CentOS 7 部署 Apache 服务器这件事说简单是真简单一条yum install httpd就能把服务跑起来说麻烦也是真麻烦真正把它丢进一台要对外提供访问的机器上权限、端口、SELinux、虚拟主机、HTTPS、并发模型这些东西随便哪一个没配对浏览器给你的回应就是一句冷冰冰的无法访问此网站。我这些年经手过不少 CentOS 7 加 Apache 的组合有的是内网管理系统有的是给前端同学做静态资源托管还有的是老项目迁移时必须沿用原来这套的硬性要求。踩过的坑攒下来大概能写满两页纸。这篇内容面向的是手上有 CentOS 7 机器、需要把 Apache 服务真正部署成可用状态的人。不管你是刚接触 Linux 的新手还是想找一份靠谱配置清单的老手都能从里面找到能直接抄的部分。我不会只给你几条命令而是把每条命令背后的原因、参数怎么算、出错了往哪儿看都摊开讲清楚。毕竟部署这件事能跑起来只是第一步跑得稳、出了问题能自己定位才算真的会。1. 为什么还在用 CentOS 7 搭 Apache选型逻辑与场景拆解1.1 CentOS 7 的现状与适用边界先把话说在前头CentOS 7 已经不是新东西了官方维护周期早就走到了尾声。但现实是大量内部系统、教学环境、实验平台、老业务机器还跑在它上面短期内换不掉。我遇到最多的情况是三种一种是公司内网的测试机装系统的人当年随手选了 CentOS 7现在业务在上面跑着没人愿意动一种是虚拟机实验环境VMware 里装一个 CentOS 7 的镜像几分钟就能开工还有一种就是教科书式的学习环境很多课程和教材的示例都是基于 CentOS 7 写的。这三种场景有一个共同点它们都不是在追求最新而是在追求确定能跑。CentOS 7 的软件包版本虽然偏旧但好处是生态极其稳定网上能搜到的教程几乎都能对上号遇到问题搜索关键词基本都能找到答案。这个答案可得性在实际运维里比版本新旧重要得多。所以我的建议是学习、内网、测试场景继续用 CentOS 7 完全没问题对外提供的正式服务该规划升级就规划升级别把实验环境的思路套到生产上。另外提醒一句如果你是新建虚拟机做实验内存给 2GB、硬盘给 20GB、CPU 两核这个配置跑 Apache 加一点静态站点绰绰有余。如果后面还要挂数据库或者做点编译内存往 4GB 走。1.2 Apache 与 Nginx 的取舍很多人一上来就问都什么年代了还用 Apache这个问题得分开看。Apache 的进程模型决定了它在高并发静态请求这个赛道上确实不如 Nginx 省资源这是客观事实没什么好争的。但 Apache 有它自己很难被替代的地方模块化程度高.htaccess这种目录级配置能力让托管型场景特别舒服动态内容处理尤其是 PHP 那套生态的成熟度极高文档和社区案例也是海量。我的一般判断标准是这样的场景更推荐理由纯静态资源、高并发、反代前置Nginx事件驱动模型单机并发承载能力强内存占用低传统 PHP 应用、共享主机式部署Apachemod_php、.htaccess、目录级权限控制成熟需要大量第三方模块定制Apache模块生态丰富编译和加载方式清晰内网小系统、实验环境都行上手成本接近看团队熟悉哪个关键不在于谁更强而在于你的团队维护哪个更顺手。一个团队里如果有人能快速定位 Apache 的问题那它对这个团队来说就是更好的选择。技术选型从来不是选绝对最优而是选综合成本最低的。1.3 部署前的资源与端口规划动手之前先把规划做掉能省下后面大量的返工。我习惯在这几个维度上先列清楚服务端口方面HTTP 走 80HTTPS 走 443这是默认约定别乱改。如果一台机器上要跑多个站点优先用基于域名的虚拟主机而不是给每个站点分配不同端口端口多了防火墙规则和记忆成本都会上升。目录方面我强烈建议不要直接把站点文件放在/var/www/html下面而是统一规划到/data/www/站点名这样的路径好处是备份、迁移、权限管理都有明确边界系统盘也不会被日志和上传文件撑爆。日志方面Apache 默认会把访问日志和错误日志写到/var/log/httpd/这个不用改但要记得配置轮转不然跑上几个月磁盘就会告警。资源方面先把并发预期想清楚是十几个人的内网系统还是可能被公网扫描器疯狂打的服务这两种情况下的参数配置思路完全不同。2. 环境准备从系统安装到能稳定联网2.1 安装介质选择与首次开机CentOS 7 的镜像有几种版本Minimal、DVD、Everything 等等。做服务器用途我一般选 Minimal 版本安装完大概占 1GB 左右空间干净、没有多余软件、攻击面小。缺点是没有图形界面也没有net-tools、vim这类常用工具需要自己装。Everything 版本包最全离线装东西方便但体积大装完系统里有几百个你用不到的包。用 VMware 或者 VirtualBox 新建虚拟机的时候网络模式建议选 NAT 或者桥接。NAT 模式的好处是虚拟机通过宿主机上网不用管路由器分配做实验最省事桥接模式会让虚拟机拿到和宿主机同网段的 IP方便局域网内其他机器访问。如果你后面要让同事从别的电脑访问这个服务选桥接更直接。安装过程里有个细节很多人会忽略软件选择那一步Minimal 版本默认不装开发工具和安全工具。我一般会顺手勾上开发工具和兼容库因为后面万一要编译模块或者装某些依赖省得再折腾。2.2 CentOS 7 网络配置静态 IP 是刚需虚拟机装完第一件事就是配网络。CentOS 7 用的是传统网卡配置文件路径在/etc/sysconfig/network-scripts/下面文件名一般是ifcfg-ens33或者ifcfg-eth0具体叫什么取决于你的网卡命名规则。先用ip addr看一眼网卡名别凭记忆写。动态获取 IP 的配置很简单BOOTPROTOdhcp加ONBOOTyes就够了改完systemctl restart network。但服务器我基本都用静态 IP原因是地址变了之后防火墙白名单、反向代理目标、同事书签全都要跟着改麻烦得很。静态配置大概是这个结构TYPEEthernet BOOTPROTOstatic NAMEens33 DEVICEens33 ONBOOTyes IPADDR192.168.1.150 NETMASK255.255.255.0 GATEWAY192.168.1.1 DNS1223.5.5.5 DNS2119.29.29.29几个容易出错的地方说一下。IPADDR要选在路由器 DHCP 池之外的地址否则可能出现地址冲突两边都上不去网。GATEWAY填的是网关地址填成 DNS 或者随便一个 IP 都会导致外网访问不了但内网还能通这种部分通的情况最难排查。ONBOOTyes一定要写否则重启之后网卡不自动起来你会怀疑人生。改完之后用systemctl restart network重启网络服务然后ping一下网关和外网地址两步都通了再往下走。如果网关通、外网不通八成是 DNS 或者网关配置的问题如果连网关都不通先检查虚拟机的网络模式是不是被改成了仅主机。2.3 系统初始化与基础工具补齐网络通了之后做几件初始化的事情。先把主机名改了hostnamectl set-hostname web01之类的别让机器一直叫 localhost。主机名看着是小事但多台机器的时候登录进去分不清在哪台上这是很真实的困扰。然后更新一下系统yum update -y这个过程可能有点久取决于网络速度。如果是内网环境没有外网那就要先配置本地 yum 源把安装镜像挂载到/mnt下写一个local.repo文件指向file:///mnt这样离线状态下也能装包。这个做法在完全隔离的内网里非常常见值得提前准备。再装几个常用工具yum install -y vim wget net-tools lsof tree telnet。这几个包加起来不到 20MB但排查问题的时候能省很多时间。lsof看端口占用net-tools提供netstattree看目录结构都是高频使用的。最后把时间同步配上。时间不同步的后果比想象中严重日志时间戳乱掉、证书校验异常、定时任务执行时机错乱都和它有关。CentOS 7 上装chrony配置指向内网或者公网的 NTP 服务地址systemctl enable --now chronyd然后用chronyc sources看同步状态。3. Apache 安装与最小可用配置3.1 在线与离线两条安装路线CentOS 7 的官方源里就有 Apache包名叫httpd版本是 2.4.6。在线安装就直接一条命令yum install -y httpd装完之后可以rpm -qa | grep httpd确认一下通常会有httpd和httpd-tools两个包。如果后面要用 HTTPS还需要装mod_ssl。离线环境的做法稍微绕一点。你需要准备这几个 rpm 包httpd、httpd-tools、apr、apr-util以及它们依赖的mailcap之类的包。最省事的办法是找一台能上网、版本一致的机器用yum install --downloadonly --downloaddir/tmp/rpms httpd把包和依赖一次性下载下来拷到目标机器上rpm -ivh *.rpm或者yum localinstall *.rpm。后者更好因为它会自动处理依赖顺序。这里有个坑要说清楚不要随便去网上找第三方编译好的包尤其是架构和 glibc 版本不匹配的那种装上去报各种symbol not found或者GLIBC_2.14 not found之类的错误排查起来非常头疼。用官方源或者和系统版本严格对应的包是唯一稳妥的路线。3.2 配置文件结构与关键指令精读Apache 安装完配置文件分布在几个地方理清楚这个结构比背指令重要/etc/httpd/ ├── conf/ │ └── httpd.conf # 主配置文件 ├── conf.d/ # 自定义配置被主配置自动加载 │ ├── autoindex.conf │ ├── userdir.conf │ └── welcome.conf ├── conf.modules.d/ # 模块加载配置 │ ├── 00-base.conf │ ├── 00-mpm.conf │ └── ... ├── logs - ../../var/log/httpd └── modules - ../../usr/lib64/httpd/modules主配置文件里真正需要你关注的就那么几条。Listen 80定义监听端口改了这里还要同步改防火墙。ServerName是这台服务器对外声明的名字如果不写Apache 启动的时候会尝试做一次反向 DNS 解析在网络不通或者 DNS 慢的环境下启动会卡十几秒甚至更久。这个现象我第一次遇到的时候以为是服务坏了其实是它在等 DNS 超时。DocumentRoot是默认站点根目录。DirectoryIndex index.html定义默认首页文件一般会写成index.html index.php这种形式。IncludeOptional conf.d/*.conf这行很关键它意味着你放在conf.d/目录下的任何.conf文件都会被加载所以做站点配置的时候我强烈建议不要往httpd.conf里塞而是每个站点单独一个文件放在conf.d/下删除站点的时候直接删文件干净利落。3.3 启动、开机自启与防火墙放行配置改完之后启动服务systemctl start httpd systemctl enable httpd systemctl status httpdCentOS 7 用的是 firewalld默认只放行了 SSH。HTTP 和 HTTPS 需要手动加firewall-cmd --permanent --add-servicehttp firewall-cmd --permanent --add-servicehttps firewall-cmd --reload firewall-cmd --list-services最后一条命令用来确认规则生效了。这里有个非常经典的坑只加--permanent不执行--reload规则写了但没生效你会以为防火墙配置有问题其实只是没重载。反过来如果只用--add-service不加--permanent当时能用重启之后规则消失第二天早上服务就莫名其妙挂了。两条一起写是标准做法。如果是在云服务器上除了系统防火墙还要去控制台的安全组里放行 80 和 443 端口。这两层是独立的只改一层不通的情况非常常见。3.4 验证方式与常见误判服务起来之后先在服务器本地验证curl -I http://127.0.0.1 ss -lntp | grep :80curl -I看的是响应头返回HTTP/1.1 200 OK说明 Apache 本身没问题。ss看的是监听状态能看到LISTEN和进程名httpd就对了。本地通了再去另一台机器上访问。如果本地能通、外部不通按这个顺序查系统防火墙规则有没有生效、云安全组有没有放行、网络模式是不是 NATNAT 模式下外部机器访问不了虚拟机的私网地址、IP 地址有没有写错、是否访问了错误的端口。我见过有人折腾了两小时最后发现是浏览器自动把地址补成了 HTTPS而服务只监听了 80 端口自然打不开。所以验证的时候把完整地址带协议头写清楚。4. 站点部署实战从单站点到多虚拟主机4.1 目录规划与权限模型正式部署站点之前把目录结构和权限定下来。我用的方案是这样mkdir -p /data/www/example.com/{html,logs} chown -R root:apache /data/www/example.com chmod -R 755 /data/www/example.com find /data/www/example.com -type f -exec chmod 644 {} \;这套权限的逻辑是目录属主是 root属组是 apache。目录权限 755意味着所有人可以进入和读取目录列表但只有属主能写。文件权限 644所有人可读只有属主可写。Apache 进程以 apache 用户运行属于 apache 组所以它能读取这些文件但不能修改。为什么不让 Apache 以属主身份写文件因为 Web 服务是对外暴露的一旦它的运行用户有写权限上传漏洞或者程序缺陷就可能被用来篡改网页内容甚至写入可执行脚本。只给读权限是从权限层面把这条路径堵死。如果站点确实需要写文件比如用户上传目录、缓存目录、日志目录那就单独把这几个目录的属组改成 apache 并给组写权限或者更严格一点把运行用户改成那个目录的属主同时把Options -ExecCGI之类的限制加上。原则是需要写的范围尽可能小绝不允许写站点根目录。4.2 基于域名的虚拟主机配置一台服务器上跑多个站点用基于域名的虚拟主机是最合理的方案。在/etc/httpd/conf.d/下新建一个vhost-example.confVirtualHost *:80 ServerName example.com ServerAlias www.example.com DocumentRoot /data/www/example.com/html ErrorLog /data/www/example.com/logs/error.log CustomLog /data/www/example.com/logs/access.log combined Directory /data/www/example.com/html Options -Indexes -FollowSymLinks AllowOverride None Require all granted /Directory /VirtualHost这段配置里有几个点值得展开。Options -Indexes关掉目录浏览否则别人猜到/uploads/这种目录名就能把你所有文件列出来这是很常见的信息泄露点。-FollowSymLinks禁止跟随符号链接防止有人通过软链接绕出站点根目录去读系统文件。AllowOverride None意思是忽略目录下的.htaccess文件。如果你的程序需要.htaccess生效比如某些 PHP 框架的伪静态就改成AllowOverride All但要注意All意味着每次请求 Apache 都要去逐级目录查找并解析这个文件有性能开销而且把配置权限下放了。能写在主配置里的规则就不要用.htaccess。Require all granted是 Apache 2.4 的语法2.2 时代用的是Order allow,deny/Allow from all如果你照抄了老教程配置检查会直接报错。这个版本差异是新手最容易踩的坑之一。配置写完先用httpd -t做语法检查返回Syntax OK再重启服务。这一步能拦住 90% 的低级错误养成习惯比什么都强。4.3 HTTPS 配置与证书部署现在做站点HTTP 基本只是个跳转入口实际服务走 HTTPS 才是标配。Apache 支持 SSL 靠的是mod_ssl模块yum install -y mod_ssl装完会自动生成一份自签证书用于测试路径在/etc/httpd/conf.d/ssl.conf里能看到。正式使用要换成自己的证书。把证书文件放到/etc/httpd/ssl/目录下比如example.com.crt和example.com.key权限设成 600 并且属主是 root然后改配置VirtualHost *:443 ServerName example.com DocumentRoot /data/www/example.com/html SSLEngine on SSLCertificateFile /etc/httpd/ssl/example.com.crt SSLCertificateKeyFile /etc/httpd/ssl/example.com.key Directory /data/www/example.com/html Options -Indexes AllowOverride None Require all granted /Directory /VirtualHost配上之后还要让 80 端口的请求自动跳到 443这个用重写规则实现VirtualHost *:80 ServerName example.com RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R301,L] /VirtualHost这里有三个必须记牢的注意点。第一443 的虚拟主机要写在 80 的前面还是后面不影响功能但如果两个VirtualHost块里的ServerName一样Apache 会按顺序匹配配置顺序要清晰。第二证书链文件如果服务端没有配置完整部分浏览器和移动端会出现证书不受信任桌面浏览器反而正常这种差异化的表现很容易让人误判。第三如果前面的 Nginx 或者云负载均衡已经做了 HTTPS 卸载后面的 Apache 就不要再配证书了否则会出现重定向死循环。4.4 伪静态与反向代理配置很多应用需要隐藏入口文件比如把index.php?id123变成/article/123.html。这靠的是mod_rewrite模块配置写在虚拟主机里RewriteEngine On RewriteBase / RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule ^(.*)$ /index.php?/$1 [L]RewriteCond的两行含义是请求的不是真实存在的文件也不是真实存在的目录满足条件才转发给入口文件。这样静态资源和目录能直接访问只有动态路径才走重写性能上更合理。反向代理则是另一类需求把 Apache 当作前置把请求转给后端的应用服务ProxyPreserveHost On ProxyPass /api/ http://127.0.0.1:8080/api/ ProxyPassReverse /api/ http://127.0.0.1:8080/api/ProxyPreserveHost保留原始 Host 头让后端应用能拿到用户访问的域名。ProxyPassReverse负责把后端返回的重定向地址改写回来少了它后端返回的Location头会带着内网地址用户点一下就直接跳进内网 IP页面大概率打不开。反向代理场景下还要注意一点后端拿到的客户端 IP 会是代理机的地址。如果应用需要真实 IP得靠mod_remoteip模块配合X-Forwarded-For头来处理否则日志里全是 127.0.0.1做访问统计和封禁都会失效。5. 性能与安全加固从能跑到跑得住5.1 并发模型选择与参数计算Apache 2.4 支持三种多路处理模块这直接决定了它的资源占用和并发能力模块工作方式特点适用场景prefork一个请求一个进程内存占用高隔离性好兼容性强需要非线程安全模块、老 PHPworker多进程多线程内存占用中等并发比 prefork 高通用场景event多进程多线程 异步内存占用最低并发最强高并发静态内容CentOS 7 默认用的是 prefork。改的方法是在/etc/httpd/conf.modules.d/00-mpm.conf里注释掉mpm_prefork_module打开mpm_event_module然后重启服务。切之前要确认你依赖的模块是不是线程安全的mod_php在 worker/event 下就不能用得换成 PHP-FPM。如果是 prefork参数在/etc/httpd/conf/httpd.conf里调。核心计算逻辑是单个 Apache 进程大约占 20MB 到 40MB 内存取决于加载的模块和运行的脚本那么MaxRequestWorkers 可用内存 / 单进程内存占用比如一台 2GB 内存的机器系统和其他服务占掉 500MB剩 1500MB 给 Apache按每进程 30MB 算理论上能开 50 个。但还要给系统留余量所以设成 40 左右比较稳妥。ServerLimit要大于等于MaxRequestWorkersStartServers、MinSpareServers、MaxSpareServers这些控制空闲进程池的大小一般按MaxRequestWorkers的十分之一到四分之一来设。把这几个参数设得远超物理内存后果是内存吃满之后开始用交换分区磁盘 I/O 飙升整个机器响应慢到像卡死。在虚拟机上还有一种更隐蔽的情况宿主机内存够但虚拟机分配的内存被超配表现是配置明明没问题就是慢这时候要去看宿主机的实际内存压力。5.2 安全基线必做项有几项配置我建议所有对外 Apache 都加上改动量不大收益很高。第一隐藏版本信息。在配置里加ServerTokens Prod ServerSignature Off这样错误页面和响应头里不再暴露版本号和操作系统类型。扫描器通常先看Server头判断版本再去找对应的漏洞隐藏版本能减少一批自动化扫描的骚扰。第二禁用 TRACE 方法。TRACE 本身不常见但历史上出现过利用它做跨站追踪的手法直接关掉最省心TraceEnable Off第三屏蔽敏感路径。站点根目录下如果存在.git、.env、备份.sql这类文件一定要拒绝外部访问DirectoryMatch /\.git Require all denied /DirectoryMatch FilesMatch \.(env|sql|bak|log|conf)$ Require all denied /FilesMatch.env文件泄露导致配置信息暴露是很常见的一类事故尤其是应用部署的时候忘了把开发环境的文件删掉。第四限制上传目录的执行权限。上传目录里如果允许执行脚本一个伪装成图片的脚本上传上来之后就等于给了对方一个入口Directory /data/www/example.com/html/uploads php_admin_flag engine off Options -ExecCGI -Indexes AddType text/plain .php .php5 .phtml /Directory这几条组合起来即使有恶意脚本被传上来也无法被解析执行最坏情况只是被当成文本读出来。5.3 日志体系与轮转策略日志是排查问题的第一手资料但也是磁盘空间的隐形杀手。Apache 有两种日志格式值得区分使用combined记录了 IP、时间、请求、状态码、Referer 和 User-Agent信息全但体积大common少了后面两项体积小一些。高流量站点可以考虑自定义格式只保留真正需要分析的字段。轮转靠logrotateCentOS 7 上已经有现成的配置在/etc/logrotate.d/httpd。默认策略是每天轮转、保留两周如果访问量大建议改成按大小轮转或者缩短保留周期/var/log/httpd/*log { daily rotate 7 missingok notifempty sharedscripts postrotate /bin/systemctl reload httpd.service /dev/null 21 || true endscript }postrotate里通知 Apache 重新打开日志文件这个不能少。少了它日志文件被重命名后Apache 还往原来的文件描述符里写磁盘空间不会释放du看不出问题但df显示磁盘满这种幽灵磁盘占用会让很多人卡很久。6. 常见故障排查实录与避坑清单6.1 服务启动失败类问题速查启动不成功的时候别急着改配置先看日志。systemctl status httpd -l会给出最近的几行输出journalctl -u httpd -n 50能看到更完整的日志。常见原因归类如下现象常见原因排查命令提示语法错误配置拼写错、指令版本不匹配httpd -t提示端口被占用已有 httpd 或别的服务占用 80ss -lntp | grep :80启动后立刻退出配置文件引用了不存在的证书或模块journalctl -u httpd -n 50启动很慢ServerName未设置反向 DNS 超时检查httpd.conf的ServerName重启报权限错误日志目录或证书文件权限不对检查属主和权限位httpd -t这个命令我建议养成肌肉记忆每次动完配置文件先跑一遍它能在重启之前就把语法问题拦下来避免服务中断。6.2 403、404、500 三类报错的定位路径403 表示服务器理解了请求但拒绝执行。按顺序查目录的每一级是否有执行权限x位这一点很多人忽略/data目录如果权限是 700Apache 进程进不去站点根目录权限再正确也没用SELinux 上下文是否正确Require all granted有没有配。SELinux 导致的 403 最迷惑人因为错误日志里往往只有一句Permission denied看不出和 SELinux 有关需要去看/var/log/audit/audit.log才有线索。404 是找不到资源。检查DocumentRoot路径是否写错、DirectoryIndex指定的首页文件是否真实存在、文件名大小写是否匹配Linux 是区分大小写的Index.html和index.html是两个文件、伪静态规则是否把静态资源也重写了。500 是服务端内部错误通常是应用层面的问题但也可能是 Apache 的配置引起比如mod_php的超时、内存限制。看站点的error.log里面一般会有具体的错误信息指向。6.3 SELinux 与权限相关的隐形墙SELinux 是 CentOS 7 的重头戏。getenforce看当前状态如果是Enforcing那它会在传统权限之外再加一层标签检查。你在/data/www下面建目录默认标签是default_t而 Apache 需要的是httpd_sys_content_t标签不对就会被拒绝访问。正确的做法是加标签规则semanage fcontext -a -t httpd_sys_content_t /data/www(/.*)? restorecon -Rv /data/www chcon -R -t httpd_sys_content_t /data/www # 临时方案重启后可能失效第一行是持久化规则第二行让它立即生效第三行是临时手段测试用可以正式环境不要依赖它因为文件的默认标签恢复之后就失效了。如果实在不熟悉 SELinux改成Permissive模式可以让它只记录不拦截setenforce 0临时生效改配置文件/etc/selinux/config里的SELINUXpermissive永久生效。但我的建议是内网测试可以这么干对外服务还是老实学一下标签规则因为 SELinux 挡住的很多是真实攻击路径直接关掉等于少了一层防护。6.4 我踩过的几个真实坑坑一改完DocumentRoot但忘了改Directory。结果就是浏览器打开还是默认的欢迎页面或者直接 403。原因是httpd.conf里有一段针对旧路径的Directory配置新的路径没有对应的授权块Apache 默认拒绝。解决办法是把新的路径授权加上或者干脆把默认站点配置注释掉全部交给conf.d/下的虚拟主机接管。坑二访问日志里的客户端 IP 全是 127.0.0.1。一开始以为是被攻击了后来发现是前置了一层反向代理mod_remoteip没有配置。加上RemoteIPHeader X-Forwarded-For之后就正常了。坑三配置文件改了没生效。排查了半天发现改的是/etc/httpd/conf/httpd.conf里的一个被conf.d/下文件覆盖的指令。Apache 的加载顺序是主配置先读然后Include进来的文件后读后读的会覆盖先读的。记住这个顺序能省下大量时间。坑四磁盘满了但找不到大文件。前面提到的日志文件句柄没释放就是这种情况df -h显示使用率 100%du -sh /*加起来却只有一半。用lsof | grep deleted就能看到那些已经被删除但仍被进程持有的文件。重启对应服务就能释放。坑五证书更新后没有重载服务。证书文件换了但 Apache 还加载着旧证书。systemctl reload httpd是必要的收尾动作。重载和重启的区别在于重载不会中断正在处理的连接重启会所以能用reload就别用restart。最后再分享一个平时排查用的小技巧如果你不确定某个请求到底走了哪段配置、加载了哪个模块可以在虚拟主机里临时打开LogLevel debug配合RewriteLog风格的跟踪Apache 2.4 里是LogLevel alert rewrite:trace3看一眼请求的重写过程。定位完记得把级别调回去debug 级别的日志增长非常快留着它不关磁盘很快就撑不住了。 CentOS 7 部署 Apache 服务器：从安装到安全加固
CentOS 7 部署 Apache 服务器这件事说简单是真简单一条yum install httpd就能把服务跑起来说麻烦也是真麻烦真正把它丢进一台要对外提供访问的机器上权限、端口、SELinux、虚拟主机、HTTPS、并发模型这些东西随便哪一个没配对浏览器给你的回应就是一句冷冰冰的无法访问此网站。我这些年经手过不少 CentOS 7 加 Apache 的组合有的是内网管理系统有的是给前端同学做静态资源托管还有的是老项目迁移时必须沿用原来这套的硬性要求。踩过的坑攒下来大概能写满两页纸。这篇内容面向的是手上有 CentOS 7 机器、需要把 Apache 服务真正部署成可用状态的人。不管你是刚接触 Linux 的新手还是想找一份靠谱配置清单的老手都能从里面找到能直接抄的部分。我不会只给你几条命令而是把每条命令背后的原因、参数怎么算、出错了往哪儿看都摊开讲清楚。毕竟部署这件事能跑起来只是第一步跑得稳、出了问题能自己定位才算真的会。1. 为什么还在用 CentOS 7 搭 Apache选型逻辑与场景拆解1.1 CentOS 7 的现状与适用边界先把话说在前头CentOS 7 已经不是新东西了官方维护周期早就走到了尾声。但现实是大量内部系统、教学环境、实验平台、老业务机器还跑在它上面短期内换不掉。我遇到最多的情况是三种一种是公司内网的测试机装系统的人当年随手选了 CentOS 7现在业务在上面跑着没人愿意动一种是虚拟机实验环境VMware 里装一个 CentOS 7 的镜像几分钟就能开工还有一种就是教科书式的学习环境很多课程和教材的示例都是基于 CentOS 7 写的。这三种场景有一个共同点它们都不是在追求最新而是在追求确定能跑。CentOS 7 的软件包版本虽然偏旧但好处是生态极其稳定网上能搜到的教程几乎都能对上号遇到问题搜索关键词基本都能找到答案。这个答案可得性在实际运维里比版本新旧重要得多。所以我的建议是学习、内网、测试场景继续用 CentOS 7 完全没问题对外提供的正式服务该规划升级就规划升级别把实验环境的思路套到生产上。另外提醒一句如果你是新建虚拟机做实验内存给 2GB、硬盘给 20GB、CPU 两核这个配置跑 Apache 加一点静态站点绰绰有余。如果后面还要挂数据库或者做点编译内存往 4GB 走。1.2 Apache 与 Nginx 的取舍很多人一上来就问都什么年代了还用 Apache这个问题得分开看。Apache 的进程模型决定了它在高并发静态请求这个赛道上确实不如 Nginx 省资源这是客观事实没什么好争的。但 Apache 有它自己很难被替代的地方模块化程度高.htaccess这种目录级配置能力让托管型场景特别舒服动态内容处理尤其是 PHP 那套生态的成熟度极高文档和社区案例也是海量。我的一般判断标准是这样的场景更推荐理由纯静态资源、高并发、反代前置Nginx事件驱动模型单机并发承载能力强内存占用低传统 PHP 应用、共享主机式部署Apachemod_php、.htaccess、目录级权限控制成熟需要大量第三方模块定制Apache模块生态丰富编译和加载方式清晰内网小系统、实验环境都行上手成本接近看团队熟悉哪个关键不在于谁更强而在于你的团队维护哪个更顺手。一个团队里如果有人能快速定位 Apache 的问题那它对这个团队来说就是更好的选择。技术选型从来不是选绝对最优而是选综合成本最低的。1.3 部署前的资源与端口规划动手之前先把规划做掉能省下后面大量的返工。我习惯在这几个维度上先列清楚服务端口方面HTTP 走 80HTTPS 走 443这是默认约定别乱改。如果一台机器上要跑多个站点优先用基于域名的虚拟主机而不是给每个站点分配不同端口端口多了防火墙规则和记忆成本都会上升。目录方面我强烈建议不要直接把站点文件放在/var/www/html下面而是统一规划到/data/www/站点名这样的路径好处是备份、迁移、权限管理都有明确边界系统盘也不会被日志和上传文件撑爆。日志方面Apache 默认会把访问日志和错误日志写到/var/log/httpd/这个不用改但要记得配置轮转不然跑上几个月磁盘就会告警。资源方面先把并发预期想清楚是十几个人的内网系统还是可能被公网扫描器疯狂打的服务这两种情况下的参数配置思路完全不同。2. 环境准备从系统安装到能稳定联网2.1 安装介质选择与首次开机CentOS 7 的镜像有几种版本Minimal、DVD、Everything 等等。做服务器用途我一般选 Minimal 版本安装完大概占 1GB 左右空间干净、没有多余软件、攻击面小。缺点是没有图形界面也没有net-tools、vim这类常用工具需要自己装。Everything 版本包最全离线装东西方便但体积大装完系统里有几百个你用不到的包。用 VMware 或者 VirtualBox 新建虚拟机的时候网络模式建议选 NAT 或者桥接。NAT 模式的好处是虚拟机通过宿主机上网不用管路由器分配做实验最省事桥接模式会让虚拟机拿到和宿主机同网段的 IP方便局域网内其他机器访问。如果你后面要让同事从别的电脑访问这个服务选桥接更直接。安装过程里有个细节很多人会忽略软件选择那一步Minimal 版本默认不装开发工具和安全工具。我一般会顺手勾上开发工具和兼容库因为后面万一要编译模块或者装某些依赖省得再折腾。2.2 CentOS 7 网络配置静态 IP 是刚需虚拟机装完第一件事就是配网络。CentOS 7 用的是传统网卡配置文件路径在/etc/sysconfig/network-scripts/下面文件名一般是ifcfg-ens33或者ifcfg-eth0具体叫什么取决于你的网卡命名规则。先用ip addr看一眼网卡名别凭记忆写。动态获取 IP 的配置很简单BOOTPROTOdhcp加ONBOOTyes就够了改完systemctl restart network。但服务器我基本都用静态 IP原因是地址变了之后防火墙白名单、反向代理目标、同事书签全都要跟着改麻烦得很。静态配置大概是这个结构TYPEEthernet BOOTPROTOstatic NAMEens33 DEVICEens33 ONBOOTyes IPADDR192.168.1.150 NETMASK255.255.255.0 GATEWAY192.168.1.1 DNS1223.5.5.5 DNS2119.29.29.29几个容易出错的地方说一下。IPADDR要选在路由器 DHCP 池之外的地址否则可能出现地址冲突两边都上不去网。GATEWAY填的是网关地址填成 DNS 或者随便一个 IP 都会导致外网访问不了但内网还能通这种部分通的情况最难排查。ONBOOTyes一定要写否则重启之后网卡不自动起来你会怀疑人生。改完之后用systemctl restart network重启网络服务然后ping一下网关和外网地址两步都通了再往下走。如果网关通、外网不通八成是 DNS 或者网关配置的问题如果连网关都不通先检查虚拟机的网络模式是不是被改成了仅主机。2.3 系统初始化与基础工具补齐网络通了之后做几件初始化的事情。先把主机名改了hostnamectl set-hostname web01之类的别让机器一直叫 localhost。主机名看着是小事但多台机器的时候登录进去分不清在哪台上这是很真实的困扰。然后更新一下系统yum update -y这个过程可能有点久取决于网络速度。如果是内网环境没有外网那就要先配置本地 yum 源把安装镜像挂载到/mnt下写一个local.repo文件指向file:///mnt这样离线状态下也能装包。这个做法在完全隔离的内网里非常常见值得提前准备。再装几个常用工具yum install -y vim wget net-tools lsof tree telnet。这几个包加起来不到 20MB但排查问题的时候能省很多时间。lsof看端口占用net-tools提供netstattree看目录结构都是高频使用的。最后把时间同步配上。时间不同步的后果比想象中严重日志时间戳乱掉、证书校验异常、定时任务执行时机错乱都和它有关。CentOS 7 上装chrony配置指向内网或者公网的 NTP 服务地址systemctl enable --now chronyd然后用chronyc sources看同步状态。3. Apache 安装与最小可用配置3.1 在线与离线两条安装路线CentOS 7 的官方源里就有 Apache包名叫httpd版本是 2.4.6。在线安装就直接一条命令yum install -y httpd装完之后可以rpm -qa | grep httpd确认一下通常会有httpd和httpd-tools两个包。如果后面要用 HTTPS还需要装mod_ssl。离线环境的做法稍微绕一点。你需要准备这几个 rpm 包httpd、httpd-tools、apr、apr-util以及它们依赖的mailcap之类的包。最省事的办法是找一台能上网、版本一致的机器用yum install --downloadonly --downloaddir/tmp/rpms httpd把包和依赖一次性下载下来拷到目标机器上rpm -ivh *.rpm或者yum localinstall *.rpm。后者更好因为它会自动处理依赖顺序。这里有个坑要说清楚不要随便去网上找第三方编译好的包尤其是架构和 glibc 版本不匹配的那种装上去报各种symbol not found或者GLIBC_2.14 not found之类的错误排查起来非常头疼。用官方源或者和系统版本严格对应的包是唯一稳妥的路线。3.2 配置文件结构与关键指令精读Apache 安装完配置文件分布在几个地方理清楚这个结构比背指令重要/etc/httpd/ ├── conf/ │ └── httpd.conf # 主配置文件 ├── conf.d/ # 自定义配置被主配置自动加载 │ ├── autoindex.conf │ ├── userdir.conf │ └── welcome.conf ├── conf.modules.d/ # 模块加载配置 │ ├── 00-base.conf │ ├── 00-mpm.conf │ └── ... ├── logs - ../../var/log/httpd └── modules - ../../usr/lib64/httpd/modules主配置文件里真正需要你关注的就那么几条。Listen 80定义监听端口改了这里还要同步改防火墙。ServerName是这台服务器对外声明的名字如果不写Apache 启动的时候会尝试做一次反向 DNS 解析在网络不通或者 DNS 慢的环境下启动会卡十几秒甚至更久。这个现象我第一次遇到的时候以为是服务坏了其实是它在等 DNS 超时。DocumentRoot是默认站点根目录。DirectoryIndex index.html定义默认首页文件一般会写成index.html index.php这种形式。IncludeOptional conf.d/*.conf这行很关键它意味着你放在conf.d/目录下的任何.conf文件都会被加载所以做站点配置的时候我强烈建议不要往httpd.conf里塞而是每个站点单独一个文件放在conf.d/下删除站点的时候直接删文件干净利落。3.3 启动、开机自启与防火墙放行配置改完之后启动服务systemctl start httpd systemctl enable httpd systemctl status httpdCentOS 7 用的是 firewalld默认只放行了 SSH。HTTP 和 HTTPS 需要手动加firewall-cmd --permanent --add-servicehttp firewall-cmd --permanent --add-servicehttps firewall-cmd --reload firewall-cmd --list-services最后一条命令用来确认规则生效了。这里有个非常经典的坑只加--permanent不执行--reload规则写了但没生效你会以为防火墙配置有问题其实只是没重载。反过来如果只用--add-service不加--permanent当时能用重启之后规则消失第二天早上服务就莫名其妙挂了。两条一起写是标准做法。如果是在云服务器上除了系统防火墙还要去控制台的安全组里放行 80 和 443 端口。这两层是独立的只改一层不通的情况非常常见。3.4 验证方式与常见误判服务起来之后先在服务器本地验证curl -I http://127.0.0.1 ss -lntp | grep :80curl -I看的是响应头返回HTTP/1.1 200 OK说明 Apache 本身没问题。ss看的是监听状态能看到LISTEN和进程名httpd就对了。本地通了再去另一台机器上访问。如果本地能通、外部不通按这个顺序查系统防火墙规则有没有生效、云安全组有没有放行、网络模式是不是 NATNAT 模式下外部机器访问不了虚拟机的私网地址、IP 地址有没有写错、是否访问了错误的端口。我见过有人折腾了两小时最后发现是浏览器自动把地址补成了 HTTPS而服务只监听了 80 端口自然打不开。所以验证的时候把完整地址带协议头写清楚。4. 站点部署实战从单站点到多虚拟主机4.1 目录规划与权限模型正式部署站点之前把目录结构和权限定下来。我用的方案是这样mkdir -p /data/www/example.com/{html,logs} chown -R root:apache /data/www/example.com chmod -R 755 /data/www/example.com find /data/www/example.com -type f -exec chmod 644 {} \;这套权限的逻辑是目录属主是 root属组是 apache。目录权限 755意味着所有人可以进入和读取目录列表但只有属主能写。文件权限 644所有人可读只有属主可写。Apache 进程以 apache 用户运行属于 apache 组所以它能读取这些文件但不能修改。为什么不让 Apache 以属主身份写文件因为 Web 服务是对外暴露的一旦它的运行用户有写权限上传漏洞或者程序缺陷就可能被用来篡改网页内容甚至写入可执行脚本。只给读权限是从权限层面把这条路径堵死。如果站点确实需要写文件比如用户上传目录、缓存目录、日志目录那就单独把这几个目录的属组改成 apache 并给组写权限或者更严格一点把运行用户改成那个目录的属主同时把Options -ExecCGI之类的限制加上。原则是需要写的范围尽可能小绝不允许写站点根目录。4.2 基于域名的虚拟主机配置一台服务器上跑多个站点用基于域名的虚拟主机是最合理的方案。在/etc/httpd/conf.d/下新建一个vhost-example.confVirtualHost *:80 ServerName example.com ServerAlias www.example.com DocumentRoot /data/www/example.com/html ErrorLog /data/www/example.com/logs/error.log CustomLog /data/www/example.com/logs/access.log combined Directory /data/www/example.com/html Options -Indexes -FollowSymLinks AllowOverride None Require all granted /Directory /VirtualHost这段配置里有几个点值得展开。Options -Indexes关掉目录浏览否则别人猜到/uploads/这种目录名就能把你所有文件列出来这是很常见的信息泄露点。-FollowSymLinks禁止跟随符号链接防止有人通过软链接绕出站点根目录去读系统文件。AllowOverride None意思是忽略目录下的.htaccess文件。如果你的程序需要.htaccess生效比如某些 PHP 框架的伪静态就改成AllowOverride All但要注意All意味着每次请求 Apache 都要去逐级目录查找并解析这个文件有性能开销而且把配置权限下放了。能写在主配置里的规则就不要用.htaccess。Require all granted是 Apache 2.4 的语法2.2 时代用的是Order allow,deny/Allow from all如果你照抄了老教程配置检查会直接报错。这个版本差异是新手最容易踩的坑之一。配置写完先用httpd -t做语法检查返回Syntax OK再重启服务。这一步能拦住 90% 的低级错误养成习惯比什么都强。4.3 HTTPS 配置与证书部署现在做站点HTTP 基本只是个跳转入口实际服务走 HTTPS 才是标配。Apache 支持 SSL 靠的是mod_ssl模块yum install -y mod_ssl装完会自动生成一份自签证书用于测试路径在/etc/httpd/conf.d/ssl.conf里能看到。正式使用要换成自己的证书。把证书文件放到/etc/httpd/ssl/目录下比如example.com.crt和example.com.key权限设成 600 并且属主是 root然后改配置VirtualHost *:443 ServerName example.com DocumentRoot /data/www/example.com/html SSLEngine on SSLCertificateFile /etc/httpd/ssl/example.com.crt SSLCertificateKeyFile /etc/httpd/ssl/example.com.key Directory /data/www/example.com/html Options -Indexes AllowOverride None Require all granted /Directory /VirtualHost配上之后还要让 80 端口的请求自动跳到 443这个用重写规则实现VirtualHost *:80 ServerName example.com RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R301,L] /VirtualHost这里有三个必须记牢的注意点。第一443 的虚拟主机要写在 80 的前面还是后面不影响功能但如果两个VirtualHost块里的ServerName一样Apache 会按顺序匹配配置顺序要清晰。第二证书链文件如果服务端没有配置完整部分浏览器和移动端会出现证书不受信任桌面浏览器反而正常这种差异化的表现很容易让人误判。第三如果前面的 Nginx 或者云负载均衡已经做了 HTTPS 卸载后面的 Apache 就不要再配证书了否则会出现重定向死循环。4.4 伪静态与反向代理配置很多应用需要隐藏入口文件比如把index.php?id123变成/article/123.html。这靠的是mod_rewrite模块配置写在虚拟主机里RewriteEngine On RewriteBase / RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule ^(.*)$ /index.php?/$1 [L]RewriteCond的两行含义是请求的不是真实存在的文件也不是真实存在的目录满足条件才转发给入口文件。这样静态资源和目录能直接访问只有动态路径才走重写性能上更合理。反向代理则是另一类需求把 Apache 当作前置把请求转给后端的应用服务ProxyPreserveHost On ProxyPass /api/ http://127.0.0.1:8080/api/ ProxyPassReverse /api/ http://127.0.0.1:8080/api/ProxyPreserveHost保留原始 Host 头让后端应用能拿到用户访问的域名。ProxyPassReverse负责把后端返回的重定向地址改写回来少了它后端返回的Location头会带着内网地址用户点一下就直接跳进内网 IP页面大概率打不开。反向代理场景下还要注意一点后端拿到的客户端 IP 会是代理机的地址。如果应用需要真实 IP得靠mod_remoteip模块配合X-Forwarded-For头来处理否则日志里全是 127.0.0.1做访问统计和封禁都会失效。5. 性能与安全加固从能跑到跑得住5.1 并发模型选择与参数计算Apache 2.4 支持三种多路处理模块这直接决定了它的资源占用和并发能力模块工作方式特点适用场景prefork一个请求一个进程内存占用高隔离性好兼容性强需要非线程安全模块、老 PHPworker多进程多线程内存占用中等并发比 prefork 高通用场景event多进程多线程 异步内存占用最低并发最强高并发静态内容CentOS 7 默认用的是 prefork。改的方法是在/etc/httpd/conf.modules.d/00-mpm.conf里注释掉mpm_prefork_module打开mpm_event_module然后重启服务。切之前要确认你依赖的模块是不是线程安全的mod_php在 worker/event 下就不能用得换成 PHP-FPM。如果是 prefork参数在/etc/httpd/conf/httpd.conf里调。核心计算逻辑是单个 Apache 进程大约占 20MB 到 40MB 内存取决于加载的模块和运行的脚本那么MaxRequestWorkers 可用内存 / 单进程内存占用比如一台 2GB 内存的机器系统和其他服务占掉 500MB剩 1500MB 给 Apache按每进程 30MB 算理论上能开 50 个。但还要给系统留余量所以设成 40 左右比较稳妥。ServerLimit要大于等于MaxRequestWorkersStartServers、MinSpareServers、MaxSpareServers这些控制空闲进程池的大小一般按MaxRequestWorkers的十分之一到四分之一来设。把这几个参数设得远超物理内存后果是内存吃满之后开始用交换分区磁盘 I/O 飙升整个机器响应慢到像卡死。在虚拟机上还有一种更隐蔽的情况宿主机内存够但虚拟机分配的内存被超配表现是配置明明没问题就是慢这时候要去看宿主机的实际内存压力。5.2 安全基线必做项有几项配置我建议所有对外 Apache 都加上改动量不大收益很高。第一隐藏版本信息。在配置里加ServerTokens Prod ServerSignature Off这样错误页面和响应头里不再暴露版本号和操作系统类型。扫描器通常先看Server头判断版本再去找对应的漏洞隐藏版本能减少一批自动化扫描的骚扰。第二禁用 TRACE 方法。TRACE 本身不常见但历史上出现过利用它做跨站追踪的手法直接关掉最省心TraceEnable Off第三屏蔽敏感路径。站点根目录下如果存在.git、.env、备份.sql这类文件一定要拒绝外部访问DirectoryMatch /\.git Require all denied /DirectoryMatch FilesMatch \.(env|sql|bak|log|conf)$ Require all denied /FilesMatch.env文件泄露导致配置信息暴露是很常见的一类事故尤其是应用部署的时候忘了把开发环境的文件删掉。第四限制上传目录的执行权限。上传目录里如果允许执行脚本一个伪装成图片的脚本上传上来之后就等于给了对方一个入口Directory /data/www/example.com/html/uploads php_admin_flag engine off Options -ExecCGI -Indexes AddType text/plain .php .php5 .phtml /Directory这几条组合起来即使有恶意脚本被传上来也无法被解析执行最坏情况只是被当成文本读出来。5.3 日志体系与轮转策略日志是排查问题的第一手资料但也是磁盘空间的隐形杀手。Apache 有两种日志格式值得区分使用combined记录了 IP、时间、请求、状态码、Referer 和 User-Agent信息全但体积大common少了后面两项体积小一些。高流量站点可以考虑自定义格式只保留真正需要分析的字段。轮转靠logrotateCentOS 7 上已经有现成的配置在/etc/logrotate.d/httpd。默认策略是每天轮转、保留两周如果访问量大建议改成按大小轮转或者缩短保留周期/var/log/httpd/*log { daily rotate 7 missingok notifempty sharedscripts postrotate /bin/systemctl reload httpd.service /dev/null 21 || true endscript }postrotate里通知 Apache 重新打开日志文件这个不能少。少了它日志文件被重命名后Apache 还往原来的文件描述符里写磁盘空间不会释放du看不出问题但df显示磁盘满这种幽灵磁盘占用会让很多人卡很久。6. 常见故障排查实录与避坑清单6.1 服务启动失败类问题速查启动不成功的时候别急着改配置先看日志。systemctl status httpd -l会给出最近的几行输出journalctl -u httpd -n 50能看到更完整的日志。常见原因归类如下现象常见原因排查命令提示语法错误配置拼写错、指令版本不匹配httpd -t提示端口被占用已有 httpd 或别的服务占用 80ss -lntp | grep :80启动后立刻退出配置文件引用了不存在的证书或模块journalctl -u httpd -n 50启动很慢ServerName未设置反向 DNS 超时检查httpd.conf的ServerName重启报权限错误日志目录或证书文件权限不对检查属主和权限位httpd -t这个命令我建议养成肌肉记忆每次动完配置文件先跑一遍它能在重启之前就把语法问题拦下来避免服务中断。6.2 403、404、500 三类报错的定位路径403 表示服务器理解了请求但拒绝执行。按顺序查目录的每一级是否有执行权限x位这一点很多人忽略/data目录如果权限是 700Apache 进程进不去站点根目录权限再正确也没用SELinux 上下文是否正确Require all granted有没有配。SELinux 导致的 403 最迷惑人因为错误日志里往往只有一句Permission denied看不出和 SELinux 有关需要去看/var/log/audit/audit.log才有线索。404 是找不到资源。检查DocumentRoot路径是否写错、DirectoryIndex指定的首页文件是否真实存在、文件名大小写是否匹配Linux 是区分大小写的Index.html和index.html是两个文件、伪静态规则是否把静态资源也重写了。500 是服务端内部错误通常是应用层面的问题但也可能是 Apache 的配置引起比如mod_php的超时、内存限制。看站点的error.log里面一般会有具体的错误信息指向。6.3 SELinux 与权限相关的隐形墙SELinux 是 CentOS 7 的重头戏。getenforce看当前状态如果是Enforcing那它会在传统权限之外再加一层标签检查。你在/data/www下面建目录默认标签是default_t而 Apache 需要的是httpd_sys_content_t标签不对就会被拒绝访问。正确的做法是加标签规则semanage fcontext -a -t httpd_sys_content_t /data/www(/.*)? restorecon -Rv /data/www chcon -R -t httpd_sys_content_t /data/www # 临时方案重启后可能失效第一行是持久化规则第二行让它立即生效第三行是临时手段测试用可以正式环境不要依赖它因为文件的默认标签恢复之后就失效了。如果实在不熟悉 SELinux改成Permissive模式可以让它只记录不拦截setenforce 0临时生效改配置文件/etc/selinux/config里的SELINUXpermissive永久生效。但我的建议是内网测试可以这么干对外服务还是老实学一下标签规则因为 SELinux 挡住的很多是真实攻击路径直接关掉等于少了一层防护。6.4 我踩过的几个真实坑坑一改完DocumentRoot但忘了改Directory。结果就是浏览器打开还是默认的欢迎页面或者直接 403。原因是httpd.conf里有一段针对旧路径的Directory配置新的路径没有对应的授权块Apache 默认拒绝。解决办法是把新的路径授权加上或者干脆把默认站点配置注释掉全部交给conf.d/下的虚拟主机接管。坑二访问日志里的客户端 IP 全是 127.0.0.1。一开始以为是被攻击了后来发现是前置了一层反向代理mod_remoteip没有配置。加上RemoteIPHeader X-Forwarded-For之后就正常了。坑三配置文件改了没生效。排查了半天发现改的是/etc/httpd/conf/httpd.conf里的一个被conf.d/下文件覆盖的指令。Apache 的加载顺序是主配置先读然后Include进来的文件后读后读的会覆盖先读的。记住这个顺序能省下大量时间。坑四磁盘满了但找不到大文件。前面提到的日志文件句柄没释放就是这种情况df -h显示使用率 100%du -sh /*加起来却只有一半。用lsof | grep deleted就能看到那些已经被删除但仍被进程持有的文件。重启对应服务就能释放。坑五证书更新后没有重载服务。证书文件换了但 Apache 还加载着旧证书。systemctl reload httpd是必要的收尾动作。重载和重启的区别在于重载不会中断正在处理的连接重启会所以能用reload就别用restart。最后再分享一个平时排查用的小技巧如果你不确定某个请求到底走了哪段配置、加载了哪个模块可以在虚拟主机里临时打开LogLevel debug配合RewriteLog风格的跟踪Apache 2.4 里是LogLevel alert rewrite:trace3看一眼请求的重写过程。定位完记得把级别调回去debug 级别的日志增长非常快留着它不关磁盘很快就撑不住了。