🧭 本章学习路径（从简单到深入）基础把第一台 Nginx 跑起来：装好、放行防火墙、配虚拟主机、上线静态站进阶把 Nginx 当调度器：反代、负载均衡、健康检查、TLS 终止与性能调优进阶跑起 MariaDB：安全初始化、最小权限账号、配置文件与备份进阶跑起 PostgreSQL：模块安装、initdb、pg_hba 与远程监听的安全姿势进阶自搭 BIND/DNS 内网解析，正向/反向区域与客户端验证深入用 NFS 与 Samba 做文件共享，理清权限模型与 SMB3 新特性深入上 FreeIPA/IdM 统一身份：账号、组、HBAC、证书、主机注册深入串成业务栈 + 上线清单：安全加固、监控、dry-run、回滚与交接把前面的知识变成"能用的服务"：Web、数据库、域名解析、文件共享、统一身份------一个标准业务栈怎么搭起来、怎么送上生产。基础15.1 Web 服务：Nginx 部署与虚拟主机Web 服务器是绝大多数业务的"门面"。Rocky 10 同时带了 Apache 2.4 与 Nginx，本章以 Nginx 为主线（轻量、并发强、反代友好），关键的 Apache 取舍也会点到。先把第一台 Web 跑起来，再谈虚拟主机与目录规范。15.1.1 安装与开机自启sudo dnf install -y nginx
sudo systemctl enable --now nginx
systemctl is-active nginx # active 即成功
nginx -v # 查看版本（Rocky 10.2 含较新的主线/稳定版）15.1.2 防火墙放行Rocky 默认 firewalld 只开 ssh，必须显式放行 http/https，否则外部访问被挡。sudo firewall-cmd --add-15.1.3 目录结构与配置文件Nginx 的配置是"主配置 + 片段"的分散式结构，不要全写进一个文件：路径作用/etc/nginx/nginx.conf全局配置（worker、events、http 段入口）/etc/nginx/conf.d/*.conf各站点虚拟主机片段（推荐放这里）/usr/share/nginx/html/默认站点根目录/srv/www/<site>/自定义站点根（多站点时更清晰）/var/log/nginx/access.log / error.log15.1.4 虚拟主机（server block）一台服务器跑多个域名，靠 server_name 区分。把独立站点的配置写到 /etc/nginx/conf.d/ 下，互不干扰。Apache 还是 Nginx？Rocky 10 自带 Apache HTTP Server 2.4.63。Nginx 轻量、并发强（擅长反向代理/静态资源）；Apache 模块生态丰富、.htaccess 灵活，传统 PHP 应用常用。二者亦可并存：Nginx 前置做反代/静态，Apache 跑后端应用。选型看业务画像，不必二选一。进阶15.2 Nginx 进阶：反向代理、负载均衡与 TLS单台 Web 跑起来只是第一步。真实生产里 Nginx 更多扮演"流量调度器"：把请求转发给应用、把多台后端编成集群、在边缘终结 HTTPS。这一节把这三件事讲透。15.2.1 反向代理 proxy_pass反代把外部请求转给后端应用（Node/Java/Python），后端只听内网，安全又解耦。
主动健康检查社区版可用 max_fails/fail_timeout 的被动检查；若用 Nginx Plus 或开源的 nginx-upstream-check-module，可做主动探测（定时请求 /healthz），坏节点主动摘流。15.2.4 HTTPS / TLS 终止在 Nginx 边缘终结 TLS，后端走内网 HTTP，减轻应用加解密负担。证书可用 Let's Encrypt（certbot）或企业 CA。
📌 为什么要 TLS 终止Nginx 在边缘做 HTTPS 卸载，后端与应用之间走内网明文，既省了应用层的加解密开销，又统一了证书管理与续期------一处过期全站提示的年代就过去了。进阶15.3 数据库：MariaDB 部署与安全MariaDB 是 MySQL 的开源分支，易上手、读多场景成熟，是很多 Web 应用（WordPress、Nextcloud 等）的默认之选。Rocky 10.2 自带 MariaDB 11.8。15.3.1 安装与启动
新库务必用 utf8mb4（真正的 4 字节 UTF-8，存得下 emoji 与生僻字）。老的 utf8 在 MySQL/MariaDB 里只是 3 字节别名，超长字符会报错。建库时一次定好，别等乱码了再迁。进阶15.4 PostgreSQL：安装、初始化与远程访问PostgreSQL 以强一致、丰富类型（JSONB、数组、自定义类型）和扩展生态著称，金融与复杂业务偏好。Rocky 10.2 自带 PostgreSQL 18。它与 MariaDB 的"装完即用"不同，需要显式初始化数据目录。15.4.1 模块化安装与 initdb
15.7.6 与 SSSD / sudo 集成IdM 还能集中下发 sudo 规则、automount 挂载、SSH 公钥，客户端通过 SSSD 缓存，域控宕机也能离线登录一段时间。这把"账号 + 权限 + 证书 + 挂载"全部集中治理。📌 规模建议FreeIPA 适合几十到上千节点的统一身份。节点少（三五台）时引入 IdM 偏重；但一旦超过"一个 Excel 管密码"的临界点，早接入比晚迁移省太多返工。深入15.8 生产上线清单与串接单个服务跑通不难，难的是把它们串成一套"可上线、可运维、可回滚"的业务栈。这一节给出串联思路与上线前清单。15.8.1 把服务串成业务栈以电商站为例：Nginx 反代收 HTTPS → 后端应用 → PostgreSQL 存数据 → Samba 给设计部共享素材 → FreeIPA 统一账号。每个能力都是独立模块，组合顺序：身份(IdM) → 数据(DB) → 存储(共享) → 入口(Web) → 解析(DNS)。先有账号和网，再上应用。15.8.2 安全加固清单最小化监听：每个服务只绑需要的网卡/端口，数据库绝不暴露公网。防火墙分层：firewalld 只放行应用网段；SSH 限制源 IP 或上 IdM 认证。TLS 全覆盖：Web 边缘、DB 远程、Samba 远程都启用加密。最小权限账号：应用用专用低权账号，不用 root/admin 直连。定期更新：dnf update 纳入变更窗口，关注 Rocky 安全公告。15.8.3 监控与日志接入服务上线不是终点。把 Nginx/DB 的日志、系统指标接入监控（Node Exporter + Prometheus + Grafana 这套，在第 14 章实战已铺垫），设阈值告警，否则"挂了才知道"。journalctl 是现场第一手证据：journalctl -u nginx -u postgresql15.7.6 与 SSSD / sudo 集成IdM 还能集中下发 sudo 规则、automount 挂载、SSH 公钥，客户端通过 SSSD 缓存，域控宕机也能离线登录一段时间。这把"账号 + 权限 + 证书 + 挂载"全部集中治理。📌 规模建议FreeIPA 适合几十到上千节点的统一身份。节点少（三五台）时引入 IdM 偏重；但一旦超过"一个 Excel 管密码"的临界点，早接入比晚迁移省太多返工。深入15.8 生产上线清单与串接单个服务跑通不难，难的是把它们串成一套"可上线、可运维、可回滚"的业务栈。这一节给出串联思路与上线前清单。15.8.1 把服务串成业务栈以电商站为例：Nginx 反代收 HTTPS → 后端应用 → PostgreSQL 存数据 → Samba 给设计部共享素材 → FreeIPA 统一账号。每个能力都是独立模块，组合顺序：身份(IdM) → 数据(DB) → 存储(共享) → 入口(Web) → 解析(DNS)。先有账号和网，再上应用。15.8.2 安全加固清单最小化监听：每个服务只绑需要的网卡/端口，数据库绝不暴露公网。防火墙分层：firewalld 只放行应用网段；SSH 限制源 IP 或上 IdM 认证。TLS 全覆盖：Web 边缘、DB 远程、Samba 远程都启用加密。最小权限账号：应用用专用低权账号，不用 root/admin 直连。定期更新：dnf update 纳入变更窗口，关注 Rocky 安全公告。15.8.3 监控与日志接入服务上线不是终点。把 Nginx/DB 的日志、系统指标接入监控（Node Exporter + Prometheus + Grafana 这套，在第 14 章实战已铺垫），设阈值告警，否则"挂了才知道"。journalctl 是现场第一手证据：journalctl -u nginx -u postgresql