginx：
  2. sudo systemctl restart nginx
复制代码

安装HAProxy：
  2. sudo zypper install haproxy
复制代码

配置HAProxy：
  2. sudo nano /etc/haproxy/haproxy.cfg
复制代码

添加以下内容：
  2. global
  3.     log         127.0.0.1 local2
  4.     chroot      /var/lib/haproxy
  5.     pidfile     /var/run/haproxy.pid
  6.     maxconn     4000
  7.     user        haproxy
  8.     group       haproxy
  9.     daemon
  11.     ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
  12.     ssl-default-bind-options ssl-min-ver TLSv1.2 no-tls-tickets
  14. defaults
  15.     mode                    http
  16.     log                     global
  17.     option                  httplog
  18.     option                  dontlognull
  19.     option http-server-close
  20.     option forwardfor       except 127.0.0.0/8
  21.     option                  redispatch
  22.     retries                 3
  23.     timeout http-request    10s
  24.     timeout queue           1m
  25.     timeout connect         10s
  26.     timeout client          1m
  27.     timeout server          1m
  28.     timeout http-keep-alive 10s
  29.     timeout check           10s
  30.     maxconn                 3000
  32. frontend http-in
  33.     bind *:80
  34.     default_backend servers
  36. backend servers
  37.     balance     roundrobin
  38.     server      server1 192.168.1.101:80 check
  39.     server      server2 192.168.1.102:80 check
  40.     server      server3 192.168.1.103:80 check backup
复制代码

启动并启用HAProxy：
  2. sudo systemctl start haproxy
  3. sudo systemctl enable haproxy
复制代码

6.2 高可用性配置

安装Keepalived：
  2. sudo zypper install keepalived
复制代码

配置Keepalived（主节点）：
  2. sudo nano /etc/keepalived/keepalived.conf
复制代码

添加以下内容：
  2. vrrp_script chk_nginx {
  3.     script "killall -0 nginx"
  4.     interval 2
  5.     weight 2
  6. }
  8. vrrp_instance VI_1 {
  9.     state MASTER
  10.     interface eth0
  11.     virtual_router_id 51
  12.     priority 101
  13.     advert_int 1
  14.     authentication {
  15.         auth_type PASS
  16.         auth_pass mysecret
  17.     }
  18.     virtual_ipaddress {
  19.         192.168.1.100/24 dev eth0
  20.     }
  21.     track_script {
  22.         chk_nginx
  23.     }
  24. }
复制代码

配置Keepalived（备节点）：
  2. sudo nano /etc/keepalived/keepalived.conf
复制代码

添加以下内容：
  2. vrrp_script chk_nginx {
  3.     script "killall -0 nginx"
  4.     interval 2
  5.     weight 2
  6. }
  8. vrrp_instance VI_1 {
  9.     state BACKUP
  10.     interface eth0
  11.     virtual_router_id 51
  12.     priority 100
  13.     advert_int 1
  14.     authentication {
  15.         auth_type PASS
  16.         auth_pass mysecret
  17.     }
  18.     virtual_ipaddress {
  19.         192.168.1.100/24 dev eth0
  20.     }
  21.     track_script {
  22.         chk_nginx
  23.     }
  24. }
复制代码

启动并启用Keepalived：
  2. sudo systemctl start keepalived
  3. sudo systemctl enable keepalived
复制代码

安装Corosync和Pacemaker：
  2. sudo zypper install corosync pacemaker
复制代码

配置Corosync：
  2. sudo nano /etc/corosync/corosync.conf
复制代码

添加以下内容：
  2. totem {
  3.     version: 2
  4.     cluster_name: mycluster
  5.     transport: udpu
  6.     interface {
  7.         ringnumber: 0
  8.         bindnetaddr: 192.168.1.0
  9.         mcastport: 5405
  10.     }
  11. }
  13. nodelist {
  14.     node {
  15.         ring0_addr: 192.168.1.101
  16.         name: node1
  17.         nodeid: 1
  18.     }
  19.     node {
  20.         ring0_addr: 192.168.1.102
  21.         name: node2
  22.         nodeid: 2
  23.     }
  24. }
  26. quorum {
  27.     provider: corosync_votequorum
  28.     two_node: 1
  29. }
  31. logging {
  32.     to_logfile: yes
  33.     logfile: /var/log/cluster/corosync.log
  34.     to_syslog: yes
  35. }
复制代码

启动并启用Corosync和Pacemaker：
  2. sudo systemctl start corosync pacemaker
  3. sudo systemctl enable corosync pacemaker
复制代码

配置集群资源：
  2. # 禁用STONITH
  3. sudo pcs property set stonith-enabled=false
  5. # 设置无仲裁策略
  6. sudo pcs property set no-quorum-policy=ignore
  8. # 创建虚拟IP资源
  9. sudo pcs resource create virtualip ocf:heartbeat:IPaddr2 ip=192.168.1.100 cidr_netmask=24 op monitor interval=30s
  11. # 创建Web服务器资源
  12. sudo pcs resource create webserver systemd:nginx op monitor interval=30s
  14. # 设置资源约束
  15. sudo pcs constraint colocation add webserver with virtualip INFINITY
  16. sudo pcs constraint order virtualip then webserver
复制代码

6.3 常见故障排除

检查网络接口状态：
  2. ip addr
复制代码

检查路由表：
  2. ip route
复制代码

检查DNS解析：
  2. nslookup example.com
复制代码

检查端口监听状态：
  2. ss -tulpn
复制代码

检查服务状态：
  2. sudo systemctl status servicename
复制代码

查看服务日志：
  2. sudo journalctl -u servicename
复制代码

检查服务配置文件：
  2. sudo -u servicename configfile
复制代码

检查系统负载：
  2. top
  3. htop
复制代码

检查内存使用：
  2. free -h
复制代码

检查磁盘I/O：
  2. iostat -xz 1
复制代码

检查网络连接：
  2. netstat -an
  3. ss -s
复制代码

7. 总结

通过本文的详细介绍，您已经学会了如何使用openSUSE Tumbleweed搭建高效稳定的网络服务。我们从系统安装和基础配置开始，逐步介绍了Web服务器、数据库服务器、文件服务器和邮件服务器的搭建方法，然后深入探讨了服务优化与性能调优的技巧，接着介绍了安全加固与防护的措施，最后讲解了监控与维护的方法。

openSUSE Tumbleweed作为一款滚动发布的Linux发行版，其稳定性和安全性使其成为企业级网络服务的理想选择。通过合理配置和优化，您可以构建一个高性能、高可用且安全可靠的网络服务环境。

希望本文能够帮助您快速掌握openSUSE Tumbleweed的网络服务搭建技能，并在实际工作中应用这些知识，构建出满足企业需求的高效稳定网络服务。
服务指南, 企业级, 解析, 搭建, 高效
回复

使用道具 举报

返回列表 发新帖
您需要登录后才可以回帖 登录 | 立即注册
高级模式
B Color Image Link Quote Code Smilies

本版积分规则

友情链接

keba
磕巴白菜
别管 别听 就是玩
二次元论坛
二次元论坛
按下F逃离世界！
次元宅社
次元宅社
开放、共创，CHANGE SEKAI！
频道订阅

频道订阅

加入社群

加入社群

联系我们|TG频道|RSS

Powered by Pixtech

© 2025 Pixtech Team.