大型高性能網(wǎng)站的十項規(guī)則

1、在我們公司 ChinaNetCloud，見過多種不同類型的網(wǎng)站和系統(tǒng)，有好也有差。其中有些系統(tǒng)擁有良好的服務(wù)器/網(wǎng)絡(luò)架構(gòu)，并且進行了合理的調(diào)整和監(jiān)控；然而一般的系統(tǒng)都會有安全和性能上的問題，不能良好運行，也無法變得更流行。在中國， 開源的 LAMP 棧是最流行的網(wǎng)絡(luò)架構(gòu)，它使用 PHP 開發(fā)，運行在 Apache服務(wù)器上，以 MySQL 作為數(shù)據(jù)庫，所有這些都運行在 Linux 上。它是個可靠的平臺，運行良好，是現(xiàn)在全球最流行的 Int

2、ernet 系統(tǒng)架構(gòu)。然而，我們很難對其規(guī)模進行正確的擴展并保持安全性，因為每個應(yīng)用層都有其自身的問題、缺陷和最佳實踐。我們的工作就是幫助企業(yè)用最低的操作成本來創(chuàng)建并運行高性能的、可伸縮的、安全的系統(tǒng)，因此對于這類問題我們有很豐富的經(jīng)驗。當(dāng)前的實際情況是，很多網(wǎng)站都是由開發(fā)人員快速而廉價地創(chuàng)建，通常沒有任何 IT 人員或者經(jīng)理，只是由程序員來管理系統(tǒng)。造成的結(jié)果是，雖然花費很低的成本，網(wǎng)站就可以開始運行，但是當(dāng)擁有大量用戶、 需要擴展規(guī)

3、模的時候，通常就會面臨真正的問題。畢竟，中國擁有三億八千萬的 Internet 用戶，如果其中的 0.01%訪問這個站點，就很容易引發(fā) 25 萬~50 萬的頁面訪問量。這些問題在各個級別上都會產(chǎn)生，下面總結(jié)的規(guī)則是對最一般的問題進行概述，并且說明為什么這些規(guī)則如此重要，以及最好采用什么方 法來修正它們。遵循這些建議的站點會提高它的可伸縮性、安全性以及操作上的穩(wěn)定性。1. 使用合適的會話管理 使用合適的會話管理第一個想到的擴展系統(tǒng)的方法就

4、是添加更多硬件。例如，使用兩臺服務(wù)器而不是一臺。這聽著合理，但會產(chǎn)生潛在問題：會話管理。這對 Java 程序來說是很嚴(yán)重的問題，在 PHP 中也會產(chǎn)生可延展性問題， 對于數(shù)據(jù)庫的負(fù)載尤其如此。會話被定義為單獨的最終用戶登錄或者連接一段時間，其中通常會包含多個 TCP/IP的 HTTP 連接、幾個 Web 頁面，通常還包括幾十個甚至上百個頁面元素，如框架、菜盡管編寫像防止 SQL 注入和登錄安全之類的代碼涉及很多安全問題，但不幸的是，幾乎

5、沒有人考慮過安全性，而那些考慮到的人也沒有對其進行很好地理解。而本文要關(guān)注的是操作性的系統(tǒng)安全。對于這類安全，我們的焦點集中在三個安全領(lǐng)域：防火墻、運行的用戶以及文件訪問權(quán)限。除了配置專門的硬件防火墻（像 Cisco 的 ASA）之外，所有服務(wù)器都還應(yīng)該運行像Iptables 之類的防火墻，它會保護服務(wù)器免受其他威脅和攻擊。這些威脅和攻擊可能來自公共的 Internet、其他服務(wù)器或本地服務(wù)器，也包括使用 VPN 或者 SSH 通道的開

6、發(fā)和操作人員。我們僅對指定的 IP 開放確實需要的端口。Iptables 可能會很復(fù)雜，但是有很多不錯的模板，我們通常可以使用它們來幫助客戶創(chuàng)建 Iptables。例如，默認(rèn)的 RedHat 或者 CentOS 防火墻的配置說明只有 10 行，顯然并不實用。我們最佳實踐的 Iptables 配置大概有 5 頁，這其中包含了 Linux 所能提供的最高級的安全防范。所有公用的服務(wù)，都應(yīng)該運行在專門的用戶下，如 Apache。切記永遠(yuǎn)都不要

7、使用Root 用戶運行，因為這會讓任何闖入到 Apache 的用戶接管整個服務(wù)器。如果 Apache只是運行在 Apache 用戶下或者運行在 Nobody 下，那么闖入 Apache 就不是一件容易的事情了。Web 服務(wù)器運行或者服務(wù)的文件 （像.php 和.html 文件）對于 Web 服務(wù)器的用戶應(yīng)該是不可寫的。這意味著 Apache 或者 Nginx 用戶不應(yīng)該擁有 Web 目錄的寫權(quán)限。有很多方法都可以做到這一點，而最簡單的就