：Apache安裝、虛擬主機配置與防火墻避坑指南)
很多朋友手里還跑著Ubuntu 18.04的存量服務(wù)器尤其是那批LTS時代部署的老業(yè)務(wù)遷移成本高、依賴鎖定壓根不是說換就換的。在這個版本上裝Apache看似是apt install apache2一句話的事但實際落下去會碰到軟件源、systemd服務(wù)管理、防火墻放行、站點目錄權(quán)限等一系列連鎖問題。這篇文章是Linux之Apache安裝系列的第五篇前面幾篇我們把Ubuntu 18的基礎(chǔ)環(huán)境、網(wǎng)絡(luò)配置、SSH加固都過了一遍現(xiàn)在正好輪到Web服務(wù)這一層。我會完整走一遍從更新軟件源到虛擬主機可用的全過程重點講清楚每一步背后的機制和我在實際部署中遇到過的坑保證你照著做能避開大多數(shù)新手會踩的雷。1. 為什么到了Ubuntu 18還會重提Apache安裝——版本差異與選型邏輯1.1 Ubuntu 18.04的Apache版本其實是老而穩(wěn)的典型Ubuntu 18.04自帶的Apache版本是2.4.29這個版本放在今天看絕對算不上新但它恰恰是LTS時代的經(jīng)典組合。2.4系列從2.4.6開始就引入了事件型MPMmulti-processing module的成熟實現(xiàn)2.4.29已經(jīng)是event模式非常穩(wěn)定的狀態(tài)。很多老項目的.htaccess規(guī)則、模塊依賴都是圍繞2.4系列寫的你換成新買的VPS默認帶的Apache 2.4.5x反而可能出現(xiàn)配置語法兼容問題比如某些老模塊在新版本里被拆分或棄用。我接手過某公司的內(nèi)部系統(tǒng)跑的就是Ubuntu 18 Apache 2.4.29上面掛著五六套老舊的PHP應(yīng)用。運維那邊不是不想升級而是每升一次就要重新驗證幾十個RewriteRule和認證模塊的兼容性代價遠大于收益。所以對相當一部分生產(chǎn)環(huán)境來說Ubuntu 18重裝Apache依然是一個非常現(xiàn)實的需求——可能是容器化遷移前的過渡也可能是新擴容的機器要加入已有的負載均衡集群要求版本保持完全一致。1.2 選Apache而不是Nginx這里面的邏輯要說清楚經(jīng)常有人問我新部署為什么不直接用Nginx我的回答是取決于你的應(yīng)用長什么樣。Apache和Nginx的核心差異不在性能而在于請求處理模型和配置理念。Apache的prefork模式每個請求一個進程內(nèi)存開銷大但兼容性好特別是配合mod_php的老式PHP環(huán)境幾乎零適配成本。而event模式雖然性能和Nginx接近但配置復(fù)雜度高一些。Nginx的優(yōu)勢是高并發(fā)靜態(tài)資源處理和反向代理缺點是動態(tài)內(nèi)容的FastCGI配置鏈路長模塊體系不像Apache的DSODynamic Shared Object那樣可以裝完即刻生效。如果你的項目有.htaccess文件的強依賴——比如某些老舊的CMS系統(tǒng)、WordPress插件、ThinkPHP的URL重寫——Apache就是最省事的選擇。Nginx雖然也能模擬.htaccess規(guī)則但你得手動把規(guī)則翻譯到server塊里這是個純體力活還容易出錯。在實際運維中沒必要為了用新不用舊強行遷到Nginx那是給自己找事。2. 開始動手三個命令把Apache裝上以及每一步的真實用意2.1 第一步是刷新軟件源索引不是走過場在干凈的Ubuntu 18上裝Apache第一件事永遠是sudo apt update這個命令很多人會習慣性執(zhí)行但未必清楚它到底做了什么。apt update并不會升級任何軟件它的作用是讀取/etc/apt/sources.list和/etc/apt/sources.list.d/下的軟件源配置然后從源服務(wù)器拉取軟件包索引Packages.gz等文件到本地緩存。如果你新裝的系統(tǒng)幾個月沒刷新過索引直接apt install很可能得到Unable to locate package apache2或者裝到一個非常舊的版本。這里有個Ubuntu 18特有的細節(jié)需要注意18.04已經(jīng)不在標準源里提供所有更新了很多機器配置了ESMExtended Security Maintenance源或者其他鏡像源。如果apt update輸出里出現(xiàn)Timeout或者404 Not Found優(yōu)先檢查/etc/apt/sources.list里是否有security.ubuntu.com或archive.ubuntu.com的舊地址。我多次遇到的問題是源列表里還寫著EOL版本的組件倉庫導(dǎo)致apt update到一半報錯。穩(wěn)妥做法是把官方源切換為可用的鏡像源再用apt update驗證直到不報錯為止。2.2 安裝apache2包Ubuntu裁剪版的默認行為有哪些索引刷新完成后安裝命令非常簡單sudo apt install -y apache2但裝完之后發(fā)生的事才是重點。Ubuntu的apache2包和Apache官網(wǎng)的源碼包有一個重要區(qū)別它沒有單獨提供httpd這個啟動腳本而是完全走systemd服務(wù)模型服務(wù)名叫apache2.service。安裝完成后不需要你手動注冊服務(wù)包管理器已經(jīng)幫你把服務(wù)文件和符號鏈接都放好了systemctl直接就能接管。同時Ubuntu包裝版默認啟用的MPM是mpm_event不是許多人印象中的prefork。如果你后續(xù)要裝libapache2-mod-phpDPKG會自動幫你切換到mpm_prefork但你如果先手動改了MPM配置再裝PHP模塊就可能在重啟服務(wù)時報模塊沖突。這是我在給某項目部署LAMP環(huán)境時真踩過的手動把MPM改成prefork裝PHP后服務(wù)直接起不來最后只能通過清除配置重裝才解決。2.3 驗證服務(wù)狀態(tài)從systemd的角度看Apache安裝完成后立刻檢查三件事服務(wù)運行狀態(tài)、開機自啟狀態(tài)、端口監(jiān)聽情況。systemctl status apache2 systemctl is-enabled apache2 ss -tlnp | grep :80systemctl status不僅能告訴你服務(wù)是否active還能看到主進程PID、內(nèi)存占用、最近日志。is-enabled確認是否已經(jīng)設(shè)置開機自啟正常情況下返回enabled如果返回disabled需要執(zhí)行sudo systemctl enable apache2。ss -tlnp是用來替代老命令netstat的現(xiàn)代工具?？吹?.0.0.0:80或者[::]:80說明Apache已經(jīng)監(jiān)聽所有IPv4和IPv6地址的80端口。注意如果你只想讓Apache監(jiān)聽特定IP可以修改/etc/apache2/ports.conf里的Listen指令。比如只監(jiān)聽內(nèi)網(wǎng)IPListen 192.168.1.10:80這樣可以避免Web服務(wù)意外暴露到公網(wǎng)。這一步我在安全意識較強的項目里經(jīng)常做能少很多不必要的掃描攻擊。接著用curl驗證默認頁面是否正常響應(yīng)curl -I http://127.0.0.1/正常情況下會返回HTTP/1.1 200 OK以及Server: Apache/2.4.29 (Ubuntu)響應(yīng)頭。如果看到的是curl: (7) Failed to connect那就需要從頭排查服務(wù)狀態(tài)和端口監(jiān)聽了。3. 裝完不等于能用Ubuntu 18上必須處理的自啟動與防火墻策略3.1 設(shè)置開機自啟與確認監(jiān)聽地址兩步打包做很多教程在安裝完Apache之后就戛然而止我建議你多花一分鐘確認開機自啟。雖然不是每次都需要手動啟用——Ubuntu的DEB包安裝流程通常已經(jīng)把服務(wù)啟用寫入了postinst腳本——但有些特殊的違規(guī)操作系統(tǒng)鏡像或Docker容器里服務(wù)注冊并不完整。檢查命令sudo systemctl enable apache2 sudo systemctl restart apache2enable操作本質(zhì)是在/etc/systemd/system/multi-user.target.wants/目錄下創(chuàng)建一個指向/usr/lib/systemd/system/apache2.service的符號鏈接。知道這個原理之后你就能理解為什么有些禁用服務(wù)教程會直接讓你刪符號鏈接而不是用systemctl disable——兩者效果一樣但前者容易留下殘留狀態(tài)。確認監(jiān)聽地址時我建議同時看IPv4和IPv6因為Ubuntu 18默認開啟了IPv6Apache的默認Listen 80和Listen 443會同時綁定*所有地址。如果機器商的防火墻對IPv6處理不完善可能出現(xiàn)IPv4能訪問、IPv6打不開的詭異現(xiàn)象。你可以在瀏覽器或者用curl -6 http://[::1]/測試本機IPv6連通性然后在云控制臺和本地UFW兩側(cè)都把相應(yīng)協(xié)議放行。3.2 UFW防火墻放行HTTP/HTTPSIPv4和IPv6別漏Ubuntu 18默認沒有啟用UFW但生產(chǎn)環(huán)境我建議打開否則應(yīng)用端口裸露在公網(wǎng)太危險。放行Apache相關(guān)的命令sudo ufw allow Apache Full sudo ufw enable sudo ufw status numberedApache Full是UFW自帶的應(yīng)用配置包含80和443兩個端口。如果你不想開放HTTPS用sudo ufw allow Apache即可那個只放行80。需要注意幾點ufw enable會立即激活防火墻規(guī)則如果你當前是通過SSH連接的請先確認SSH端口已經(jīng)被放行否則會把自己關(guān)在外面。標準的做法是sudo ufw allow OpenSSH或者sudo ufw allow 22/tcp順序上是先放行22端口再開防火墻。UFW規(guī)則會自動生成IPv6的對應(yīng)條目前提是內(nèi)核啟用了IPv6且/etc/default/ufw里的IPV6yes。很多被精簡過的系統(tǒng)鏡像是IPV6no這會導(dǎo)致只有IPv4規(guī)則生效IPv6流量全部被擋。云服務(wù)商比如各種云主機的控制臺安全組策略和主機內(nèi)部的UFW是兩層獨立的東西。哪怕UFW里放行了80端口控制臺安全組沒放行的話外網(wǎng)依然訪問不了。這一條我?guī)缀趺看巫龇?wù)器巡檢都要提醒太容易忽略了。4. 安裝后的目錄結(jié)構(gòu)默認頁面、站點配置和模塊機制的來龍去脈4.1 /var/www/html、sites-available與sites-enabled的關(guān)系裝完Apache后很多教程只說默認頁面在/var/www/html但對配置目錄的結(jié)構(gòu)講得很淺。Ubuntu的Apache目錄結(jié)構(gòu)其實是一個典型的可用/啟用分離設(shè)計搞清楚它才能優(yōu)雅地管理多站點。關(guān)鍵目錄如下路徑作用說明/etc/apache2/apache2.conf主配置文件一般不直接改內(nèi)容通過Include引入其他配置/etc/apache2/ports.conf端口配置定義80、443等監(jiān)聽端口/etc/apache2/sites-available/站點可用配置存放所有站點的VirtualHost定義/etc/apache2/sites-enabled/站點啟用配置通過符號鏈接指向available里的文件/etc/apache2/mods-available/模塊可用配置需要加載的模塊的.load和.conf文件/etc/apache2/mods-enabled/模塊啟用配置通過符號鏈接指向available里的文件/etc/apache2/conf-available/全局可用配置片段如安全策略、緩存參數(shù)等/var/www/html/默認站點的DocumentRootUbuntu默認首頁所在位置sites-enabled和sites-available的關(guān)系是整個設(shè)計精髓。默認情況下你在sites-available里看到的是000-default.conf而sites-enabled里同樣有一個000-default.conf的符號鏈接。Apache啟動時會用IncludeOptional sites-enabled/*.conf把這層符號鏈接指向的真實文件全部讀進來。這種機制的好處是你可以提前準備多個站點配置但不會被Apache加載直到你顯式地用a2ensite把它們鏈接到enabled目錄。4.2 模塊啟用的本質(zhì)符號鏈接和a2enmod的等價操作同樣的機制也適用于模塊目錄。很多人用一個a2enmod rewrite就完事了不理解它到底改了什么。查看mods-enabled目錄就能看到端倪ls -la /etc/apache2/mods-enabled/里面滿是rewrite.load - ../mods-available/rewrite.load這種符號鏈接。a2enmod rewrite做的事情無非就是創(chuàng)建這個符號鏈接然后在服務(wù)重載時讓Apache加載rewrite.load里指定的共享對象文件。手動操作的話ln -s一條命令也能達到同樣效果但很容易忘記同時啟用相關(guān)的.conf文件有些模塊有配置片段所以我還是建議一律用a2enmod和a2dismod管理。模塊配置在Ubuntu兩個文件里被加載.load負責加載模塊二進制.conf負責模塊的默認參數(shù)。例如a2enmod php7.2或a2enmod ssl前者會加載libphp7.2.so后者會啟用mod_ssl并順帶加載SSL相關(guān)配置。理解這個機制之后你就能舉一反三當Apache無法重啟時報Module X already loaded錯誤多半是你在apache2.conf里手動LoadModule同時又用a2enmod啟用了同一個模塊導(dǎo)致重復(fù)加載。遇到這種問題不要慌檢查mods-enabled里是否有對應(yīng)符號鏈接有就去掉apache2.conf里手動加的那行。5. 逼近實戰(zhàn)虛擬主機配置、日志位置和權(quán)限問題的常見坑5.1 用sites-available新建站點而不是直接改默認配置默認的000-default.conf內(nèi)容很簡單但新手最常見的錯誤就是直接在里面堆一堆配置然后發(fā)現(xiàn)以后想換站點結(jié)構(gòu)時無處下手。更好的做法是每個站點一個獨立配置文件放在sites-available里。假設(shè)我要為一個新業(yè)務(wù)建站點域名為example.local文檔目錄為/var/www/example.local/public_htmlsudo mkdir -p /var/www/example.local/public_html sudo tee /etc/apache2/sites-available/example.local.conf EOF VirtualHost *:80 ServerName example.local ServerAdmin webmasterexample.local DocumentRoot /var/www/example.local/public_html ErrorLog ${APACHE_LOG_DIR}/example.local_error.log CustomLog ${APACHE_LOG_DIR}/example.local_access.log combined Directory /var/www/example.local/public_html Options FollowSymLinks AllowOverride All Require all granted /Directory /VirtualHost EOF然后執(zhí)行啟用和重載sudo a2dissite 000-default.conf sudo a2ensite example.local.conf sudo systemctl reload apache2a2dissite同理本質(zhì)是移除sites-enabled里的符號鏈接。systemctl reload不是restart在讀配置后重新加載不會中斷現(xiàn)有連接生產(chǎn)環(huán)境推薦。如果你修改了端口或MPM這種需要重新初始化進程的參數(shù)才需要restart。5.2 日志與權(quán)限改DocumentRoot之后最常見的403錯誤虛擬主機配置好之后最常出問題的不是語法而是權(quán)限。Apache2.4開始默認對目錄訪問控制更嚴格了常見的403錯誤有好幾個來源文檔根目錄本身沒有x權(quán)限給其他用戶比如/var/www/example.local權(quán)限是700但Apache的worker進程以www-data用戶運行無法進入目錄。目錄下沒有索引文件且目錄瀏覽未開啟。雖然403在缺少index.html時常見但你如果確實沒有DirectoryIndex匹配的文件Apache會嘗試目錄列表只有Options Indexes開啟時才允許展示否則返回403。配置里的Require all granted缺失或?qū)戝e。Apache2.4生效的是Require語法傳統(tǒng)的Allow from all在2.4上默認不生效。排查時的最快方法是看錯誤日志sudo tail -f /var/log/apache2/error.log日志里會有明確提示比如[client 192.168.1.1] AH00035: access to / denied (filesystem path /var/www/example.local/public_html) because search permissions are missing on a component of the path。這句話的意思是路徑鏈條中某一層目錄缺少x執(zhí)行/進入權(quán)限。解決方案通常是sudo chown -R www-data:www-data /var/www/example.local/public_html sudo chmod -R 755 /var/www/example.local順便說一下/var/log/apache2/下默認會有access.log和error.log如果你的虛擬主機沒有單獨指定日志文件所有站點的請求都會進默認access.log。多站點生產(chǎn)環(huán)境建議一定要在每個站點里單獨指定日志文件否則排查問題時根本分不清流量進的是哪個站。另外提醒一個Ubuntu特別容易遇到的坑如果你把DocumentRoot指向了/home/某用戶/www這種位置Apache的www-data用戶要跨目錄訪問用戶主目錄就必須確保從根目錄到目標目錄之間的每一層目錄都有至少ox權(quán)限。但為了安全/home/用戶本身通常權(quán)限是755或更嚴格這就是頻繁出現(xiàn)403的原因。不要為了解決問題直接把整個home目錄權(quán)限放開那等于把shell賬號的可讀范圍暴露給了Web進程。6. 這套安裝流程在系列教程里的承上啟下下一步還能做什么6.1 裝完Apache之后LAMP鏈路還差PHP和數(shù)據(jù)庫這個系列既然叫Apache安裝而非Web服務(wù)器配置那重點就是先讓Apache跑起來跑得穩(wěn)。但實際部署項目幾乎沒有人只裝一個Apache。接下來順理成章的步驟是裝PHP和數(shù)據(jù)庫Ubuntu 18上要注意PHP版本的默認源問題。Ubuntu 18.04默認PHP版本是7.2如果你需要PHP 7.4或更高通常要添加第三方源。而安裝PHP時Apache的模塊配置又會自動切換MPM我之前在第2.2節(jié)提到過這里再強調(diào)一次安裝libapache2-mod-php7.2時包管理器會禁用php相關(guān)模塊以外的mpm_event并啟用mpm_prefork這是兼容性設(shè)計不是錯誤?？吹絪ystemctl status apache2里有mpm_prefork別吃驚。數(shù)據(jù)庫方面推薦選擇MariaDB或者MySQLUbuntu 18源里默認提供的是MySQL 5.7若添加了官方源才換和MariaDB 10.1。裝完MySQL后Apache和PHP通過mysqli或PDO擴展連接數(shù)據(jù)庫這時候要注意連接地址別寫錯成localhost導(dǎo)致socket連接失敗有時需要明確寫127.0.0.1:3306使用TCP連接。6.2 如何用一次重建實踐來驗證今天這套安裝步驟最有效的驗證方式不是打開瀏覽器看到It works頁面而是故意破壞一次再修復(fù)。我建議你按下面的順序做一輪破壞性練習把/etc/apache2/sites-available/000-default.conf里的DocumentRoot改成一個不存在的路徑執(zhí)行systemctl reload apache2看看瀏覽器返回什么錯誤。執(zhí)行a2dismod rewrite然后訪問一個依賴重寫規(guī)則的應(yīng)用觀察500或404表現(xiàn)。把/var/www/html權(quán)限改成700觀察403的出現(xiàn)和消失。這三步做完你對Apache的配置加載機制和權(quán)限模型的理解會比干看十篇教程都深。我在培訓某項目組新人的時候就經(jīng)常用這套練習效果比反復(fù)抄命令好太多。每做完一步記得用journalctl -u apache2 -e看日志輸出日志會告訴你Apache眼中的世界是什么樣的。6.3 本系列后續(xù)篇目的擴展方向SSL與性能調(diào)優(yōu)既然Apache已經(jīng)能穩(wěn)定運行下一篇很自然的主題就是TLS/SSL證書配置。Ubuntu 18上加證書有兩種路徑一是直接用a2enmod ssl和a2ensite default-ssl啟用默認SSL站點用自己的自簽名證書先測通二是通過Lets Encrypt的客戶端工具自動簽發(fā)證書后者需要保證域名解析和80端口可訪問性沒問題。性能調(diào)優(yōu)方面我會重點關(guān)注這幾項MPM調(diào)優(yōu)確認當前MPM模式apache2ctl -M可以列出現(xiàn)加載模塊apache2ctl -V可以看編譯時的MPM默認值。event模式下MaxRequestWorkers要結(jié)合機器內(nèi)存來算理論上每個請求線程大約占用數(shù)MB到幾十MB內(nèi)存。啟用的模塊精簡默認a2enmod并沒有把所有模塊都啟用但很多歷史配置會殘留用不到的模塊比如status、info這類信息泄漏風險模塊能禁用就禁用。HTTP/2Apache 2.4.29已經(jīng)支持mod_http2Ubuntu 18也提供了這個模塊。啟用后配合SSL站點在HTTPS下能看到明顯的性能提升。這些內(nèi)容如果展開又是一個萬字長文正好留作這個系列的下一期。你現(xiàn)在不需要急著把所有優(yōu)化做完先把Apache的安裝、起停、站點建立、日志定位這四個動作做到條件反射的程度后面一切都會順很多。 Ubuntu 18.04實戰(zhàn)：Apache安裝、虛擬主機配置與防火墻避坑指南
很多朋友手里還跑著Ubuntu 18.04的存量服務(wù)器尤其是那批LTS時代部署的老業(yè)務(wù)遷移成本高、依賴鎖定壓根不是說換就換的。在這個版本上裝Apache看似是apt install apache2一句話的事但實際落下去會碰到軟件源、systemd服務(wù)管理、防火墻放行、站點目錄權(quán)限等一系列連鎖問題。這篇文章是Linux之Apache安裝系列的第五篇前面幾篇我們把Ubuntu 18的基礎(chǔ)環(huán)境、網(wǎng)絡(luò)配置、SSH加固都過了一遍現(xiàn)在正好輪到Web服務(wù)這一層。我會完整走一遍從更新軟件源到虛擬主機可用的全過程重點講清楚每一步背后的機制和我在實際部署中遇到過的坑保證你照著做能避開大多數(shù)新手會踩的雷。1. 為什么到了Ubuntu 18還會重提Apache安裝——版本差異與選型邏輯1.1 Ubuntu 18.04的Apache版本其實是老而穩(wěn)的典型Ubuntu 18.04自帶的Apache版本是2.4.29這個版本放在今天看絕對算不上新但它恰恰是LTS時代的經(jīng)典組合。2.4系列從2.4.6開始就引入了事件型MPMmulti-processing module的成熟實現(xiàn)2.4.29已經(jīng)是event模式非常穩(wěn)定的狀態(tài)。很多老項目的.htaccess規(guī)則、模塊依賴都是圍繞2.4系列寫的你換成新買的VPS默認帶的Apache 2.4.5x反而可能出現(xiàn)配置語法兼容問題比如某些老模塊在新版本里被拆分或棄用。我接手過某公司的內(nèi)部系統(tǒng)跑的就是Ubuntu 18 Apache 2.4.29上面掛著五六套老舊的PHP應(yīng)用。運維那邊不是不想升級而是每升一次就要重新驗證幾十個RewriteRule和認證模塊的兼容性代價遠大于收益。所以對相當一部分生產(chǎn)環(huán)境來說Ubuntu 18重裝Apache依然是一個非常現(xiàn)實的需求——可能是容器化遷移前的過渡也可能是新擴容的機器要加入已有的負載均衡集群要求版本保持完全一致。1.2 選Apache而不是Nginx這里面的邏輯要說清楚經(jīng)常有人問我新部署為什么不直接用Nginx我的回答是取決于你的應(yīng)用長什么樣。Apache和Nginx的核心差異不在性能而在于請求處理模型和配置理念。Apache的prefork模式每個請求一個進程內(nèi)存開銷大但兼容性好特別是配合mod_php的老式PHP環(huán)境幾乎零適配成本。而event模式雖然性能和Nginx接近但配置復(fù)雜度高一些。Nginx的優(yōu)勢是高并發(fā)靜態(tài)資源處理和反向代理缺點是動態(tài)內(nèi)容的FastCGI配置鏈路長模塊體系不像Apache的DSODynamic Shared Object那樣可以裝完即刻生效。如果你的項目有.htaccess文件的強依賴——比如某些老舊的CMS系統(tǒng)、WordPress插件、ThinkPHP的URL重寫——Apache就是最省事的選擇。Nginx雖然也能模擬.htaccess規(guī)則但你得手動把規(guī)則翻譯到server塊里這是個純體力活還容易出錯。在實際運維中沒必要為了用新不用舊強行遷到Nginx那是給自己找事。2. 開始動手三個命令把Apache裝上以及每一步的真實用意2.1 第一步是刷新軟件源索引不是走過場在干凈的Ubuntu 18上裝Apache第一件事永遠是sudo apt update這個命令很多人會習慣性執(zhí)行但未必清楚它到底做了什么。apt update并不會升級任何軟件它的作用是讀取/etc/apt/sources.list和/etc/apt/sources.list.d/下的軟件源配置然后從源服務(wù)器拉取軟件包索引Packages.gz等文件到本地緩存。如果你新裝的系統(tǒng)幾個月沒刷新過索引直接apt install很可能得到Unable to locate package apache2或者裝到一個非常舊的版本。這里有個Ubuntu 18特有的細節(jié)需要注意18.04已經(jīng)不在標準源里提供所有更新了很多機器配置了ESMExtended Security Maintenance源或者其他鏡像源。如果apt update輸出里出現(xiàn)Timeout或者404 Not Found優(yōu)先檢查/etc/apt/sources.list里是否有security.ubuntu.com或archive.ubuntu.com的舊地址。我多次遇到的問題是源列表里還寫著EOL版本的組件倉庫導(dǎo)致apt update到一半報錯。穩(wěn)妥做法是把官方源切換為可用的鏡像源再用apt update驗證直到不報錯為止。2.2 安裝apache2包Ubuntu裁剪版的默認行為有哪些索引刷新完成后安裝命令非常簡單sudo apt install -y apache2但裝完之后發(fā)生的事才是重點。Ubuntu的apache2包和Apache官網(wǎng)的源碼包有一個重要區(qū)別它沒有單獨提供httpd這個啟動腳本而是完全走systemd服務(wù)模型服務(wù)名叫apache2.service。安裝完成后不需要你手動注冊服務(wù)包管理器已經(jīng)幫你把服務(wù)文件和符號鏈接都放好了systemctl直接就能接管。同時Ubuntu包裝版默認啟用的MPM是mpm_event不是許多人印象中的prefork。如果你后續(xù)要裝libapache2-mod-phpDPKG會自動幫你切換到mpm_prefork但你如果先手動改了MPM配置再裝PHP模塊就可能在重啟服務(wù)時報模塊沖突。這是我在給某項目部署LAMP環(huán)境時真踩過的手動把MPM改成prefork裝PHP后服務(wù)直接起不來最后只能通過清除配置重裝才解決。2.3 驗證服務(wù)狀態(tài)從systemd的角度看Apache安裝完成后立刻檢查三件事服務(wù)運行狀態(tài)、開機自啟狀態(tài)、端口監(jiān)聽情況。systemctl status apache2 systemctl is-enabled apache2 ss -tlnp | grep :80systemctl status不僅能告訴你服務(wù)是否active還能看到主進程PID、內(nèi)存占用、最近日志。is-enabled確認是否已經(jīng)設(shè)置開機自啟正常情況下返回enabled如果返回disabled需要執(zhí)行sudo systemctl enable apache2。ss -tlnp是用來替代老命令netstat的現(xiàn)代工具?？吹?.0.0.0:80或者[::]:80說明Apache已經(jīng)監(jiān)聽所有IPv4和IPv6地址的80端口。注意如果你只想讓Apache監(jiān)聽特定IP可以修改/etc/apache2/ports.conf里的Listen指令。比如只監(jiān)聽內(nèi)網(wǎng)IPListen 192.168.1.10:80這樣可以避免Web服務(wù)意外暴露到公網(wǎng)。這一步我在安全意識較強的項目里經(jīng)常做能少很多不必要的掃描攻擊。接著用curl驗證默認頁面是否正常響應(yīng)curl -I http://127.0.0.1/正常情況下會返回HTTP/1.1 200 OK以及Server: Apache/2.4.29 (Ubuntu)響應(yīng)頭。如果看到的是curl: (7) Failed to connect那就需要從頭排查服務(wù)狀態(tài)和端口監(jiān)聽了。3. 裝完不等于能用Ubuntu 18上必須處理的自啟動與防火墻策略3.1 設(shè)置開機自啟與確認監(jiān)聽地址兩步打包做很多教程在安裝完Apache之后就戛然而止我建議你多花一分鐘確認開機自啟。雖然不是每次都需要手動啟用——Ubuntu的DEB包安裝流程通常已經(jīng)把服務(wù)啟用寫入了postinst腳本——但有些特殊的違規(guī)操作系統(tǒng)鏡像或Docker容器里服務(wù)注冊并不完整。檢查命令sudo systemctl enable apache2 sudo systemctl restart apache2enable操作本質(zhì)是在/etc/systemd/system/multi-user.target.wants/目錄下創(chuàng)建一個指向/usr/lib/systemd/system/apache2.service的符號鏈接。知道這個原理之后你就能理解為什么有些禁用服務(wù)教程會直接讓你刪符號鏈接而不是用systemctl disable——兩者效果一樣但前者容易留下殘留狀態(tài)。確認監(jiān)聽地址時我建議同時看IPv4和IPv6因為Ubuntu 18默認開啟了IPv6Apache的默認Listen 80和Listen 443會同時綁定*所有地址。如果機器商的防火墻對IPv6處理不完善可能出現(xiàn)IPv4能訪問、IPv6打不開的詭異現(xiàn)象。你可以在瀏覽器或者用curl -6 http://[::1]/測試本機IPv6連通性然后在云控制臺和本地UFW兩側(cè)都把相應(yīng)協(xié)議放行。3.2 UFW防火墻放行HTTP/HTTPSIPv4和IPv6別漏Ubuntu 18默認沒有啟用UFW但生產(chǎn)環(huán)境我建議打開否則應(yīng)用端口裸露在公網(wǎng)太危險。放行Apache相關(guān)的命令sudo ufw allow Apache Full sudo ufw enable sudo ufw status numberedApache Full是UFW自帶的應(yīng)用配置包含80和443兩個端口。如果你不想開放HTTPS用sudo ufw allow Apache即可那個只放行80。需要注意幾點ufw enable會立即激活防火墻規(guī)則如果你當前是通過SSH連接的請先確認SSH端口已經(jīng)被放行否則會把自己關(guān)在外面。標準的做法是sudo ufw allow OpenSSH或者sudo ufw allow 22/tcp順序上是先放行22端口再開防火墻。UFW規(guī)則會自動生成IPv6的對應(yīng)條目前提是內(nèi)核啟用了IPv6且/etc/default/ufw里的IPV6yes。很多被精簡過的系統(tǒng)鏡像是IPV6no這會導(dǎo)致只有IPv4規(guī)則生效IPv6流量全部被擋。云服務(wù)商比如各種云主機的控制臺安全組策略和主機內(nèi)部的UFW是兩層獨立的東西。哪怕UFW里放行了80端口控制臺安全組沒放行的話外網(wǎng)依然訪問不了。這一條我?guī)缀趺看巫龇?wù)器巡檢都要提醒太容易忽略了。4. 安裝后的目錄結(jié)構(gòu)默認頁面、站點配置和模塊機制的來龍去脈4.1 /var/www/html、sites-available與sites-enabled的關(guān)系裝完Apache后很多教程只說默認頁面在/var/www/html但對配置目錄的結(jié)構(gòu)講得很淺。Ubuntu的Apache目錄結(jié)構(gòu)其實是一個典型的可用/啟用分離設(shè)計搞清楚它才能優(yōu)雅地管理多站點。關(guān)鍵目錄如下路徑作用說明/etc/apache2/apache2.conf主配置文件一般不直接改內(nèi)容通過Include引入其他配置/etc/apache2/ports.conf端口配置定義80、443等監(jiān)聽端口/etc/apache2/sites-available/站點可用配置存放所有站點的VirtualHost定義/etc/apache2/sites-enabled/站點啟用配置通過符號鏈接指向available里的文件/etc/apache2/mods-available/模塊可用配置需要加載的模塊的.load和.conf文件/etc/apache2/mods-enabled/模塊啟用配置通過符號鏈接指向available里的文件/etc/apache2/conf-available/全局可用配置片段如安全策略、緩存參數(shù)等/var/www/html/默認站點的DocumentRootUbuntu默認首頁所在位置sites-enabled和sites-available的關(guān)系是整個設(shè)計精髓。默認情況下你在sites-available里看到的是000-default.conf而sites-enabled里同樣有一個000-default.conf的符號鏈接。Apache啟動時會用IncludeOptional sites-enabled/*.conf把這層符號鏈接指向的真實文件全部讀進來。這種機制的好處是你可以提前準備多個站點配置但不會被Apache加載直到你顯式地用a2ensite把它們鏈接到enabled目錄。4.2 模塊啟用的本質(zhì)符號鏈接和a2enmod的等價操作同樣的機制也適用于模塊目錄。很多人用一個a2enmod rewrite就完事了不理解它到底改了什么。查看mods-enabled目錄就能看到端倪ls -la /etc/apache2/mods-enabled/里面滿是rewrite.load - ../mods-available/rewrite.load這種符號鏈接。a2enmod rewrite做的事情無非就是創(chuàng)建這個符號鏈接然后在服務(wù)重載時讓Apache加載rewrite.load里指定的共享對象文件。手動操作的話ln -s一條命令也能達到同樣效果但很容易忘記同時啟用相關(guān)的.conf文件有些模塊有配置片段所以我還是建議一律用a2enmod和a2dismod管理。模塊配置在Ubuntu兩個文件里被加載.load負責加載模塊二進制.conf負責模塊的默認參數(shù)。例如a2enmod php7.2或a2enmod ssl前者會加載libphp7.2.so后者會啟用mod_ssl并順帶加載SSL相關(guān)配置。理解這個機制之后你就能舉一反三當Apache無法重啟時報Module X already loaded錯誤多半是你在apache2.conf里手動LoadModule同時又用a2enmod啟用了同一個模塊導(dǎo)致重復(fù)加載。遇到這種問題不要慌檢查mods-enabled里是否有對應(yīng)符號鏈接有就去掉apache2.conf里手動加的那行。5. 逼近實戰(zhàn)虛擬主機配置、日志位置和權(quán)限問題的常見坑5.1 用sites-available新建站點而不是直接改默認配置默認的000-default.conf內(nèi)容很簡單但新手最常見的錯誤就是直接在里面堆一堆配置然后發(fā)現(xiàn)以后想換站點結(jié)構(gòu)時無處下手。更好的做法是每個站點一個獨立配置文件放在sites-available里。假設(shè)我要為一個新業(yè)務(wù)建站點域名為example.local文檔目錄為/var/www/example.local/public_htmlsudo mkdir -p /var/www/example.local/public_html sudo tee /etc/apache2/sites-available/example.local.conf EOF VirtualHost *:80 ServerName example.local ServerAdmin webmasterexample.local DocumentRoot /var/www/example.local/public_html ErrorLog ${APACHE_LOG_DIR}/example.local_error.log CustomLog ${APACHE_LOG_DIR}/example.local_access.log combined Directory /var/www/example.local/public_html Options FollowSymLinks AllowOverride All Require all granted /Directory /VirtualHost EOF然后執(zhí)行啟用和重載sudo a2dissite 000-default.conf sudo a2ensite example.local.conf sudo systemctl reload apache2a2dissite同理本質(zhì)是移除sites-enabled里的符號鏈接。systemctl reload不是restart在讀配置后重新加載不會中斷現(xiàn)有連接生產(chǎn)環(huán)境推薦。如果你修改了端口或MPM這種需要重新初始化進程的參數(shù)才需要restart。5.2 日志與權(quán)限改DocumentRoot之后最常見的403錯誤虛擬主機配置好之后最常出問題的不是語法而是權(quán)限。Apache2.4開始默認對目錄訪問控制更嚴格了常見的403錯誤有好幾個來源文檔根目錄本身沒有x權(quán)限給其他用戶比如/var/www/example.local權(quán)限是700但Apache的worker進程以www-data用戶運行無法進入目錄。目錄下沒有索引文件且目錄瀏覽未開啟。雖然403在缺少index.html時常見但你如果確實沒有DirectoryIndex匹配的文件Apache會嘗試目錄列表只有Options Indexes開啟時才允許展示否則返回403。配置里的Require all granted缺失或?qū)戝e。Apache2.4生效的是Require語法傳統(tǒng)的Allow from all在2.4上默認不生效。排查時的最快方法是看錯誤日志sudo tail -f /var/log/apache2/error.log日志里會有明確提示比如[client 192.168.1.1] AH00035: access to / denied (filesystem path /var/www/example.local/public_html) because search permissions are missing on a component of the path。這句話的意思是路徑鏈條中某一層目錄缺少x執(zhí)行/進入權(quán)限。解決方案通常是sudo chown -R www-data:www-data /var/www/example.local/public_html sudo chmod -R 755 /var/www/example.local順便說一下/var/log/apache2/下默認會有access.log和error.log如果你的虛擬主機沒有單獨指定日志文件所有站點的請求都會進默認access.log。多站點生產(chǎn)環(huán)境建議一定要在每個站點里單獨指定日志文件否則排查問題時根本分不清流量進的是哪個站。另外提醒一個Ubuntu特別容易遇到的坑如果你把DocumentRoot指向了/home/某用戶/www這種位置Apache的www-data用戶要跨目錄訪問用戶主目錄就必須確保從根目錄到目標目錄之間的每一層目錄都有至少ox權(quán)限。但為了安全/home/用戶本身通常權(quán)限是755或更嚴格這就是頻繁出現(xiàn)403的原因。不要為了解決問題直接把整個home目錄權(quán)限放開那等于把shell賬號的可讀范圍暴露給了Web進程。6. 這套安裝流程在系列教程里的承上啟下下一步還能做什么6.1 裝完Apache之后LAMP鏈路還差PHP和數(shù)據(jù)庫這個系列既然叫Apache安裝而非Web服務(wù)器配置那重點就是先讓Apache跑起來跑得穩(wěn)。但實際部署項目幾乎沒有人只裝一個Apache。接下來順理成章的步驟是裝PHP和數(shù)據(jù)庫Ubuntu 18上要注意PHP版本的默認源問題。Ubuntu 18.04默認PHP版本是7.2如果你需要PHP 7.4或更高通常要添加第三方源。而安裝PHP時Apache的模塊配置又會自動切換MPM我之前在第2.2節(jié)提到過這里再強調(diào)一次安裝libapache2-mod-php7.2時包管理器會禁用php相關(guān)模塊以外的mpm_event并啟用mpm_prefork這是兼容性設(shè)計不是錯誤?？吹絪ystemctl status apache2里有mpm_prefork別吃驚。數(shù)據(jù)庫方面推薦選擇MariaDB或者MySQLUbuntu 18源里默認提供的是MySQL 5.7若添加了官方源才換和MariaDB 10.1。裝完MySQL后Apache和PHP通過mysqli或PDO擴展連接數(shù)據(jù)庫這時候要注意連接地址別寫錯成localhost導(dǎo)致socket連接失敗有時需要明確寫127.0.0.1:3306使用TCP連接。6.2 如何用一次重建實踐來驗證今天這套安裝步驟最有效的驗證方式不是打開瀏覽器看到It works頁面而是故意破壞一次再修復(fù)。我建議你按下面的順序做一輪破壞性練習把/etc/apache2/sites-available/000-default.conf里的DocumentRoot改成一個不存在的路徑執(zhí)行systemctl reload apache2看看瀏覽器返回什么錯誤。執(zhí)行a2dismod rewrite然后訪問一個依賴重寫規(guī)則的應(yīng)用觀察500或404表現(xiàn)。把/var/www/html權(quán)限改成700觀察403的出現(xiàn)和消失。這三步做完你對Apache的配置加載機制和權(quán)限模型的理解會比干看十篇教程都深。我在培訓某項目組新人的時候就經(jīng)常用這套練習效果比反復(fù)抄命令好太多。每做完一步記得用journalctl -u apache2 -e看日志輸出日志會告訴你Apache眼中的世界是什么樣的。6.3 本系列后續(xù)篇目的擴展方向SSL與性能調(diào)優(yōu)既然Apache已經(jīng)能穩(wěn)定運行下一篇很自然的主題就是TLS/SSL證書配置。Ubuntu 18上加證書有兩種路徑一是直接用a2enmod ssl和a2ensite default-ssl啟用默認SSL站點用自己的自簽名證書先測通二是通過Lets Encrypt的客戶端工具自動簽發(fā)證書后者需要保證域名解析和80端口可訪問性沒問題。性能調(diào)優(yōu)方面我會重點關(guān)注這幾項MPM調(diào)優(yōu)確認當前MPM模式apache2ctl -M可以列出現(xiàn)加載模塊apache2ctl -V可以看編譯時的MPM默認值。event模式下MaxRequestWorkers要結(jié)合機器內(nèi)存來算理論上每個請求線程大約占用數(shù)MB到幾十MB內(nèi)存。啟用的模塊精簡默認a2enmod并沒有把所有模塊都啟用但很多歷史配置會殘留用不到的模塊比如status、info這類信息泄漏風險模塊能禁用就禁用。HTTP/2Apache 2.4.29已經(jīng)支持mod_http2Ubuntu 18也提供了這個模塊。啟用后配合SSL站點在HTTPS下能看到明顯的性能提升。這些內(nèi)容如果展開又是一個萬字長文正好留作這個系列的下一期。你現(xiàn)在不需要急著把所有優(yōu)化做完先把Apache的安裝、起停、站點建立、日志定位這四個動作做到條件反射的程度后面一切都會順很多。