Web集群精简运行环境的核心是“只留必要、关尽冗余”，需在服务层禁用bluetooth、cups等非业务服务，在网络层关闭非80/443端口，收紧Nginx监听配置，并通过Ansible统一集群策略，纳入CI/CD常态化校验。
Web集群精简运行环境的核心是“只留必要、关尽冗余”，重点在服务层和网络层双重收敛：既停掉不用的系统服务，也封掉非业务端口。HTTP（80）和HTTPS（443）必须保留，其余端口除非明确用于集群内部通信（如Redis 6379、MySQL 3306、Consul 8500等），否则一律关闭。
一、确认并清理非必要系统服务
集群节点上常驻的蓝牙、打印、远程桌面辅助等服务与Web业务无关，应彻底禁用：
- 执行 systemctl list-units --type=service --state=running 查看当前活跃服务
- 识别并停止常见冗余服务：bluetooth.service、cups.service、avahi-daemon.service、ModemManager.service
- 逐个禁用开机自启：systemctl stop bluetooth && systemctl disable bluetooth
- 对宝塔面板用户，进入【设置】→【常用设置】→【面板栏隐藏】，勾选关闭 WAF、邮局、多用户等非核心模块，减少后台进程
二、精准关闭非HTTP/HTTPS端口
不能仅靠防火墙“拦”，而要从根源“断”——先查端口归属，再决定是停服务还是封规则：
- 查端口占用：sudo lsof -i -P -n | grep LISTEN 或 ss -tuln
- 若端口由非业务服务监听（如25端口被postfix占用、22端口虽需SSH但建议改非标端口），直接停服务：systemctl stop postfix && systemctl disable postfix
- 若端口属业务组件但仅限内网访问（如Redis），用 bind 127.0.0.1 或配置 requirepass + protected-mode yes，而非开放到0.0.0.0
- 对确无归属或临时调试开的端口（如8080、8000、9000等），统一通过防火墙拒绝：ufw deny 8080（Ubuntu）或 firewall-cmd --permanent --remove-port=8000/tcp（CentOS）
三、强化Web服务器自身监听范围
Nginx 或 Apache 默认可能监听多个端口或通配地址，需收紧配置：
- Nginx 中检查 listen 指令，删除或注释掉非80/443行，例如：listen 8080; → 改为 #listen 8080;
- 确保 HTTPS 配置中 listen 443 ssl http2 后不带 default_server 以外的冗余标记
- 所有 server_name 块避免使用 server_name _; 这类通配，防止未匹配域名意外响应
- 重启生效：nginx -t && systemctl reload nginx
四、集群维度统一管控策略
单台精简不够，集群需一致策略，避免某节点成为薄弱入口：
- 将上述服务禁用、端口限制、Nginx配置项写入Ansible Playbook或Salt State，全量推送
- 在负载均衡器（如Nginx LB、HAProxy）前端启用严格ACL，只放行80/443，并拒绝其他端口的SYN包
- 启用内核参数加固：net.ipv4.tcp_syncookies = 1、net.ipv4.conf.all.rp_filter = 1，增强抗扫描能力
- 定期用脚本巡检：for port in $(seq 1 65535); do ss -tuln | grep ":$port" >/dev/null || continue; echo "$port: $(lsof -i :$port 2>/dev/null | head -1 | awk '{print $1}')" ; done | grep -v "nginx\|php-fpm\|mysqld"
不复杂但容易忽略的是：精简不是一次操作，而是纳入CI/CD部署流程的常态动作。每次新节点加入、镜像更新或配置变更，都应触发端口和服务基线校验。
