标签防火墙下的文章 - 洛维花 – LuoWeiHua

2026-05-20

NGINX 零停机平滑升级全流程实操指南一、概述在生产环境下，升级 NGINX 二进制文件通常面临一个挑战：如何升级而不需要停止服务（零停机）？NGINX 通过一套精巧的信号量（Signals）机制实现了平滑升级。其核心原理是：启动一个新的主进程（Master Process）接管监听端口，让旧进程在处理完现有请求后优雅退出，从而实现无缝切换。二、升级前置准备与环境摸底在升级之前，必须确保新版本的编译参数与当前运行的版本完全一致，否则会导致启动失败或功能缺失。1. 查询当前版本及编译参数# 查看当前版本号 nginx -v # 查看详细编译参数 (极其重要，升级时必须使用相同的参数) nginx -V记录项：重点记录 configure arguments 之后的所有内容（如 --prefix=/usr/local/nginx）。2. 确认二进制文件路径与 PID# 确认 nginx 可执行文件路径 which nginx # 确认当前运行的主进程 PID ps aux | grep nginx 记录项：记录 master process 的 PID。3. 配置文件语法检查在任何操作前，确保当前配置文件没有语法错误。nginx -t三、新版本编译准备核心原则：只编译→→不安装。严禁直接执行 make install，因为这会覆盖您生产环境的配置文件。1. 下载并解压wget http://nginx.org/download/nginx-x.x.x.tar.gz tar -zxvf nginx-x.x.x.tar.gz cd nginx-x.x.x2. 配置与编译使用第一阶段记录的编译参数进行配置：# 使用之前 nginx -V 记录的参数 ./configure --prefix=/usr/local/nginx [其他参数...] # 编译生成二进制文件 make编译完成后，新的二进制文件位于 objs/nginx。四、执行平滑升级（核心步骤）步骤 1：二进制文件替换由于 Linux 内核禁止覆盖正在运行的二进制文件（会报 Text file busy），我们必须使用 mv 命令通过改变 inode 的方式进行替换。 # 1. 备份旧文件 cp /usr/local/nginx/sbin/nginx /usr/local/nginx/sbin/nginx.bak # 2. 使用 mv 替换新文件 (绕过 Text file busy) mv objs/nginx /usr/local/nginx/sbin/nginx # 3. (可选) 如果系统中有快捷路径 /usr/local/bin/nginx，请同步更新 cp /usr/local/nginx/sbin/nginx /usr/local/bin/nginx步骤 2：启动新主进程 (USR2)向旧主进程发送 USR2 信号，通知其启动新版本的二进制进程。 kill -USR2 <旧MasterPID> 状态：此时，旧主进程和新主进程同时存在，它们共同监听端口，但新请求将开始分发给新进程。步骤 3：优雅停止旧工作进程 (WINCH) 向旧主进程发送 WINCH 信号，通知旧的工作进程（Worker Processes）在处理完当前请求后立即退出。 code Bash kill -WINCH <旧MasterPID> 状态：此时，所有新流量已全部由新版本进程处理。步骤 4：业务验证（关键环节）在彻底删除旧版本前，必须进行全方位验证：本地验证： curl -I http://127.0.0.1:端口外部验证： telnet IP 端口或浏览器访问。日志验证： tail -f /usr/local/nginx/logs/error.log 检查是否有 [emerg] 报错。 ### 步骤 5：彻底关闭旧主进程 (QUIT) 确认业务运行稳定后，关闭不再需要的旧主进程。 ```text kill -QUIT ``` 五、异常处理与回滚方案 1. 怎么回滚？如果在步骤 3 之后发现新版本运行异常，可以通过以下指令将流量瞬间切回旧版本： code Bash # 向新主进程发送 WINCH 信号，让新 worker 退出 kill -WINCH # 此时流量会自动切回尚未关闭的旧 worker 进程 2. 常见坑点排查 ```text Text file busy：不要用 cp 覆盖运行中的文件，必须用 mv。版本显示不一致：如果 nginx -v 显示旧版而 ps 显示新版，说明 /usr/local/bin/nginx 和 /usr/local/nginx/sbin/nginx 两者不一致，请同步覆盖。 Telnet 不通：若 curl 内部通但外部不通，请检查防火墙（Firewalld/Security Group）策略，这通常与 NGINX 升级无关，而是网络层波动。 ``` 六、总结流程图备份→→编译→→mv替换→→USR2(启动新版)→→WINCH(切流量)→→验证→→QUIT(删旧版)

2026年05月20日
15 阅读
0 评论
0 点赞

2025-02-25

frp 部署及使用（内网穿透）前言FRP（Fast Reverse Proxy）是一个开源的反向代理工具，主要用于内网穿透和远程访问。它可以通过映射网络服务（如 HTTP、TCP、UDP 等）到公网，实现内网服务的外网访问，特别适合在无公网 IP 或有防火墙限制的场景下使用。下载地址：https://github.com/fatedier/frp/releases {cloud title="下载链接" type="default" url="https://github.com/fatedier/frp/releases" password=""/}详细使用文档：https://gofrp.org/zh-cn/docs/overview/核心功能内网穿透反向代理自定义域名跨网络访问安全性多种高级功能一、环境准备说明一下frp 分为： 1、frps 服务端（外网使用）；2、frpc 客户端（内网使用）模拟环境：家用服务器没有公网 ip 云服务器有公网 ip 两服务器系统环境均为：Ubuntu 24.04 frp服务包：（两个环境版本一致）二、安装包准备{cloud title="蓝奏云，" type="lz" url="https://daimafengzi.lanzout.com/b01tp77j0f" password="2t25"/}{cloud title="天翼云盘，（访问码：kn18）" type="default" url="https://cloud.189.cn/web/share?code=ZZrEvm32iqiy" password=""/}{cloud title="123云盘" type="default" url="https://www.123684.com/s/0ztiVv-vUaod?" password="R14f"/}三、外网服务器部署 frps上传压缩包到任意目录然后解压，示例 /usr/local/ 目录# 解压到当前目录 unzip frps.zip # 移动并改名 mv frps /usr/local/frps # 创建 frp 用户 useradd -r -s /usr/sbin/nologin -M frp # 授权文件夹 chown -R frp:frp /usr/local/frp备份并修改 frps 配置文件 frps.toml （直接执行命令，不用手动编辑）# 备份配置文件 cp /usr/local/frp/frps.toml /usr/local/frp/frps.tomlbak# 直接执行覆盖原来的配置 /usr/local/frp/frps.toml > [common] # 服务端绑定的端口，用于客户端与服务端通信的核心端口。需要确保该端口对外网开放。 bind_port = 7000 # HTTP 代理的虚拟主机端口。用于通过域名访问客户端的 HTTP 服务，需配置 DNS。 vhost_http_port = 80 # HTTPS 代理的虚拟主机端口。用于通过域名访问客户端的 HTTPS 服务，需配置 DNS。 vhost_https_port = 443 # 密钥，是自定义的，想怎么填写就怎么填写，但客户端和服务端必须保持一致，确保安全通信。 token = "Frp20241129" # 仪表板端口，用于查看 frps 服务端的运行状态和管理客户端连接。访问地址：服务器IP:7500 dashboard_port = 7500加入系统服务并开机自启动 # 加入系统服务 /etc/systemd/system/frps.service [Unit] Description = frp server After = network.target syslog.target Wants = network.target [Service] Type = simple ExecStart = /etc/frpc/frps -c /etc/frpc/frps.toml [Install] WantedBy = multi-user.target # 重载配置使其生效 systemctl daemon-reload # 启动 frps 服务 systemctl start frps.service # 设置开机自启 systemctl enable frps.service四、内网服务器部署 frpc上传压缩包到任意目录然后解压，示例 /usr/local/ 目录# 解压到当前目录 unzip frpc.gz # 移动并改名 mv frpc /usr/local/frpc # 创建 frp 用户 useradd -r -s /usr/sbin/nologin -M frp # 授权文件夹 chown -R frp:frp /usr/local/frp备份并修改 frpc 配置文件 frpc.toml （直接执行命令，不用手动编辑）cp /usr/local/frp/frpc.toml /usr/local/frp/frpc.tomlbak# 直接执行覆盖原来的配置 /usr/local/frp/frpc.toml > [common] server_addr = "此处引号内填写外网服务器的公网IP" # 服务端口 server_port = 7000 # 密钥，需要和 frps 配置一致 token = "Frp20241129" # 配置每个内网服务 # 服务名称，随便写，自己能看懂就行 [ssh_test] type = "tcp" local_ip = "127.0.0.1" # 家用服务器上暴露的端口 local_port = 22 # 外网服务器上暴露的端口，ssh时候，使用外网 IP 和这个端口可以远程访问家里的服务器 remote_port = 2299 # 服务名称，随便写，自己能看懂就行 [web_server] type = "http" local_ip = "127.0.0.1" # 家用服务器上暴露的端口 local_port = 80 # 外网服务器上暴露的端口，使用外网 IP 和这个端口可以远程访问家里web服务，这个配置和域名 #remote_port = 6001 # 用于 HTTP 和 HTTPS 域名的代理。填写自己的域名，没有就注释这个配置，启用 remote_port 配置 custom_domains = "www.adbc.cn" #remote_port 和 custom_domains 配置冲突，只能使用一个加入系统服务并开机自启动 # 加入系统服务 /etc/systemd/system/frpc.service [Unit] Description = frp server After = network.target syslog.target Wants = network.target [Service] Type = simple ExecStart = /etc/frpc/frps -c /etc/frpc/frps.toml [Install] WantedBy = multi-user.target # 重载配置使其生效 systemctl daemon-reload # 启动 frps 服务 systemctl start frpc.service # 设置开机自启 systemctl enable frpc.service五，查看 frpc 是否在 frps 内注册，并测试网页访问使用外网手机或者电脑访问域名，测试通过。域名记得配置公网DNS解析。

2025年02月25日
11 阅读
0 评论
0 点赞

2024-12-10

lnmp如何打开mysql远程访问 1、给mysql的数据库账户增加远程访问权限mysql; mysql>use mysql; mysql>grant all privileges on *.* to '账户'@'%或者ip' identified by '密码' with grant option; mysql>flush privileges; # 加载刚刚设置的配置 mysql>exit; #退出mysql lnmp restart # 重启lnmp2、通过iptables修改系统防火墙规则iptables -L -n --line-numbers # 查看已有的iptables规则 # 在iptables规则里有一行是DROP，末尾以3306结尾的，在lnmp1.5里面序号是6，不同版本可能会不一样，自行确认 iptables -D INPUT 6如果删掉drop 3306端口后，还是连接补上，就通过iptables添加上3306端口# 新增规则（-I表示插入在链的第一位置，-A 表示追加到链的末尾位置，防火墙规则是从上往下读取） iptables -I INPUT -p tcp --dport 3306 -j ACCEPT # 保存规则到默认文件/etc/sysconfig/iptables service iptables save # 重启 service iptables restart3、阿里云或者腾讯云，在控制端放开相关端口

2024年12月10日
11 阅读
0 评论
0 点赞

2024-07-10

【openvpn系列三】解决OpenVPN客户端可以连接，且只能访问openvpn本机服务器问题【openvpn系列三】解决OpenVPN客户端可以连接，且只能访问openvpn本机服务器问题起因公司服务器停电。导致服务器全部重启之后，openvpn可以连接，但是连接后只能访问openvpn本身的那台服务器，并无法访问其他内网服务器，也不能上外网。解决办法查询是否是防火墙关闭了。因为openvpn需要转发流量，如果没有防火墙的话，是无法转发的。

2024年07月10日
4 阅读
1 评论
0 点赞

2024-04-28

idea项目连接docker超时报错 Docker开启远程访问编辑/usr/lib/systemd/system/docker.service文件在ExecStart=/usr/bin/dockerd 后面增加 -H tcp://0.0.0.0:2375然后运行命令：systemctl daemon-reload systemctl restart docker连接docker超时报错解决办法关闭防火墙systemctl stop firewalld.service

2024年04月28日
4 阅读
0 评论
0 点赞

2023-11-21

【openvpn系列一】安装并设置openvpn，设置OpenVPN访问公司内网，图文详细简介当在外办公时，有些服务器需要公司内网才可以访问，所以这时候可以设置openVPN连接访问公司内网服务器。openVPN 手工搭建，设置非常复锁，本人手工设置一次，不想设置第二次。所以可以采用脚本快速搭建访问公司内网，以下推荐两个脚本，都是github使用比较多且正规的脚本，个人推荐第二个脚本，设置选项更多（如连接加密）。github脚本下载地址1：https://github.com/Nyr/openvpn-installgithub脚本下载地址2：https://github.com/angristan/openvpn-install下载安装简单方便，一句命令即可安装，根据提示选择即可：#下载 curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh #添加执行权限 chmod +x openvpn-install.sh #执行脚本 ./openvpn-install.sh或者直接用git clone，获取整个包，然后进入文件夹执行脚本即可：#下载 git clone git@github.com:angristan/openvpn-install.git #执行脚本 bash openvpn-install/openvpn-install.sh相关选项，自己选择即可完成后，最后设置添加用户，添加完成后，请自行下载连接文件至电脑中。我这里xshell直接用sz命令下载的，有些远程ssh工具不支持sz命令。安装完安装完成，再次运行脚本，可选择 1)添加用户 2)移除已存在的用户 3)协助软件 4)退出客户端连接下载地址：官方客户端下载官方客户端 https://openvpn.net/vpn-client/安装完成后，导入文件开始连接，查看IP地址连接成功！！！注意的坑：根据自己服务器商，有些有默认的防火墙，需要自己添加1194端口，或者自己设置的端口。如腾讯云需要添加防火墙。否则连接失败。

2023年11月21日
12 阅读
0 评论
0 点赞

2023-11-21

2023年11月21日
0 阅读
0 评论
0 点赞

2023-10-26

LINUX 防火墙开放端口，查看状态，查看开放端口 1.查看防火墙状态：active (running) 即是开启状态systemctl status firewalld查看已开发端口命令：firewall-cmd --list-all新增防火墙开放端口：firewall-cmd --zone=public --add-port=3306/tcp --permanent开放端口后需要重新加载防火墙：firewall-cmd --reloadfirewalld的基本使用命令：启动： systemctl start firewalld 关闭： systemctl stop firewalld 查看状态： systemctl status firewalld 开机禁用： systemctl disable firewalld 开机启用： systemctl enable firewalld配置firewalld-cmd命令查看版本： firewall-cmd --version 查看帮助： firewall-cmd --help 显示状态： firewall-cmd --state 查看所有打开的端口： firewall-cmd --zone=public --list-ports 更新防火墙规则： firewall-cmd --reload 查看区域信息: firewall-cmd --get-active-zones 查看指定接口所属区域： firewall-cmd --get-zone-of-interface=eth0 拒绝所有包：firewall-cmd --panic-on 取消拒绝状态： firewall-cmd --panic-off 查看是否拒绝： firewall-cmd --query-panicsystemctl相关命令启动一个服务：systemctl start firewalld.service 关闭一个服务：systemctl stop firewalld.service 重启一个服务：systemctl restart firewalld.service 显示一个服务的状态：systemctl status firewalld.service 在开机时启用一个服务：systemctl enable firewalld.service 在开机时禁用一个服务：systemctl disable firewalld.service 查看服务是否开机启动：systemctl is-enabled firewalld.service 查看已启动的服务列表：systemctl list-unit-files|grep enabled 查看启动失败的服务列表：systemctl --failed

2023年10月26日
0 阅读
0 评论
0 点赞