华为云实践手记：构建“低干预、自愈型”云主机的 3 个实操细节

一、网络收敛：从源头杜绝非必要暴露

• 收敛管理入口：
  
  
  • 修改默认的 22 端口，强制关闭密码认证，仅允许高强度公钥登录（如 Ed25519）。
    
    
  • 在华为云安全组规则中，将 SSH 管理端口严格限制为固定办公网 IP、跳板机或 VPN 出口，直接阻断公网自动化扫描与暴力破解。
    
    
• 业务服务本地回环化：
  
  
  • 后端容器、数据库或管理后台切勿直接映射公网端口。统一绑定 127.0.0.1，交由宿主机 Nginx 统一进行反向代理与 SSL/TLS 证书管理。
    
    
  • 外网安全组仅保留 80 与 443 端口，收敛外部暴露面。
    
    

二、架构解耦：无状态容器与持久层划分

• 配置与镜像剥离：
  
  
  • 容器镜像保持完全无状态，环境变量、密钥等差异化配置通过宿主机挂载的只读文件（如 .env）注入，严禁在容器内部直接存盘核心数据。
    
    
• 存储集中归集与 I/O 隔离：
  
  
  • 业务数据库、日志与上传资产统一挂载至指定目录（如 /data/storage）或独立的云硬盘（EVS）分区。
    
    
  • 限制 Docker 全局日志大小，防止未做轮转的日志文件意外打满根分区：
    
    

// /etc/docker/daemon.json
{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "50m",
    "max-file": "3"
  }
}

三、自愈与监控：让系统学会自我兜底

• 进程崩溃自动拉起：
  
  
  • 宿主机系统服务编写标准 systemd unit 文件，配置 Restart=on-failure 和 RestartSec=5s。
    
    
  • Docker 容器统一指定 restart: unless-stopped，平抑偶发 OOM 或网络抖动造成的服务中断。
    
    
• 低成本接入云监控（CES）：
  
  
  • 无需手动安装复杂探针，华为云原生云监控服务（Cloud Eye）即可直接捕获底层硬件水位。
    
    
  • 重点配置两条高敏感度告警规则并绑定邮件或短信：
    
    
    1. CPU / 内存利用率持续 5 分钟 > 85%：防范脚本死锁或内存泄露。
       
       
    2. 公网出方向带宽持续打满：排查大文件异常流出或恶意流量攻击。