服务器与运维 – 蓝月网络

一些需要禁用的PHP危险函数(disable_functions)

蓝月网络 — Sun, 25 Jun 2017 06:08:37 +0000

phpinfo()
功能描述：输出 PHP 环境信息以及相关的模块、WEB 环境等信息。
危险等级：中

passthru()
功能描述：允许执行一个外部程序并回显输出，类似于 exec()。
危险等级：高

exec()
功能描述：允许执行一个外部程序（如 UNIX Shell 或 CMD 命令等）。
危险等级：高

system()
功能描述：允许执行一个外部程序并回显输出，类似于 passthru()。
危险等级：高

chroot()
功能描述：可改变当前 PHP 进程的工作根目录，仅当系统支持 CLI 模式
PHP 时才能工作，且该函数不适用于 Windows 系统。
危险等级：高

scandir()
功能描述：列出指定路径中的文件和目录。
危险等级：中

chgrp()
功能描述：改变文件或目录所属的用户组。
危险等级：高

chown()
功能描述：改变文件或目录的所有者。
危险等级：高

shell_exec()
功能描述：通过 Shell 执行命令，并将执行结果作为字符串返回。
危险等级：高

proc_open()
功能描述：执行一个命令并打开文件指针用于读取以及写入。
危险等级：高

proc_get_status()
功能描述：获取使用 proc_open() 所打开进程的信息。
危险等级：高

error_log()
功能描述：将错误信息发送到指定位置（文件）。
安全备注：在某些版本的 PHP 中，可使用 error_log() 绕过 PHP safe mode，
执行任意命令。
危险等级：低

ini_alter()
功能描述：是 ini_set() 函数的一个别名函数，功能与 ini_set() 相同。
具体参见 ini_set()。
危险等级：高

ini_set()
功能描述：可用于修改、设置 PHP 环境配置参数。
危险等级：高

ini_restore()
功能描述：可用于恢复 PHP 环境配置参数到其初始值。
危险等级：高

dl()
功能描述：在 PHP 进行运行过程当中（而非启动时）加载一个 PHP 外部模块。
危险等级：高

pfsockopen()
功能描述：建立一个 Internet 或 UNIX 域的 socket 持久连接。
危险等级：高

syslog()
功能描述：可调用 UNIX 系统的系统层 syslog() 函数。
危险等级：中

readlink()
功能描述：返回符号连接指向的目标文件内容。
危险等级：中

symlink()
功能描述：在 UNIX 系统中建立一个符号链接。
危险等级：高

popen()
功能描述：可通过 popen() 的参数传递一条命令，并对 popen() 所打开的文件进行执行。
危险等级：高

stream_socket_server()
功能描述：建立一个 Internet 或 UNIX 服务器连接。
危险等级：中

putenv()
功能描述：用于在 PHP 运行时改变系统字符集环境。在低于 5.2.6 版本的 PHP 中，可利用该函数
修改系统字符集环境后，利用 sendmail 指令发送特殊参数执行系统 SHELL 命令。
危险等级：高

禁用方法如下：
打开/etc/php.ini文件，
查找到 disable_functions ，添加需禁用的函数名，如下：
危险等级：高

eval,passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,symlink,popepassthru,fsocket,fsockopen

危险等级：中

phpinfo,stream_socket_server,readlink,syslog,scandir

危险等级：低

```
error_log
```

一些需要禁用的PHP危险函数(disable_functions)，首发于蓝月网络。

在CentOS中添加Swap交换文件，防止内存不足时MYSQL崩溃

蓝月网络 — Sun, 25 Jun 2017 05:51:52 +0000

1.swap概述

Swap分区，即交换区，Swap空间的作用可简单描述为：当系统的物理内存不够用的时候，就需要将物理内存中的一部分空间释放出来，以供当前运行的程序使用。那些被释放的空间可能来自一些很长时间没有什么操作的程序，这些被释放的空间被临时保存到Swap空间中，等到那些程序要运行时，再从Swap中恢复保存的数据到内存中。这样，系统总是在物理内存不够时，才进行Swap交换。其实，Swap的调整对Linux服务器，特别是Web服务器的性能至关重要。通过调整Swap，有时可以越过系统性能瓶颈，节省系统升级费用。

2.创建swap

首先查看当前的内存和swap 空间大小(默认单位为k, -m 单位为M)：

```
free -m
```

此处可以看到总内存是503M,SWAP不存在。

查看swap信息，包括文件和分区的详细信息

```
# swapon -s
```

或者

```
# cat /proc/swaps
```

如果都没有，我们就需要手动添加交换分区。注意，OPENVZ架构的VPS是不支持手动添加交换分区的。

添加交换空间有两种选择：添加一个交换分区或添加一个交换文件。推荐你添加一个交换分区；不过，若你没有多少空闲空间可用，则添加交换文件。

一、增加swap交换文件

1、使用dd命令创建一个swap交换文件

dd if=/dev/zero of=/home/swap bs=1024 count=1024000

这样就建立一个/home/swap的分区文件，大小为1G。

2、制作为swap格式文件：

```
mkswap /home/swap
```

3、再用swapon命令把这个文件分区挂载swap分区

```
/sbin/swapon /home/swap
```

我们用free -m命令看一下，发现已经有交换分区了。

但是重启系统后，swap分区又变成0了。

4、为防止重启后swap分区变成0，要修改/etc/fstab文件

```
vi /etc/fstab
```

在文件末尾（最后一行）加上

```
/home/swap swap swap default 0 0
```

这样就算重启系统，swap分区还是有值。

删除swap交换文件

1、先停止swap分区

```
/sbin/swapoff /home/swap
```

2、删除swap分区文件

```
rm -rf /home/swap
```

3、删除自动挂载配置命令

```
vi /etc/fstab
```

这行删除

```
/home/swap swap swap default 0 0
```

这样就能把手动增加的交换文件删除了。
注意：
1、增加删除swap的操作只能使用root用户来操作。
2、装系统时分配的swap分区貌似删除不了。
3、swap分区一般为内存的2倍，但最大不超过2G

二、使用分区来做SWAP(虚拟内存).

1 使用fdisk来创建交换分区（假设 /dev/sdb2 是创建的交换分区）
2 使用 mkswap 命令来设置交换分区：

```
# mkswap /dev/sdb2
```

3 启用交换分区：

```
# swapon /dev/sdb2
```

4 写入/etc/fstab,以便在引导时启用：

```
/dev/sdb2 swap swap defaults 0 0
```

删除交换分区
步骤如下：
1、先停止swap分区

```
/sbin/swapoff /dev/sdb2
```

2、删除自动挂载配置命令

```
vi /etc/fstab
```

这行删除

```
/dev/sdb2 swap swap defaults 0 0
```

这样就能把手动增加的交换分区删除了。

在CentOS中添加Swap交换文件，防止内存不足时MYSQL崩溃，首发于蓝月网络。

解读域名续费赎回到期时间及域名常见状态含义

蓝月网络 — Sun, 23 Apr 2017 10:28:32 +0000

第一、常用的域名管理方式

无论我们域名有多少，以及我们选择哪里的主机产品，一定要有一个良好的管理习惯。包括我们电脑本地的文件管理一样。有些用户桌面乱七八糟的，有些管理、分类的有条理。我们的域名、主机管理同样需要如此。

1、我们在域名注册商需要设置自己常用的邮箱，一般域名在到期前会通知我们续费或者有一些状态信息也会发送给我们。这里需要注意一个问题，我们很多网友会被一些钓鱼邮件泄露账户信息，这里我们在查看邮件之前一定要仔细辨别。

2、我们采用EXCEL表格管理域名，分域名注册商、到期时间等分类，这样可以定期检查域名的到期时间和是否需要续费。

3、定期检查。一般，我会每个月月底、或者下个月月初的时候检查当月是否有域名需要续费，如果需要续费则全部续费。如果有特殊活动的，我会稍有准备，比如月底黑色星期五活动，我会把下个月需要续费的域名，然后准备可能通过一些域名注册商转入优惠便宜转入方式续费，如果没有活动那就再去商家续费。

第二、域名续费、赎回、过期时间

我们域名在注册完毕之后，在到期时间之前可以任意的时间续费，最长是可以续费10年。这个不像有些VPS商家，必须在到期之前才有账单出现续约。国内域名和国外域名稍微有一点区别，这里我们分别介绍，这个还是比较关键的，如果进入赎回期需要高额的费用赎回，如果过期删除如果被人抢注那就麻烦。

1、域名在活动期间内（没有到期），是可以任意时间续费的，最长可以续费10年。

2、国际域名。国际域名在到期后72小时内没有续费的，将会被解析到域名商默认页面；到期37天内是可以续费的，还是原价续费；超过37-67天内，进入赎回期（redemptionPeriod），这个时间内我们是可以续费，但需要支付较高的赎回费用，国内商家一般是500元，像去年有一个网友Godaddy赎回好像接近90美金；赎回期后5天将会进入删除期（pendingDelete），这个时候我们只能等待，等待删除后重新注册。

3、国内域名。国内域名同样在到期后72小时内没有续费，将会被自动解析到域名商的停放页面；到期30天内是可以续费的，续费后将会等待生效会切换到我们的DNS解析中；然后在30-48天进入高价赎回期；如果没有赎回即将进入过期删除期，这个时候我们只能自己重新注册。

PS：有些域名估计么有人看的上的，可以在被删除后重新注册，有的也有人盯上的域名，有些人直接会和你抢注。所以，我们尽量的在到期前续费，毕竟赎回期价格太高，过期删除后是不是你的还不一定。

第三、常见域名状态含义解读

我们在查询域名WHOIS信息的时候会看到域名状态的各种标识，一般用户也不会去看这些。除非可能在抢注域名、域名可能被HOLD或者其他状况的时候会看看。一般会有如下状态，整理算一个文档记录吧。

A – 常见域名状态

1、clientDeleteProhibited ：注册商设置禁止删除

2、serverDeleteProhibited ：注册局设置禁止删除

3、clientUpdateProhibited ：注册商设置禁止更新

4、serverUpdateProhibited：注册局设置禁止更新

5、clientTransferProhibited ：注册商设置禁止转移（我们需要转移之前要解锁）

6、serverTransferProhibited：注册局设置禁止转移（域名新注册60天不能被转移，会有这个状态）

B – 域名删除、过期状态

1、pendingTransfer：域名转移过程（域名正在转移注册商过程中）

2、redemptionPeriod：域名赎回期（进入赎回期，可以联系注册商高价赎回）

3、pendingDelete：待删除/赎回期（如果是国际域名，表示域名已过赎回期等待被删除；国内域名，域名处于赎回期，可联系注册商高价赎回）

4、pendingVerification ：新注册信息审核期（域名注册需要审核的，有些需要提交实名信息）

5、inactive：未激活状态（域名注册后没有解析，需要设置DNS解析）

6、clientRenewProhibited、serverRenewProhibited：禁止续费（这个很多做外贸的用户会有，或者域名被仲裁，需要联系商家解决）

7、clientHold：暂停解析（是不是没有被实名认证或者其他问题，联系商家）

8、serverHold：暂停解析（一般.CN域名没有实名认证后会出现）

总结，我们建站一般会涉及到域名、主机等信息，其中域名是尤为重要的，如果你忘记续费导致域名丢失删除，那其实损失比服务器没有备份数据问题更大，所以我们在管理域名的时候一要有条理规划，同时我们也要选择较好的服务商。经常看到有人注册的域名资料乱写，甚至邮箱也乱写，你这样万一有续费提醒，你也不会收到。

解读域名续费赎回到期时间及域名常见状态含义，首发于蓝月网络。

Linux系统环境crontab定时任务设置参数实例及常用技巧

蓝月网络 — Sun, 23 Apr 2017 09:53:22 +0000

一般情况下，我们在操作和运维VPS、服务器的时候可能会用到crontab定时任务的配置，比如定时的重启服务器、定时备份数据等操作使用的还是比较多的。这里就离不开使用crontab命令的任务配置，在这篇文章中，将会整理较为齐全的crontab命令使用的方法以及常用的实例操作。

从上图中，我们其实就可以看到crontab具体用法。一共有6个段落，前面5个标示定时的时间设定，后面一个标示文件的路径定时执行。

第一、crontab安装

一般我们使用的centos或者debian发行版本都自带crontab定时软件支持的，如果系统不支持，我们只需要通过下面对应的安装就可以。

1、centos安装crontab

#安装Crontab
yum install vixie-cron crontabs
#设置开机启动Crontab
chkconfig crond on
#启动Crontab
service crond start

2、debian安装crontab

#安装Crontab
apt-get install cron
#重启Crontab
/etc/init.d/cron restart

确保系统安装且运行生效之后才可以相关的设置。

第二、定时任务案例

1、35 * * * * updatedb

每隔一小时35分钟的时候更新一次数据库。

2、*/5 * * * * /usr/local/bin/diskusage.sh

每隔5分钟运行diskusage.sh文件。

3、25,50 1 15 * 2 /usr/local/bin/diskusage.sh

每周二1:50AM执行文件

4、00 14 10 3,6,9,12 * /usr/local/bin/diskusage.sh

每年3、6、9、12月份第十天下午2点执行。

5、00 21 * * Mon,Wed,Fri /usr/local/bin/diskusage.sh admin@laozuo.org

每周一、三、五下午9点执行脚本

6、*/5 * * * 1-5 /usr/local/bin/diskusage.sh

周一到周五，每五分钟执行。

第三、系统调度

/etc/cron.d /etc/cron.daily /etc/cron.hourly /etc/cron.monthly /etc/cron.weekly

如果我们根目录在执行backup.sh备份命令，使用上面脚本可以直接替换到/etc/cron.weekly目录。

第四、定时计划的级别设定

我们在操作的时候，每个用户都可以编辑、查看、删除crontab定时配置文件。如果根用户需要改crontab文件，必须加上’-u’选项来指定用户名。

1、编辑crontab文件的用户root时候，我们可以使用命令：

crontab -u root -e

2、移除root用户的定时设定

crontab -u root -r

3、查看root定时任务设置文件

crontab -u root -l

第五、从文件中加载crontab

我们除了可以手工编辑定时文件之外，还可以文件加载到定时文件中。

cat /root/mycronjobs.txt
53 00 * * 7 /bin/sh /root/server-backup.sh
01 00 * * * /bin/sh /root/check-user-quota.sh

我们需要先上传编辑好的mycronjobs.txt定时任务文件到目录中，然后才可以执行。

crontab /root/mycronjobs.txt

通过这个命令检查验证。

crontab -l
53 00 * * 7 /bin/sh /root/server-backup.sh
01 00 * * * /bin/sh /root/check-user-quota.sh

这里我们可以检查定时文件是否存在。

第六、加入SELinux安全选项

crontab -s /root/mycronjobs/my.txt
SELINUX_ROLE_TYPE=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
53 00 * * 7 /bin/sh /root/server-backup.sh
01 00 * * * /bin/sh /root/check-user-quota.sh

第七、删除定时任务工作

[root@linux ~]# crontab -l
53 00 * * 7 /bin/sh /root/server-backup.sh
01 00 * * * /bin/sh /root/check-user-quota.sh

[root@linux ~]# crontab -r

[root@linux ~]# crontab -l
no crontab for root

我们先用-l查看当前的定时任务，然后用-r删除，然后再检查已经没有任务选项。

总结，以上6个步骤和方法，就是我们常用的crontab定时文件配置常用的，一般我们会用的多的是备份和定时启动等，根据我们实际的需要再进行时间上的调整。

Linux系统环境crontab定时任务设置参数实例及常用技巧，首发于蓝月网络。

Nginx环境强制http 301跳转https设置记录

蓝月网络 — Sun, 23 Apr 2017 09:47:28 +0000

如今越来越多的网站开始启用SSL证书，这个也是趋势。在年后升级火狐浏览器看到部分有些非HTTPS网站在地址栏中也有提示，所以这个也是一个趋势，但也并不是绝对，毕竟普通的网站并非交互性质，也没有必要HTTPS。
如果我们在http切换https之后，势必肯定需要地址的唯一性，需要设置301跳转强制https，这里简单做一个记录技术文档，整理几个Nginx实现强制http跳转https的脚本代码，以后有需要的时候可以直接复制用到。
第一、Nginx配置文件修改地址
/usr/local/nginx/conf/vhost
一般我们常用的一键包或者是自己配置的可能稍微有点差异，我们需要找到当前网站所在的.conf配置文件，记得在修改之前需要备份，以免改错。
第二、常见的几个可用301跳转方法
修改配置文件
第一：

```
if ($scheme = http ) {
```
```
return 301 https://$host$request_uri;
```
```
}
```

第二：

```
server_name lanyueer.com ;
```

rewrite ^(.*) https://lanyueer.com$1 permanent

将域名换成自己的域名。
第三：

```
if ($server_port = 80 ) {
```
```
return 301 https://$host$request_uri;
```
```
}
```

这个与第一种差不多。
第四：

```
server_name lanyueer.com ;
```

return 301 https://$server_name$request_uri;

只需要将域名换成自己的域名。
最后，我们修改替换之后，需要重启nginx才可以生效。

Nginx环境强制http 301跳转https设置记录，首发于蓝月网络。

阿里云免费Symantec DV SSL证书申请及配置HTTPS方法

蓝月网络 — Sun, 23 Apr 2017 07:33:30 +0000

第一、阿里云证书申请地址

阿里云证书服务：https://www.aliyun.com/product/cas

在这里我们可以申请免费证书，以及如果有需要其他付费证书也是可以购买的，对于我们普通个人用户而言，能免费则免费吧。

第二、阿里云免费Symantec申请

这里根据我们需要以及目的，申请免费Symantec DV SSL证书，我们可以看到免费1年，如果你确定需要使用也是可以的，因为在这篇文章中的目的我们是要申请后再去申请免费的NC证书，具体我们申请后自己如何使用就不管大家了。

这里我们直接购买付款即可，反正是免费的，直接一步步最后即可，这里不排除以后是付费还是变动，这里只能确保当前是免费的。

第三、补全Symantec DV SSL资料激活

1、补全资料

提交完毕之后，我们需要补全资料且验证具体使用到哪个域名中。

在阿里云后台找到证书列表，然后看到我们当前申请的证书还没有补全资料。

2、填写域名

3、完善个人信息

完善个人信息的同时，我们需要选择域名验证方式，这里我用DNS，以及邮箱不要乱写，会用来收取邮件的。

4、生成CSR方式

选择生成CSR的方式，这里我用系统生成的CSR，点击创建后再点击完成。然后我们会收到一封邮件，要求我们提交TXT绑定验证域名所有权的，根据提示绑定即可。

第四、Symantec DV SSL证书配置方法

我们在上面提交验证域名所有权之后，等呀等，一般不需要几分钟就可以收到成功的邮件，我们可以从阿里云证书列表后台下载到证书包。下载证书文件包之后，可以看到.pem和.key两个文件，这个我们需要绑定到网站配置中的。

1、Nginx环境配置

server {
listen 443;
server_name 网站域名;
ssl on;
…
ssl_certificate 证书文件路径.pem;
ssl_certificate_key 证书文件路径.key;
ssl_session_timeout 5m;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;

…
}

配置还是比较简单的，我们只要将Nginx配置文件添加一组443端口配置，然后将证书匹配进来，路径不要搞错就可以。最后重启nginx看看是否报错，不报错能重启就表示没有问题。

2、Apache环境配置

A – 在Apache的安装目录下创建cert目录，并且将下载的全部文件拷贝到cert目录中。如果申请证书时是自己创建的CSR文件，请将对应的私钥文件放到cert目录下并且命名为214059953170804.key；

B – 打开 apache 安装目录下 conf 目录中的 httpd.conf 文件，找到以下内容并去掉“#”：

#LoadModule ssl_module modules/mod_ssl.so (如果找不到请确认是否编译过 openssl 插件)
#Include conf/extra/httpd-ssl.conf

C – 打开 apache 安装目录下 conf/extra/httpd-ssl.conf 文件 (也可能是conf.d/ssl.conf，与操作系统及安装方式有关)，在配置文件中查找以下配置语句:

# 添加 SSL 协议支持协议，去掉不安全的协议
SSLProtocol TLSv1 TLSv1.1 TLSv1.2
# 修改加密套件如下
SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4
# 证书公钥配置
SSLCertificateFile cert/public.pem
# 证书私钥配置
SSLCertificateKeyFile cert/214059953170804.key
# 证书链配置，如果该属性开头有 ‘#’字符，请删除掉
SSLCertificateChainFile cert/chain.pem

D – 重启 Apache。

第五、阿里云免费Symantec证书申请总结

1、阿里云有提供免费1年Symantec 证书，如果有需要申请用来项目使用的或者用来需要申请NC免费证书的可以用Symantec申请。

2、Symantec证书的配置还是比较简单，阿里云也有提供对应环境的配置教程，包括nginx、apache、IIS等。

阿里云免费Symantec DV SSL证书申请及配置HTTPS方法，首发于蓝月网络。

腾讯云、百度云、阿里云CDN网络加速服务综合对比

蓝月网络 — Sun, 23 Apr 2017 06:40:07 +0000

如今，对于我们用户而言可以选择的国内、国外主机服务商、云主机产品越来越多，成本也越来越低。国内主流的BAT也都有提供相应的云主机产品服务（百度云BCC、腾讯云CVM、阿里云ECS）。在云服务器服务之外，还会提供与之相关联的其他云服务，比如存储、数据库、安全、监控工具等等。

如今各大中型网站都会启用内容分发网络CDN加速服务，通过CDN服务商网络节点，更友好、更快速地展现网站项目和服务，进而提高网站友好度。

在这篇文章，将会针对当前百度云（cloud.baidu.com）、腾讯云（qcloud.com）、阿里云（aliyun.com）三家国内云主机提供商，对比各自CDN服务的优势、特点。进而可以方便我们用户选择需要的服务。

第一、是否免费

对于用户而言，我们更希望商家能够提供免费服务，我们也能够从网上看到一些商家提供的免费CDN服务，大部分商家免费与付费还是有一定的区别的，比如节点、速度、以及其他增值功能区别。当然，对于一般网站来说，开始使用免费服务也是可取的，但是随着项目的升级、收入的增加，我们最终还是需要使用付费服务来保障服务的质量。

1、百度云CDN

官网网站：https://cloud.baidu.com/product/cdn.html

目前，百度云CDN服务没有提供免费套餐，与之相关的百度云加速（su.baidu.com）是有免费服务方案的，两者应该是不同的品牌运营，百度云CDN是基于云主机产品，侧重提供的内容加速、节点较多，且按照使用流量付费。而百度云加速则提供加速节点较少，且只提供基础安全功能。

2、阿里云CDN

官方网站：https://www.aliyun.com/product/cdn

阿里云CDN采用流量包计费模式，对于新用户有100GB免费服务，但是需要抢资格。

根据介绍，每天有一定的名额限制，原本准备抢一个体验的，一直没有申请到，以后如果有机会申请到再分享体验文章。（更新，刚才去阿里云官方看，已经取消免费活动，以后有活动再体验分享）

3、腾讯云CDN

官网网站：https://www.qcloud.com/product/cdn

目前，腾讯云CDN针对新用户推出免费活动，前6个月提供每月50GB流量给用户使用，总共300GB免费流量。而且，腾讯云CDN在开通之后，每月还会额外赠送10GB流量。对于普通个人用户而言还是能够满足需求，在免费体验之后，再决定是否付费继续使用。

第二、节点分布

内容分发CDN的特点就在于节点的数量多，能够实现项目用户访问速度加快。一般免费CDN的节点都比较少，而且稳定性不好，我们看看BAT三家CDN节点的分布情况。

1、百度云CDN

百度自建节点覆盖全国30多个省市；10线+运营商网络接入，Tb级别带宽承载，覆盖所有运营商；单节点带宽不低于40Gbps，业务平均98%+流量命中率；毫秒级别响应时间；中心节点收敛回源；分片回源机制有效降低回源流量。

且从介绍看百度云CDN还没有海外节点。

2、阿里云CDN

阿里云节点覆盖30多个国家，500+ 全球节点，20T带宽能力，国内主流运营商全支持。

3、腾讯云CDN

腾讯云CDN节点在覆盖30多个国家和地区，共有530+加速节点，国内节点覆盖移动、联通、电信等所有主流运营商及十几家中小型运营商，总40T+资源储备。

第三、优势与功能

基于我们用户较为关心的价格、节点分布分别做了以上的对比，这里再简单罗列BAT三家CDN服务的功能上的特点和优势。

1、百度云CDN

a. 百度自研高性能网络设备接入，单机承载网络带宽可达到40Gbps，具有强大的抗攻击能力。

b. 支持缓存策略、缓存key计算、回源、视频、防盗链、HTTPS等相关的配置。

c. 7*24小时全网监控与工单响应

d. 丰富的数据分析，提供带宽流量、请求次数、访客分析、运营商分布分析等等业务全景数据报表。

e. 日志免费存储、同时支持日志自动转储至客户的BOS空间，方便客户进行管理与数据分析工作。

2、阿里云CDN

a. HTTPS安全加速服务。防劫持、防篡改、防泄密，享受企业级可靠HTTPS加速服务。

b.提供多重访盗链功能，referrer防盗链、UA头防盗链、IP防盗链、URL鉴权校验。其他商家也都有提供这类功能。

C、各节点具备高速读写固态硬盘 SSD 存储，配合 SSD 加速能力，大幅减少用户访问等待时间，提高可用性。均衡使用 CPU 多核处理能力，高效合理使用和控制内存，最大化 SSD IOPS 和吞吐。

d. 去除页面冗余内容如 html页面、内嵌 JavaScript 和 css 中的注释以及重复的空白符，对静态文件类型进行压缩，有效减少用户传输内容大小。

e. 全景数据统计，丰富角度分析，客户画像描述助力业务拓展。支持定制化日志服务，自定义永久存储，便捷下载分析。

3、腾讯云CDN

a.节点比较多，国内500+节点，覆盖移动、联通、电信等运营商；海外50+加速节点，覆盖30+国家地区。但是可能会因为源站的地域机房限制，少部分国内、海外节点延迟比较高。

b. 利用遍布全国的监测点，定频访问监测文件，对全国各地域、运营商的CDN访问状态进行监控、分析。自研GSLB调度体系，结合全网实时监控数据，将用户请求精准调度至最优接入节点。

c. 支持全网HTTPS加密传输，保障数据安全，避免遭受内容劫持。腾讯云提供免费1年免费SSL证书，或购买赛门铁克、GeoTrust付费证书。申请/购买完成后，支持一键部署至CDN，实现HTTPS访问。

d. 支持配置 referrer 防盗链，通过 HTTP 请求中 referrer 字段实施访问控制，有效防盗刷。支持配置 IP 黑白名单，通过对访问源IP进行过滤，有效抵御恶意用户。支持配置单IP单节点QPS限制，有效抵御CC攻击。

e.提供热备源功能，可以有效的设置主站意外自动回源备用服务器。可随意多级缓存路线可选，您可以根据实际需要开启中间源，收敛回源，有效降低回源带宽，减轻源站压力。

f.简单易用，直接添加CNAME即可接入使用。实时反馈业务访问情况、消耗明细、热门资源分析，支持十几项自助功能配置，提供全方位API接口，多样化管理。

g.强大的监控、统计分析。实时查看在CDN上产生的流量、带宽、请求数、命中率数据，支持省份、运营商分布分析，支持热点资源TOP100排名查询。

第四、速度大比拼

我们项目使用内容分发CDN主要目的是让项目提高用户访问速度，正如我们上面看到各家在国内、国外部署大量节点的原因。因为目前阿里云CDN和腾讯云CDN都有提供免费CDN资源，所以根据提供到的免费资源搭建真实的生产环境，然后通过17ce工具（17ce.com）进行在线测试两家CDN在移动、联通、电信、海外 4个节点CDN速度情况。

1、阿里云CDN速度测试

a.国内电信

实例报告：http://www.17ce.com/site/cdn/201703_8b91618609317fbb75152cd52cf80912.html

b.国内联通

实例报告：http://www.17ce.com/site/cdn/201703_8dad17e506423a52ae9cac87be4e23ed.html

c.国内移动

实例报告：http://www.17ce.com/site/cdn/201703_5835f8b6bc6b813daa969b9dea2f111d.html

d.国外测速点

实例报告：http://www.17ce.com/site/cdn/201703_b2e09ac0703211c5e6476d1182faea2f.html

2、腾讯云CDN速度测试

a.国内电信

实例报告：http://www.17ce.com/site/cdn/201703_9c5483f297c7fb7f176bca5b24653cbc.html

b.国内联通

实例报告：
http://www.17ce.com/site/cdn/201703_5ddbafe3670657939993068b3f811e45.html

c.国内移动

实例报告：http://www.17ce.com/site/cdn/201703_86272fe04f21702d2ad9c48ec3b48708.html

d.国外节点

实例报告：http://www.17ce.com/site/cdn/201703_1c504f602f940f7e238070df43f1fe16.html

以上对阿里云CDN和腾讯云CDN部署实例后，利用17CE在线工具进行的简单国内电信、移动、联通、以及海外节点的测速数据。以上数据仅仅是当前工具节点的速度体现，实际上会因为具体项目、DNS解析，实际用户真实节点等因素会有所差异。

第五、BAT三家CDN服务小结

由于各自业务重心不同，起步稍有早晚区别，但是可以看到这两年各家在云主机业务上也在陆续增设部署。

1、从官方界面看，腾讯云官网界面给个人的感觉比较好看，以前觉得阿里还不错的，但是由于产品增多，无论是前台和后台的产品菜单布局显得有点乱，有些时候找个菜单不知道在哪里。

2、从免费流量看，腾讯云CDN无疑是新用户最佳选择商家，新用户前6个月每月提供50GB流量，而且自开通之日起每月可以额外赠送10GB。也就是说，如果以后项目流量不超过10GB/月，那就可以一直免费使用。

腾讯云、百度云、阿里云CDN网络加速服务综合对比，首发于蓝月网络。

解决LNMP开启open_basedir出现”No input file specified”问题

蓝月网络 — Sun, 23 Apr 2017 06:34:51 +0000

今天有在帮助一个网友安装PixelK跟踪软件的时候，他的服务器WEB系统使用的是军哥LNMP V1.3版本，因为这个软件比较特别，需要开启open_basedir然后授权某个目录。原本以为安装正常的就直接到”/usr/local/php/etc/php.ini”文件中开启即可。
但是，在开启后重启PHP发现登录网站会看到报错”No input file specified”。看来改这里是不行的，然后看到LNMP一键包每个网站都用的单独的.user.ini管理的，所以不能在全局修改open_basedir，只能在.user.ini中修改open_basedir文件。
第一、编辑权限

```
chattr -i /网站目录/.user.ini
```

先要编辑权限，然后才可以进行vi修改文件。
第二、重新授权

```
chattr +i /网站目录/.user.ini
```

重新授权之后，然后再重启PHP（/etc/init.d/php-fpm restart），这样就可以解决上面的报错问题，也同时开启open_basedir授权目录。

解决LNMP开启open_basedir出现”No input file specified”问题，首发于蓝月网络。

使用 Fail2ban 防止 SSH 和WordPress 暴力破解

蓝月网络 — Sun, 16 Apr 2017 11:39:46 +0000

通过 SSH 连接到服务器非常安全，但是 SSH 守护进程本身必须暴露给互联网才能正常工作。这很容易成功潜在攻击者的目标。以这种方式暴露给网络的任何服务都是攻击者的潜在目标。如果我们注意过这些服务的日志，就会经常看到重复的登录尝试，这就意味着该服务遭受了暴力破解攻击。WordPress 因为广泛使用也每天都遭受着这样的攻击。

Linux 系统中有一个叫 Fail2ban 的服务，可以通过分析应用程序日志识别暴力破解行为，然后自动修改 iptables 防火墙规则来屏蔽掉攻击者的 IP 地址。这个过程是自动的，配置好Fail2ban 服务后，我们就不需要人工干预了。在这篇文章中，我将介绍如何在 CentOS 7 服务器上安装和使用Fail2ban。

在CentOS 7上安装Fail2ban

官方 CentOS 组件库中没有包含 Fail2ban 软件，它被打包在了EPEL项目中（EPEL代表额外的企业版 Linux 软件包），我们需要先启用 EPEl 仓库。

```
sudo yum install epel-release
```

现在，我们应该可以安装fail2ban包了

```
sudo yum install fail2ban
```

安装完成后，我们需要使用systemctl启用fail2ban服务：

```
sudo systemctl enable fail2ban
```

自定义 Fail2ban 设置

Fail2ban 的配置文件在/etc/fail2ban目录。在这里，我们可以找到一个名为 jail.conf 的Fail2ban 配置文件。此文件可能会被软件包升级覆盖，所以我们不应该直接编辑，我们可以编写一个名为新文件 jail.local 的自定义配置文件，该文件中定义的任何值将覆 jail.conf 中的设置。

jail.conf 包含了 [DEFAULT] 配置，随后是各个服务的配置。 jail.local 可以覆盖这些值中的任何值。另外，文件夹 /etc/fail2ban/jail.d/ 中的服务相关设置又可以覆盖这两个文件中的设置，这些文件的优先级如下：

/etc/fail2ban/jail.conf
/etc/fail2ban/jail.d/*.conf，按字母顺序排列
/etc/fail2ban/jail.local
/etc/fail2ban/jail.d/*.local，按字母顺序排列
任何文件可以包含一个 [DEFAULT] 配置，首先执行，也可以包含各个服务的配置。

首先，让我们编写一个非常简单的 jail.local。使用 vi 编辑器打开一个新文件：

```
sudo vi /etc/fail2ban/jail.local
```

粘贴以下内容：

```
[DEFAULT]
```
```
# Ban hosts for one hour:
```
```
bantime = 3600
```
```
 
```

# Override /etc/fail2ban/jail.d/00-firewalld.conf:

```
banaction = iptables-multiport
```
```
 
```
```
[sshd]
```
```
enabled = true
```

上面的配置覆盖了三种设置：为所有服务设置了一个新的屏蔽时间，设置使用 iptables 进行屏蔽操作，并启用了sshd 屏蔽，修改完成后，我们需要重启以便使 Fail2ban 生效：

```
sudo systemctl restart fail2ban
```

该命令完成后应该没有任何输出。

Fail2ban 其他可用设置

我们可能还需要调整 Fail2bam 的其他设置。打开 jail.conf，我们将讨论一些默认设置。如果需要改变这些值，一定要复制到 jail.local 配置文件里面调整，而不是直接在默认文件里面修改。

```
sudo vi /etc/fail2ban/jail.conf
```

Jail 的所有默认设置

首先是 [DEFAULT] 部分。

```
ignoreip = 127.0.0.1/8
```

该参数可以让 Fail2ban 忽略来自某些 IP 的流量。目前，它被配置为不禁止来自本机的任何流量。我们可以附加更多 IP（以空格分隔）来忽略其他地址。

```
bantime = 600
```

bantime 参数设置了某IP被屏蔽的时间，以秒为单位，默认为600秒，也就是10分钟。

```
findtime = 600
```
```
maxretry = 3
```

接下来要注意的两个参数是 findtime 和maxretry。这两个参数共同确定了某IP应该被屏蔽的条件。

maxretry 变量设置一个 IP 在 findtime 内，被屏蔽之前可以尝试的次数。默认情况下，Fail2ban 将禁止在10分钟内 3 次登录失败的 IP。

```
destemail = root@localhost
```
```
sendername = Fail2Ban
```
```
mta = sendmail
```

如果要配置电子邮件警报，我们可能需要重写 destemail，sendername 和 mta 设置。destemail 参数设置了接收禁止消息的电子邮件地址。sendername 为邮件“发件人”字段的值。mta 参数设置了使用什么邮件服务来发送邮件。

```
action = $(action_)s
```

此参数设置了当 Fail2ban 想要屏蔽 IP 时采取的操作。默认操作是配置防火墙以拒绝来自符合屏蔽条件的流量，直到屏蔽时间过去。

其他 Jail 设置

在 [DEFAULT] 之后，是各个服务的 jail 设置，通常包括一个 port 和需要监控的日志路径 logpath。例如，我们启用了 SSH 监控，jail.local 中会有如下设置：

```
[sshd]
```
```
 
```
```
port = ssh
```
```
logpath = %(sshd_log)s
```

这种情况下，ssh 是一个标准 SSH 端口的预定义变量，%(sshd_log)s 使用 fail2ban 标准配置处定义的值（方便 jail.conf 在不同操作系统中移植）。

在有些监控服务中，可能需要单独设置一个 filter，用来确定验证失败的规则，该 filter 值位于 /etc/fail2ban/filter.d 目录，此文件包含一个正则表达式，用于确定日志中的行是否符合屏蔽条件。后面将要介绍的 WordPress 监控设置就需要新建一个 filter 文件。

我们可以通过列出该目录中的文件来查看可用的过滤器：

```
ls /etc/fail2ban/filter.d
```

如果我们看到一个与正在使用的服务相关的文件，大多数情况下该过滤规则是可以直接使用的，例如，我们正在使用 Nginx，我们可以在我们的 /etc/fail2ban/jail.local 文件中设置 [nginx-http-auth]：

```
[DEFAULT]
```
```
# Ban hosts for one hour:
```
```
bantime = 3600
```
```
 
```

# Override /etc/fail2ban/jail.d/00-firewalld.conf:

```
banaction = iptables-multiport
```
```
 
```
```
[sshd]
```
```
enabled = true
```
```
 
```
```
[nginx-http-auth]
```
```
enabled = true
```

重新启动fail2ban服务：

```
sudo systemctl restart fail2ban
```

查看 Fail2ban 状态和防火墙设置

设置了 Fail2ban后，我们需要知道 Fail2ban 是否按预期工作的，通过启动 fail2ban-client 检查整体服务状态或个别监控服务的状态：

```
sudo fail2ban-client status
```
```
sudo fail2ban-client status jail_name
```

也可以列出为 iptables 当前生效的规则来查看通过 Fail2ban 屏蔽的 ip：

```
sudo iptables -L
```

使用 Fail2ban 防止 WordPress 暴力破解

如果我们的 WordPress 站点设置了访问日志，我们就可以让 Fail2ban 监控网站日志，来防止 WordPress 暴力破解，凡是不停发送 POST 的请求到 wp-login.php 的请求，一般情况下都是暴力破解的行为。根据这个特征，我们可以设置下面的 filter，命名为wordpress.conf，放在/etc/fail2ban/filter.d/文件夹中。

```
# WP brute force attacks filter
```
```
[Definition]
```
```
failregex =.*-.*-.*POST.*/wp-login$
```
```
ignoreregex =
```

然后在 jail.local 文件中，加入以下内容，其中的 logpath 就是网站的访问日志路径。

```
[wordpress]
```
```
enabled = true
```
```
filter = wordpress
```
```
logpath = /home/wwwlogs/*.log
```
```
maxretry = 3
```
```
port = http,https
```

Centos 7 使用了 firewalld 替代了 iptables，fail2ban 可能无法更新 iptables 规则，这种情况下，使用下面两条命令禁用 firewalld 防火墙，然后启用 iptables 就可以了。

```
systemctl stop firewalld
```
```
systemctl mask firewalld
```

通过上面的设置，服务器就可以防止大部分的暴力破解攻击了，在安全性上又提升了一个级别。即便如此，我们依然不能忘记安全的基本规则，不要设置过于简单的密码，谨慎保存自己的密码，防止泄露。安全不仅是一种状态，更是一种习惯，养成了注意网络安全的习惯，安全就会一直保持下去。

使用 Fail2ban 防止 SSH 和WordPress 暴力破解，首发于蓝月网络。

Tiny Core Linux – 体积最小的精简 Linux 操作系统发行版之一 (仅10多MB)

蓝月网络 — Sun, 02 Oct 2016 09:51:11 +0000

Tiny Core Linux (TCL) 是一款极体积极小且高度可扩展的微型 Linux 发行版，它将一个 Linux 操作系统精简到仅有 10 多 MB 左右的大小，似乎小巧得有点让人叹为观止！

要知道无论是常见的 Ubuntu、CentOS、Debian 的体积动辄就是几百MB甚至要上GB了，Tiny Core Linux 一出手则技惊四座，它包含了 BusyBox 和 FLTK 图形界面，不仅体积极小，对硬件配置要求也非常低，即使在古董级的电脑上也能跑得欢……

体积小、好玩、速度极快的微型 Linux 系统

看到 Tiny Core Linux 的时候你可能会发出感慨，什么叫做麻雀虽小五脏俱全。它的体积仅有十几MB左右，却依然提供了图形化的界面。而且得益于体积小，Tiny Core Linux 采用了「将系统内核完全装载在内存中运行」的方式，因此无论是启动还是运行速度都极快！

当然，它并没有预装任何程序，极度的精简也带来一些问题，譬如驱动不全，默认情况下它并不能支持全部的硬件，它只包含了 Linux 内核和一个非常精简的X桌面，以及对有线网络的支持。用户可以通过在线 Repository 自行安装硬件驱动和第三方程序，也可以手动编译所需的软件。

但是，Tiny Core Linux 好玩和实用之处恰恰是让用户有充分的定制自由，通过加装软件、添加驱动模块扩展其应用来打造自己的最小的实用性 Linux 系统。

Tiny Core Linux 的用途广泛

别以为 Tiny Core Linux 只是体积小速度快，其实它用途也是很广的。譬如初入门 Linux 想学习下最简单的命令，你可以几分钟内就能下载并在虚拟机里跑起 Tiny Core Linux，而其他的 Linux 发行版想必都没下载完吧。而作为一个精简的 Linux 虚拟机来使用，不仅占用资源极小，速度也很快！

或者如果你手头上还有一些老古董级的电脑，甚至连跑个 Win98/95 都有点吃力，那体积极小而且速度飞快的 Tiny Core Linux 也许能让它重新焕发青春，可以让它跑个浏览器上上网，或跑一些简单的脚本/网络服务，发挥想象力，利用起来可能作用还不小呢。

另外，如果你还对目前比较火的 Docker 虚拟化应用有所了解，你可能知道由于 Docker 引擎使用了 Linux 内核的特性，因此在 Mac OS X 和 Windows 系统上并不能直接管理和创建 container 容器，因此出现了 boot2docker 这样的项目，它非常聪明地通过集成了 Virtualbox 以及加上一个基于 Tiny Core Linux 镜像的虚拟机，从而使得 Mac OS X 和 Windows 在耗费极小的系统资源和磁盘空间情况下，通过虚拟化的方式让它们支持 Docker，这就是 Tiny Core Linux 的一个极佳应用例子了。

硬件配置要求：

根据官方的说明，Tiny Core Linux 最小硬件配置要求是 28MB 内存保障核心运行， 46 MB 内存保障系统运行，最低 CPU 需求是 i486DX，也就是各种课本中经常提到的老古董 Intel 80486（估计国内没多少个小伙伴还有此神器吧）。当然，这支持最低要求，官方的推荐配置要求是不低于奔腾 2 CPU，128MB 内存。恐怕小伙伴们也难以找到低于这个配置而且还能正常使用的电脑了吧。

Tiny Core Linux 三个版本：

Tiny Core Linux 其实提供了三个不同版本供用户下载，分别是 Core (11MB)、TinyCore (16MB) 以及 CorePlus (106MB)，其中 Core 版只包含命令行，没有图形界面，适用于高级用户或用来定制应用；TinyCore 版则是提供了图形界面、网络连接等功能，比较适合大众用户；而 CorePlus 版则内置了更多的安装工具，安装时可以在7种窗口管理器中自由选择，支持非美国键盘等。

Linux最好用远程管理 xshell

蓝月网络 — Thu, 01 Sep 2016 11:49:16 +0000

介绍给大家一款最实用的是linux远程管理软件，xshell，最好用的软件，没有之一。支持中文，家庭用户全免费，支持保存密码，支持各种自定义功能，包括字体等等。

下载地址：http://www.netsarang.com/download/down_xsh.html

一、输入IP和端口

二、输入ROOT帐号和密码

三、平时使用，直接点开就连接上了，省事省心，尤其是多服务器管理

切记：不要从不知来源的网站，下载任何类似管理软件，PUTTY汉化有木马事件铭记于心。

Linux最好用远程管理 xshell，首发于蓝月网络。

Best Trace可视化路由追踪线路工具辅助选择VPS主机

蓝月网络 — Sun, 15 May 2016 13:03:48 +0000

我们用户在选择VPS、服务器等主机产品的时候，无论是看中诱人的价格，还是商家的各种轮番促销或者送钱活动，最为关键的还是需要速度和稳定。然而，即便我们初期购买的手看到、体验到的速度和线路，也不能代表以后永久不变的稳定，可能会因为某些问题商家调整线路。比如当前SL亚洲线路绕道美国，以前还不错的Vultr日本也绕线美国，这样的调整势必会让我们选择上需要一些调整。
最近一段时间，很多网友也有看到在评测VPS主机线路的时候有一些截图路由追踪是用到的可视化地图模式，这样比原先我们可能会用到的WinMTR、WEBKAKA路由追踪工具还更为的直观一些。

工具介绍

Best Trace，出自IPIP官方网站，目前有基于MAC、IOS、Android、以及Windows系统的版本，我们可以通过工具快速的从本地到主机之间的路由追踪，直观的看看线路直连还是绕线。

工具下载

下载地址：http://www.ipip.net/download.html
选择对应需要的版本，下载后安装即可。

Best Trace工具体验

简单测试后这款工具还是比较准确的，我们在使用之前可以更新IP库（这里我用SL香港看看）

上图是我用SL香港IP地址测试的，可以看到当前我本地所在的电信线路绕一圈的。
总结，这样如果我们在选择VPS主机的时候可以使用Best Trace工具来跟踪路由看看线路的情况，辅助我们的选择。

Best Trace可视化路由追踪线路工具辅助选择VPS主机，首发于蓝月网络。

PHP 7.0.0 正式版终于发布了，速度是 PHP 5.6 的两倍

蓝月网络 — Mon, 07 Dec 2015 12:27:05 +0000

PHP 7 正式版终于发布了，包含支持64位最新版Zend引擎，在性能方面有了非常明显的提升，在强类型和匿名类方面做出了诸多修正和改善：

提升性能：PHP 7 速度是 PHP 5.6 的两倍
显著降低内存使用
抽象语法树
支持 64 位
许多重大错误可以进行异常处理
移除了旧的和不支持的 SAPIs 和扩展
安全的随机数生成器
null 合并操作符(??)
结合比较运算符 (<=>)
标量类型声明
匿名类

官方文档中已经详细介绍了如何从PHP 5.6.x迁移到PHP 7.0.x，并公布了系统的部分新特性。

PHP 7.0.0 正式版终于发布了，速度是 PHP 5.6 的两倍，首发于蓝月网络。

服务器与运维 – 蓝月网络

一些需要禁用的PHP危险函数(disable_functions)

在CentOS中添加Swap交换文件，防止内存不足时MYSQL崩溃

1.swap概述

2.创建swap

一、增加swap交换文件

二、使用分区来做SWAP(虚拟内存).

推荐WordPress 运行环境配置

LNMP 无面板环境

WDCP 3 可视化面板

宝塔 可视化面板

解读域名续费赎回到期时间及域名常见状态含义

Linux系统环境crontab定时任务设置参数实例及常用技巧

第一、crontab安装

第二、定时任务案例

第三、系统调度

第四、定时计划的级别设定

第五、从文件中加载crontab

第六、加入SELinux安全选项

第七、删除定时任务工作

Nginx环境强制http 301跳转https设置记录

阿里云免费Symantec DV SSL证书申请及配置HTTPS方法

腾讯云、百度云、阿里云CDN网络加速服务综合对比

解决LNMP开启open_basedir出现”No input file specified”问题

使用 Fail2ban 防止 SSH 和WordPress 暴力破解

在CentOS 7上安装Fail2ban

自定义 Fail2ban 设置

Fail2ban 其他可用设置

Jail 的所有默认设置

其他 Jail 设置

查看 Fail2ban 状态和防火墙设置

使用 Fail2ban 防止 WordPress 暴力破解

Tiny Core Linux – 体积最小的精简 Linux 操作系统发行版之一 (仅10多MB)

体积小、好玩、速度极快的微型 Linux 系统

Tiny Core Linux 的用途广泛

硬件配置要求：

Tiny Core Linux 三个版本：

相关文件下载地址：

Linux最好用远程管理 xshell

Best Trace可视化路由追踪线路工具辅助选择VPS主机

工具介绍

工具下载

Best Trace工具体验

PHP 7.0.0 正式版终于发布了，速度是 PHP 5.6 的两倍

宝塔可视化面板