服务器安全加固、Docker 部署与 MTR 网络排查
从首次登录到故障定位，按顺序准备备份、限制权限并验证服务。命令示例适用于 Debian / Ubuntu；执行前请核对系统版本及业务影响。
首次登录与安全基线
先更新系统和建立非 root 管理账号，保存 SSH 公钥；在第二个会话确认密钥可登录后，再禁用密码登录。启用防火墙前放行当前 SSH 端口，保留控制台访问与可恢复备份。
sudo apt update
sudo apt upgrade
sudo adduser deploy
sudo usermod -aG sudo deploy
sudo ufw allow OpenSSH
sudo ufw status verbose部署 Docker 应用
根据 Docker 官方发行版文档安装 Engine 和 Compose 插件。镜像使用固定版本或摘要；不要向公网暴露 Docker socket，不要把数据库管理端口发布到 0.0.0.0。先在测试目录部署，再切换流量。
docker version
docker compose version
docker compose config --quiet
docker compose up -d
docker compose ps
docker compose logs --tail=100用 MTR 区分路由与服务问题
将示例中的 YOUR_SERVER_IP 替换为已授权测试的实例 IP。从本地到服务器测试去程，再从服务器到客户测试端点测试回程。中间跳丢包可能只是 ICMP 限速；只有后续跳及终点持续丢包才值得结合应用日志排查。
sudo apt install mtr-tiny
mtr -rwzc 50 YOUR_SERVER_IP
mtr --tcp --port 443 -rwzc 50 YOUR_SERVER_IP
curl -o /dev/null -sS -w 'dns=%{time_namelookup} connect=%{time_connect} ttfb=%{time_starttransfer} total=%{time_total}\n' https://YOUR_DOMAIN/备份、升级与工单
升级前创建离线可恢复备份，定期演练还原，并监控磁盘和证书到期。提交网络工单时附上测试时间及时区、源运营商、目标 IP、协议端口及脱敏后的 MTR；不要粘贴密码、令牌或客户个人信息。
df -h
free -h
systemctl --failed
journalctl -p err --since '1 hour ago'