Ubuntu LAMP如何实现远程管理

Ubuntu LAMP 远程管理实操指南

一 管理边界与总体架构

• 远程管理通常分为三类：系统层面（命令行）、数据库层面（MySQL/MariaDB）、网站文件与发布（代码与静态资源）。
• 推荐架构：仅开放22/80/443端口；系统用SSH密钥登录；数据库优先通过SSH隧道访问；网站文件用SFTP/rsync over SSH发布；云上需配置安全组/防火墙放行对应端口。

二 系统层面远程管理 SSH

• 安装与启动 SSH 服务：
  • 安装：sudo apt install openssh-server
  • 启动/开机自启：sudo systemctl enable --now ssh
• 加固 SSH（禁用密码、仅用密钥）：
  • 编辑：sudo nano /etc/ssh/sshd_config
  • 设置：PubkeyAuthentication yes、PasswordAuthentication no
  • 重启：sudo systemctl restart ssh
• 使用密钥登录：
  • 本地生成：ssh-keygen -t rsa -b 4096
  • 上传公钥到服务器：ssh-copy-id user@server_ip
  • 登录：ssh user@server_ip
• 防火墙放行 SSH：
  • UFW：sudo ufw allow 22/tcp && sudo ufw enable
  • 云厂商安全组：入方向放行TCP 22。

三 数据库远程管理 MySQL/MariaDB

• 安全基线：
  • 运行安全脚本：sudo mysql_secure_installation（设置强 root 密码、移除匿名用户、禁止远程 root 登录等）
• 允许远程连接（按需开启）：
  • 编辑配置：sudo nano /etc/mysql/mysql.conf.d/mysqld.cnf
  • 将 bind-address 改为 0.0.0.0（或注释掉该行），保存后重启：sudo systemctl restart mysql
• 创建远程管理账号（避免使用 root 远程）：
  • 登录 MySQL：sudo mysql -u root -p
  • 授权示例（更安全）：CREATE USER ‘admin’@‘你的办公网IP’ IDENTIFIED BY ‘强密码’; GRANT ALL PRIVILEGES ON . TO ‘admin’@‘你的办公网IP’ WITH GRANT OPTION; FLUSH PRIVILEGES;
  • 如需全网管理（风险更高）：CREATE USER ‘admin’@‘%’ IDENTIFIED BY ‘强密码’; GRANT ALL PRIVILEGES ON . TO ‘admin’@‘%’ WITH GRANT OPTION; FLUSH PRIVILEGES;
• 防火墙放行数据库端口（如确需直连数据库）：
  • UFW：sudo ufw allow 3306/tcp
  • 云安全组：入方向放行TCP 3306（建议仅对受控 IP 开放）
• 更安全的做法（推荐）：使用 SSH 隧道访问数据库
  • 建立隧道：ssh -L 3306:localhost:3306 user@server_ip
  • 本地连接：将客户端指向 localhost:3306，流量经 SSH 加密隧道到达服务器本机 MySQL。

四 网站文件与发布管理

• SFTP 发布（基于 SSH，系统自带）：
  • 使用支持 SFTP 的客户端（如 FileZilla、WinSCP），以系统用户登录，根目录通常为 /var/www
  • 权限建议：目录 755，文件 644；如需写入，可将部署用户加入 www-data 组并配置目录属主/组
• rsync 发布（高效增量）：
  • 本地到服务器：rsync -avz --delete -e ssh ./src/ user@server_ip:/var/www/html/
• 自动化与批量管理（可选）：
  • 使用 Fabric 通过 SSH 批量执行命令与部署脚本，适合多台 LAMP 主机的统一运维。

五 云上环境与防火墙要点

• 云服务器需同时配置安全组与系统防火墙：
  • 安全组入方向放行：TCP 22（SSH）、TCP 80（HTTP）、TCP 443（HTTPS）
  • 如需直连数据库，再放行TCP 3306，并尽量限制来源 IP
  • 系统防火墙（UFW）保持与云安全组一致，避免规则冲突。