四、运维应用场景实践

1. 监控探针部署

优势:

• 低延迟利于实时监控
• 资源占用小
• 跨境监测点位优秀

部署建议:

# 创建监控专用目录
mkdir -p /data/monitor/prometheus
mkdir -p /data/monitor/alertmanager
mkdir -p /data/monitor/grafana

# 部署Prometheus监控系统
docker run -d \
  --name prometheus \
  -p 9090:9090 \
  -v /data/monitor/prometheus:/prometheus \
  -v $(pwd)/prometheus.yml:/etc/prometheus/prometheus.yml \
  --restart always \
  prom/prometheus

# 部署Grafana面板
docker run -d \
  --name grafana \
  -p 3000:3000 \
  -v /data/monitor/grafana:/var/lib/grafana \
  --restart always \
  grafana/grafana

# 部署Blackbox Exporter用于网络探测
docker run -d \
  --name blackbox-exporter \
  -p 9115:9115 \
  -v $(pwd)/blackbox.yml:/config/blackbox.yml \
  --restart always \
  prom/blackbox-exporter:latest

2. VPN网关搭建

优势:

• 香港节点访问稳定
• 支持主流VPN协议
• 带宽够用不限速

部署建议:

# 安装WireGuard
apt update && apt install -y wireguard

# 开启IP转发
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

# 生成WireGuard密钥
wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

# 创建WireGuard配置
cat > /etc/wireguard/wg0.conf << EOF
[Interface]
PrivateKey = $(cat /etc/wireguard/privatekey)
Address = 10.0.0.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# 客户端配置在此添加
[Peer]
PublicKey = 客户端公钥
AllowedIPs = 10.0.0.2/32
EOF

# 启动WireGuard
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

3. 故障排查环境

优势:

• 可快速重装系统
• 支持自定义镜像
• 按小时计费灵活

部署建议:

# 创建常用工具目录
mkdir -p /opt/troubleshooting/scripts
mkdir -p /opt/troubleshooting/tools

# 安装常用故障排查工具
apt update && apt install -y \
  nmap tcpdump iftop iotop htop \
  strace lsof sysstat dstat \
  net-tools curl wget

# 创建系统资源监控脚本
cat > /opt/troubleshooting/scripts/system_check.sh << EOF
#!/bin/bash
echo "==== 系统资源状态检查 $(date) ===="
echo -e "\n### CPU使用率 ###"
mpstat 1 5
echo -e "\n### 内存使用情况 ###"
free -m
echo -e "\n### 磁盘使用情况 ###"
df -h
echo -e "\n### 网络连接状态 ###"
netstat -tunlp | grep ESTABLISHED | wc -l
echo -e "\n### 最近5分钟负载 ###"
uptime
echo -e "\n### IO等待情况 ###"
iostat -x 1 5
EOF

chmod +x /opt/troubleshooting/scripts/system_check.sh

# 创建网络测试脚本
cat > /opt/troubleshooting/scripts/network_test.sh << EOF
#!/bin/bash
echo "==== 网络连通性测试 $(date) ===="
echo -e "\n### 国内站点延迟 ###"
ping -c 5 www.baidu.com
echo -e "\n### 国际站点延迟 ###"
ping -c 5 www.google.com
echo -e "\n### 路由追踪 ###"
traceroute www.baidu.com
EOF

chmod +x /opt/troubleshooting/scripts/network_test.sh

4. 邮件服务器

优势:

• 支持全套邮件协议
• IP质量较好
• 出口带宽稳定

部署建议:

# 安装Postfix邮件服务器
apt update && apt install -y postfix dovecot-imapd dovecot-pop3d

# 配置Postfix主配置文件
cat > /etc/postfix/main.cf << EOF
# 基本设置
myhostname = mail.yourdomain.com
mydomain = yourdomain.com
myorigin = \$mydomain
inet_interfaces = all
mydestination = \$myhostname, localhost.\$mydomain, \$mydomain
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128

# SMTP认证设置
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination

# TLS设置
smtpd_tls_cert_file = /etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file = /etc/ssl/private/ssl-cert-snakeoil.key
smtpd_tls_security_level = may
smtp_tls_security_level = may
EOF

# 配置DKIM
apt install -y opendkim opendkim-tools
mkdir -p /etc/opendkim/keys/yourdomain.com
cd /etc/opendkim/keys/yourdomain.com
opendkim-genkey -d yourdomain.com -s mail
chown opendkim:opendkim mail.private

# 配置SPF DNS记录 (需手动添加到DNS)
echo "添加以下SPF记录到DNS:"
echo "yourdomain.com. IN TXT \"v=spf1 mx a ip4:服务器IP -all\""

# 设置邮件发送频率限制
cat >> /etc/postfix/main.cf << EOF
# 邮件发送频率限制
anvil_rate_time_unit = 60s
smtpd_client_connection_rate_limit = 30
smtpd_client_message_rate_limit = 100
smtpd_client_recipient_rate_limit = 100
EOF

# 创建邮件黑名单检查脚本
cat > /usr/local/bin/check_blacklist.sh << EOF
#!/bin/bash
IP=\$(curl -s ifconfig.me)
echo "检查IP \$IP 的黑名单状态"
echo "==== 黑名单检查结果 $(date) ===="
for bl in zen.spamhaus.org blacklist.woody.ch cbl.abuseat.org \
          bogons.cymru.com combined.abuse.ch db.wpbl.info dnsbl.cyberlogic.net
do
    printf "%-40s" "\$bl"
    REVERSE=\$(echo \$IP | sed -ne "s~^\\([0-9]\\{1,3\\}\\)\\.\\([0-9]\\{1,3\\}\\)\\.\\([0-9]\\{1,3\\}\\)\\.\\([0-9]\\{1,3\\}\\)$~\\4.\\3.\\2.\\1~p")
    CHECK=\$(host -W 2 \$REVERSE.\$bl. | grep -E "has address|NXDOMAIN")
    if [ "\$CHECK" == "" ]; then
        echo "超时"
    elif [[ \$CHECK == *NXDOMAIN* ]]; then
        echo "未列入黑名单"
    else
        echo "已列入黑名单"
    fi
done
EOF

chmod +x /usr/local/bin/check_blacklist.sh

# 设置定期检查黑名单
echo "0 */6 * * * root /usr/local/bin/check_blacklist.sh > /var/log/blacklist_check.log 2>&1" > /etc/cron.d/blacklist_check