华为云实践手记：构建“低维护、自愈型”云主机的 3 个实战细节

一、网络收敛：从源头杜绝非必要暴露

• 收敛管理入口：
  
  
  • 修改默认的 22 端口，强制关闭密码登录，仅允许高强度公钥认证（如 Ed25519）。
    
    
  • 在华为云安全组中，严格将 SSH 端口的源地址限制为固定的跳板机 IP、办公网段或虚拟私有网络（VPN）出口，杜绝针对 22 端口的全网暴力破解扫描。
    
    
• 业务服务本地化回环：
  
  
  • 轻量 Web、API 或后台管理后台切勿直接把容器端口映射到 0.0.0.0。
    
    
  • 建议仅绑定 127.0.0.1，统一通过宿主机的 Nginx 或反向代理服务进行流量分发与 SSL/TLS 证书卸载。安全组对外仅暴露标准的 80/443 端口即可。
    
    

二、架构解耦：无状态容器与持久层划分

• 配置与代码解耦：
  
  
  • 应用容器本身完全保持无状态，运行所需的参数通过挂载的只读文件（如 .env）或环境变量注入，严禁在容器内部直接存盘核心业务文件。
    
    
• 存储集中归集与备份：
  
  
  • 数据库与持久化静态资源统一挂载至指定目录（如 /opt/data/）或独立的云硬盘（EVS）分区。
    
    
  • 配合华为云云备份（CBR）制定自动备份策略。当 ECS 需要升降规格、更换系统镜像或迁移可用区时，只需打包持久化目录与 docker-compose.yml，几分钟内即可原样重建。
    
    

# 规范的轻量服务 Compose 配置示例
services:
  web-api:
    image: my-service:latest
    restart: unless-stopped
    ports:
      - "127.0.0.1:8080:8080" # 仅监听本地，由前置 Nginx 反代
    environment:
      - APP_ENV=production
    volumes:
      - /opt/data/config:/app/config:ro # 配置文件只读挂载
      - /opt/data/storage:/app/storage   # 业务数据独立留存

三、自愈与预警：让系统学会自我兜底

• 进程崩溃自动拉起：
  
  
  • 宿主机原生守护进程编写标准 systemd unit 文件，配置 Restart=on-failure 和 RestartSec=5s。
    
    
  • Docker 服务统一配置 restart: unless-stopped，避免因瞬时 OOM、网络微断或异常退出引发服务无限期挂起。
    
    
• 低成本接入云监控（CES）：
  
  
  • 华为云自带的云监控服务（Cloud Eye）无需额外部署探针即可直连采集底层硬件水位。
    
    
  • 重点配置两条高敏感度告警规则：
    
    
    1. CPU / 内存利用率持续 5 分钟 > 85%：防范脚本死循环或内存泄露。
       
       
    2. 公网出方向带宽持续打满：及时发现异常流量突增或网络攻击。