既然是总结，就属于快餐性质的了，虽然使用Linode不是我第一次接触SSH的相关指令，但毕竟服务器所从事的任务和日常玩的Raspberry Pi以及2012年底买的128M OpenVZ主机是不一样的。
这次在Linode搭建VPS让我对Linux有了更深层次的了解，还是有很大收获的。 之所以不搭建LAMP平台的主要原因，是LAMP吃内存严重。
虽然Linode极力推荐LAMP方案（方便搭设出错概率少），但个人还是希望挑战一把，但没想到整体还是比较顺利的。 代码依据Debian 7 x64平台搭建（个人感觉Debian和Ubuntu实际差异不大，而且安装调试出现问题以后也可以部分参考Ubuntu的文档，但Debian版本更新慢，虽然Ubuntu和Debian底层差不多，但Debian还是相对更加稳定一点），Nginx服务器，PHP Fastcgi引擎，最后加上MYSQL平台和相关防火墙设置保障系统安全。
在开始之前，先习惯更新下程序包：
apt-get update apt-get upgrade
1. 设置时区以及主机名：
dpkg-reconfigure tzdata
echo “vpsgeek” > /etc/hostname
hostname -F /etc/hostname
2. 修改hosts文件（官方文档说与服务器所建主机无关，个人认为这是为了本地解析用的）
nano /etc/hosts
修改格式：
127.0.0.1 localhost.localdomain localhost
12.34.56.78 bjdch.org vpsgeek
2600:3c01::a123:b456:c789:d012 bjdch.org vpsgeek
完成上面的步骤以后，个人经验来看要让主机重启一回，实测中发现如果主机不重启，sudo之类的后期命令会出现错误。 3. 安装Web、PHP、MYSQL服务（第三行和第四行的MYSQL命令执行后需要依据屏幕提示操作，提示都还是挺简单的，主要是创建root代码，系统保护之类的操作）
apt-get install nginx
apt-get install php5-cli php5-cgi spawn-fcgi php-pear
apt-get install mysql-server php5-mysql
mysql_secure_installation
（Linode提供以下内容，每次复制一行，主要作用是把以上程序添加到系统服务里）
cd /opt/
sudo wget -O php-fastcgi-deb.sh http://library.linode.com/assets/1548-php-fastcgi-deb.sh
sudo mv /opt/php-fastcgi-deb.sh /usr/bin/php-fastcgi
sudo chmod +x /usr/bin/php-fastcgi
sudo wget -O init-php-fastcgi-deb.sh http://library.linode.com/assets/1549-init-php-fastcgi-deb.sh
sudo mv /opt/init-php-fastcgi-deb.sh /etc/init.d/php-fastcgi
sudo chmod +x /etc/init.d/php-fastcgi
sudo /etc/init.d/php-fastcgi start
sudo update-rc.d php-fastcgi defaults
4. 安装phpmyadmin （可选）
apt-get install php5-mcrypt apt-get install phpmyadmin
执行完以上命令基础程序基本就装完了，下面是设置部分。 之所以不按照官方教程来操作，是因为官方教程是带有讲解性质的，但实际操作起来会浪费一定的时间，就拿绑定主机头来说，官方教程是先装完Nginx配置一次，重启服务然后再来配置PHP环境，反反复复有时候很疑惑，为此我就走过弯路。 1. 先来配置WEB环境（一次搞定）
nano /etc/nginx/sites-available/网站名
粘贴以下命令（已经包含防注入目录的命令）：
server { listen 80; server_name 域名 域名（含WWW形式）;
access_log /srv/www/自定义目录/logs/access.log;
error_log /srv/www/自定义目录/logs/error.log;
location / { root /srv/www/自定义目录/public_html;
index index.html index.htm index.php; }
#Error outputs: error_page 400 /400.shtml;
error_page 401 /401.shtml; error_page 403 /403.shtml;
error_page 404 /404.shtml;
error_page 500 502 503 504 /500.shtml;
#PHP Settings
location ~ \.php$ {
try_files $uri =404;
include /etc/nginx/fastcgi_params;
if ($uri !~ “^/防注入目录（相对路径即可）/”) {
fastcgi_pass 127.0.0.1:9000;
}
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /srv/www/自定义目录/public_html$fastcgi_script_name;
}
#phpmyadmin
location /phpmyadmin {
root /usr/share/;
index index.php index.html index.htm;
location ~ ^/phpmyadmin/(.+\.php)$ {
try_files $uri =404;
root /usr/share/;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
include etc/nginx/fastcgi_params;
}
location ~* ^/phpmyadmin/(.+\.(jpg|jpeg|gif|css|png|js|ico|html|xml|txt))$ {
root /usr/share/;
}
}
location /phpMyAdmin {
rewrite ^/* /phpmyadmin last;
}
#phpmyadmin end
}
特别注意，如果该主机头所绑定的网站不需要PHP运行权限（即纯HTML、HTML5等网站），可以视情况只写入绿色文字，这样也能增加子网站安全性；如果网站需要自定义错误页面，可以考虑增加橙色文字；PHP脚本执行（例如Wordpress之类动态站点），需要包含蓝色文字；最后，如果需要在网站虚拟出phpmyadmin目录（慎用！建议建站初期使用，使用后在相关区域前加“#”后重启Nginx服务以增强服务器安全性），可以粘贴红色文字。部分使用本脚本时，不要忘记上面代码末尾的大括号“}”。 2. 做文件链接到可用网站列表（类似Windows里的快捷方式，但强大太多了）。
ln -s /etc/nginx/sites-available/网站名 /etc/nginx/sites-enabled
每个网站设置好都必须使用上面的命令建立文件链接。 3. 创建目录，修改权限。 官方的命令我在多次执行时均出现问题，所以还是老老实实手动创建每一个目录吧。其中目录名要和上面设置文档的相对应。
mkdir /srv/www/自定义目录
mkdir /srv/www/自定义目录/public_html
mkdir /srv/www/自定义目录/logs
问题重现：这也是我纠结了很长时间的问题，我的网站是从FTP通过wget方式远程搬家过来的，按理说wget在复制FTP目录时会继承之前的文件权限，但搬家之后的Wordpress只能打开不能更改目录内任何文件，对此我尝试了许多批量修改文件权限的命令均不奏效。最后无意间发现文件夹所属用户和用户组都是root……。 更改文件夹用户权限，恢复到WWW用户组：
chown -R www-data:www-data /srv/www/自定义目录/public_html
logs文件不用管。这样自定义目录权限还是root，应该安全性更高。Linux文件权限管理确实严格。 4. 重启Nginx服务，将域名指向Linode（此处不介绍）。
/etc/init.d/php-fastcgi service nginx restart
如果没有出现错误，网站已经开通。 下面内容是更改端口，添加用户、防火墙和登录失败惩罚机制。 1. 更改SSH、端口 SSH默认端口是22，基于多种因素考虑应该修改掉（从科学上网和反暴力破解角度来看）。
nano /etc/ssh/sshd_config
执行上面的命令，找到开头为“Port 22”的那一行（比较靠前，不用翻页），更改为自己喜欢的端口即可。注意不要与现有的端口冲突。执行完后，运行：
service ssh restart
2. 添加用户 Linode默认安装了sudo所以我们可以直接添加一个普通用户然后施加管理员权限。执行下面的命令：
adduser 用户名 usermod -a -G sudo 用户名 passwd 用户名
有时为了科学上网，我们需要创建特殊的SSH账户，这类账户没有登陆SSH的权限，即用putty以及ssh命令登陆后即时被系统剔除，其实这类用户主要是通过特殊命令不创建home文件夹达到的。执行以下命令即可：
sudo useradd -r -s /bin/false 用户名 passwd 用户名
3. 设置防火墙
nano /etc/iptables.firewall.rules
粘贴以下内容：
*filter
# Allow all loopback (lo0) traffic and drop all traffic to 127/8 that doesn't use lo0
-A INPUT -i lo -j ACCEPT
-A INPUT -d 127.0.0.0/8 -j REJECT
# Accept all established inbound connections
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Allow all outbound traffic - you can modify this to only allow certain traffic
-A OUTPUT -j ACCEPT
# Allow HTTP and HTTPS connections from anywhere (the normal ports for websites and SSL).
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
# Allow SSH connections
#
# The -dport number should be the same port number you set in sshd_config
#
-A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT
# Allow ping
-A INPUT -p icmp -j ACCEPT
# Log iptables denied calls
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
# Drop all other inbound - default deny unless explicitly allowed policy
-A INPUT -j DROP
-A FORWARD -j DROP
COMMIT
然后执行命令启动防火墙：
iptables-restore < /etc/iptables.firewall.rules
添加到开机任务中：
nano /etc/network/if-pre-up.d/firewall
粘贴以下内容：
#!/bin/sh /sbin/iptables-restore < /etc/iptables.firewall.rules
最后修改文件权限：
chmod +x /etc/network/if-pre-up.d/firewall
4. 添加登录失败惩罚措施 – Fail2ban
apt-get install fail2ban
默认是连续5次SSH密码错误，IP封锁10分钟，感觉默认值就够用了。 写在最后：以上就是我通过整理SSH下历史命令和参考官方文档总结出的LNMP/LEMP安装指南，中间走过不少弯路所以应该这个步骤是相对省时省力的。
参考文档：
https://library.linode.com/getting-started
https://library.linode.com/securing-your-server
https://library.linode.com/lemp-guides
http://askubuntu.com/questions/29359/how-to-add-user-without-home
==========以下是广告栏目==========
另外，我的Linode推广链接（返现10刀，详情与我联系吧）：https://www.linode.com/?r=6e90c4d0b3ebbabe169e3ab933326b87813b4c9c
对更便宜的Digital Ocean感兴趣的可以点这个链接（联系我可以帮你免费得到两个月等值$10的点数供测试使用）：https://www.digitalocean.com/?refcode=46787e765bb6
21/04/2014
Linode 搭建LNMP/LEMP总结
By dch1 in Life, Web Log No Comments Tags: LEMP, Linode, Linux, VPS
既然是总结，就属于快餐性质的了，虽然使用Linode不是我第一次接触SSH的相关指令，但毕竟服务器所从事的任务和日常玩的Raspberry Pi以及2012年底买的128M OpenVZ主机是不一样的。
这次在Linode搭建VPS让我对Linux有了更深层次的了解，还是有很大收获的。 之所以不搭建LAMP平台的主要原因，是LAMP吃内存严重。
虽然Linode极力推荐LAMP方案（方便搭设出错概率少），但个人还是希望挑战一把，但没想到整体还是比较顺利的。 代码依据Debian 7 x64平台搭建（个人感觉Debian和Ubuntu实际差异不大，而且安装调试出现问题以后也可以部分参考Ubuntu的文档，但Debian版本更新慢，虽然Ubuntu和Debian底层差不多，但Debian还是相对更加稳定一点），Nginx服务器，PHP Fastcgi引擎，最后加上MYSQL平台和相关防火墙设置保障系统安全。
在开始之前，先习惯更新下程序包：
1. 设置时区以及主机名：
2. 修改hosts文件（官方文档说与服务器所建主机无关，个人认为这是为了本地解析用的）
修改格式：
完成上面的步骤以后，个人经验来看要让主机重启一回，实测中发现如果主机不重启，sudo之类的后期命令会出现错误。 3. 安装Web、PHP、MYSQL服务（第三行和第四行的MYSQL命令执行后需要依据屏幕提示操作，提示都还是挺简单的，主要是创建root代码，系统保护之类的操作）
（Linode提供以下内容，每次复制一行，主要作用是把以上程序添加到系统服务里）
4. 安装phpmyadmin （可选）
执行完以上命令基础程序基本就装完了，下面是设置部分。 之所以不按照官方教程来操作，是因为官方教程是带有讲解性质的，但实际操作起来会浪费一定的时间，就拿绑定主机头来说，官方教程是先装完Nginx配置一次，重启服务然后再来配置PHP环境，反反复复有时候很疑惑，为此我就走过弯路。 1. 先来配置WEB环境（一次搞定）
粘贴以下命令（已经包含防注入目录的命令）：
特别注意，如果该主机头所绑定的网站不需要PHP运行权限（即纯HTML、HTML5等网站），可以视情况只写入绿色文字，这样也能增加子网站安全性；如果网站需要自定义错误页面，可以考虑增加橙色文字；PHP脚本执行（例如Wordpress之类动态站点），需要包含蓝色文字；最后，如果需要在网站虚拟出phpmyadmin目录（慎用！建议建站初期使用，使用后在相关区域前加“#”后重启Nginx服务以增强服务器安全性），可以粘贴红色文字。部分使用本脚本时，不要忘记上面代码末尾的大括号“}”。 2. 做文件链接到可用网站列表（类似Windows里的快捷方式，但强大太多了）。
每个网站设置好都必须使用上面的命令建立文件链接。 3. 创建目录，修改权限。 官方的命令我在多次执行时均出现问题，所以还是老老实实手动创建每一个目录吧。其中目录名要和上面设置文档的相对应。
问题重现：这也是我纠结了很长时间的问题，我的网站是从FTP通过wget方式远程搬家过来的，按理说wget在复制FTP目录时会继承之前的文件权限，但搬家之后的Wordpress只能打开不能更改目录内任何文件，对此我尝试了许多批量修改文件权限的命令均不奏效。最后无意间发现文件夹所属用户和用户组都是root……。 更改文件夹用户权限，恢复到WWW用户组：
logs文件不用管。这样自定义目录权限还是root，应该安全性更高。Linux文件权限管理确实严格。 4. 重启Nginx服务，将域名指向Linode（此处不介绍）。
如果没有出现错误，网站已经开通。 下面内容是更改端口，添加用户、防火墙和登录失败惩罚机制。 1. 更改SSH、端口 SSH默认端口是22，基于多种因素考虑应该修改掉（从科学上网和反暴力破解角度来看）。
执行上面的命令，找到开头为“Port 22”的那一行（比较靠前，不用翻页），更改为自己喜欢的端口即可。注意不要与现有的端口冲突。执行完后，运行：
2. 添加用户 Linode默认安装了sudo所以我们可以直接添加一个普通用户然后施加管理员权限。执行下面的命令：
有时为了科学上网，我们需要创建特殊的SSH账户，这类账户没有登陆SSH的权限，即用putty以及ssh命令登陆后即时被系统剔除，其实这类用户主要是通过特殊命令不创建home文件夹达到的。执行以下命令即可：
3. 设置防火墙
粘贴以下内容：
然后执行命令启动防火墙：
添加到开机任务中：
粘贴以下内容：
最后修改文件权限：
4. 添加登录失败惩罚措施 – Fail2ban
默认是连续5次SSH密码错误，IP封锁10分钟，感觉默认值就够用了。 写在最后：以上就是我通过整理SSH下历史命令和参考官方文档总结出的LNMP/LEMP安装指南，中间走过不少弯路所以应该这个步骤是相对省时省力的。
参考文档：
https://library.linode.com/getting-started
https://library.linode.com/securing-your-server
https://library.linode.com/lemp-guides
http://askubuntu.com/questions/29359/how-to-add-user-without-home
==========以下是广告栏目==========
另外，我的Linode推广链接（返现10刀，详情与我联系吧）：https://www.linode.com/?r=6e90c4d0b3ebbabe169e3ab933326b87813b4c9c
对更便宜的Digital Ocean感兴趣的可以点这个链接（联系我可以帮你免费得到两个月等值$10的点数供测试使用）：https://www.digitalocean.com/?refcode=46787e765bb6