部署Linux服务器这件事凡是搞过几年运维的人大概都会遇到一个绕不过去的坎搭LNMP环境Linux Nginx MySQL PHP。说它是入门必修也好说是生产环境标配也罢这东西的门道其实比网上一堆一键脚本能告诉你的要多得多。今天我把自己这些年踩过的坑、摸索出来的流程完整写一遍从零开始把一个可用的LNMP环境手工搭起来每一步都讲清楚为什么这么干适合刚接触Linux部署的新手照着做也对已经会敲命令但没理清原理的同行有点参考价值。1. 项目概述与部署思路1.1 为什么LNMP是Web服务的经典组合LNMP这四个字母分别代表Linux操作系统、Nginx Web服务器、MySQL数据库、PHP动态脚本语言。这套组合之所以成为Web服务的事实标准核心在于它把静态文件处理、动态请求解析、数据存储三件事分得清清楚楚各有各的专长。Nginx处理静态文件和高并发连接的效率极高一个进程能扛住成千上万的并发连接但它在处理动态逻辑方面天生弱。而PHP-FPM正好负责把PHP代码解析成可执行逻辑处理完再交回Nginx返回给浏览器。MySQL则管数据的持久化存储和查询。三者各干各的强项组合起来就是一套性能、稳定性、可维护性都很均衡的Web服务方案。我见过不少刚开始学习部署的新手上来就敲yum install nginx mysql php然后又装各种插件最后发现PHP页面打不开、数据库连不上整个环境乱成一锅粥。原因很简单不知道怎么把Nginx请求转给PHP-FPM也不知道PHP-FPM怎么去连MySQL。这三者之间是通过明确的协议和配置串联的理解这种分工和串联关系比记住命令本身重要得多。1.2 部署方案选型与版本规划LNMP的部署方式主要有三种操作系统包管理直接装、用宝塔等面板工具一键装、手工下载源码编译安装。三种方式各有适用场景。用yum/dnf直接安装最省事缺点是软件版本通常比较老比如系统源里的PHP可能停留在7.x甚至更早而且Nginx官方源和系统源混在一起容易冲突。面板工具一键装速度最快但会把很多你不需要的组件一并装上后期做精细化调优和故障排查时反而碍事。源码编译虽然麻烦但胜在可控——每个模块、每个参数都能自己定制版本也能选到官方最新稳定版而且编译安装的路径清晰出问题的时候知道去翻哪个目录。我的做法是混合策略Nginx和PHP用源码编译安装版本可控性能参数可定制MySQL用官方仓库安装MySQL编译极其耗时耗资源仓库安装完全够用。这样既保证关键组件版本新、配置灵活又省去了编译MySQL那两三小时的折腾。采用的版本是Nginx 1.26稳定版、PHP 8.2、MySQL 8.0这套组合目前无论是社区支持还是生产应用都很成熟。1.3 部署前的整体规划动手之前先规划好目标避免中途反复改。本次部署的环境规划如下操作系统为Rocky Linux 9如果用的是CentOS Stream 9或RHEL 9方法和命令基本一致如果手里只有CentOS 7的旧机器建议先升级系统或者换台新系统PHP 8.2和MySQL 8.0在旧系统上的兼容性问题比较多。业务目录统一放在/var/www下源码包下载到/usr/local/src组件安装到/usr/local下各自独立目录。运行用户统一用www权限管理简单清晰避免后面PHP-FPM和Nginx因为权限问题互相别扭。网络方面服务器IP按实际规划填写需要提前放行80端口HTTP和443端口HTTPS这是对外提供Web服务的基础。后面每装完一个组件就单独验证一次而不是全部装完再一起调这样排查问题范围小得多。2. 环境准备与基础配置2.1 系统更新与基础依赖安装新服务器到手第一件事永远是更新系统软件包。这不仅仅是为了拿到安全补丁更重要的是让系统内建的软件包索引和依赖关系和当前官方仓库保持同步后面装任何东西都会顺畅很多。dnf update -y dnf install -y vim wget tar gcc gcc-c make pcre-devel zlib-devel openssl-devel libxml2-devel libxslt-devel gd-devel这些依赖看着多其实每个都有明确用途。gcc和gcc-c是编译源码的编译器没有它整个部署直接停摆。pcre-devel是Nginx支持正则表达式所必需的库做URL重写rewrite功能时必须用到。openssl-devel提供SSL相关的头文件给Nginx编译HTTPS模块http_ssl_module时要用。zlib-devel是Nginx响应内容Gzip压缩的基础库。后面编译PHP时需要的libxml2-devel和gd-devel也在这里一起装好省得编译PHP到一半报缺依赖再回头补装。注意编译安装的最大成本就是依赖。务必用dnf check-update确认这些基础包都装好了再继续缺一个包后面编译报错时排查起来比较耗时。2.2 创建专用运行用户和目录结构Nginx和PHP-FPM都以root身份启动但真正干活时建议降权到普通用户这是一条基本的安全准则。如果以root身份运行PHP一旦代码有漏洞被利用后果就是整个服务器被接管。groupadd www useradd -g www -s /sbin/nologin www mkdir -p /var/www/default mkdir -p /var/log/nginx mkdir -p /data/backup chown -R www:www /var/www这里给www用户指定的shell是/sbin/nologin表示该用户无法直接登录系统只能作为服务运行账户存在这是运维上的标准做法。以后所有的Web项目都放到/var/www下面维护方便备份也只要盯这一个目录。2.3 防火墙与系统安全策略系统默认的firewalld会拦截未放行的端口很多新手在这里栽跟头服务本身明明启动正常外部访问却死活不通。先把80和443端口放行同时检查SELinux策略。firewall-cmd --permanent --add-servicehttp firewall-cmd --permanent --add-servicehttps firewall-cmd --reloadSELinux默认是 enforcing 模式会限制Nginx访问非标准目录、PHP-FPM读写文件等行为。生产环境按规范建议写好SELinux策略但对个人学习环境或初期上线的服务器把SELinux临时放宽松setenforce 0或者直接修改/etc/selinux/config设置为disabled能省去大量排查时间。我见过太多因为SELinux拦截导致Nginx返回403的例子排查到最后才发现不是配置问题而是SELinux在中间捣乱。配置完建议把系统快照或镜像存一下后面任何一步折腾坏了都能快速恢复。这一步看着不起眼实际节省的时间成本不可估量。3. Nginx部署与核心配置3.1 源码编译安装Nginx去Nginx官网下载区找到稳定版源码包目前推荐1.26.x系列。下载后解压进入源码目录直接编译。cd /usr/local/src wget https://nginx.org/download/nginx-1.26.2.tar.gz tar zxf nginx-1.26.2.tar.gz cd nginx-1.26.2 ./configure --prefix/usr/local/nginx \ --userwww --groupwww \ --with-http_ssl_module \ --with-http_v2_module \ --with-http_realip_module \ --with-http_stub_status_module \ --with-pcre make make install编译参数里--userwww --groupwww指定Nginx的子进程以www身份运行。http_ssl_module是HTTPS支持http_v2_module是HTTP/2加速支持现在新部署的站点几乎都要求HTTPS这两个模块必须提前编进去。http_stub_status_module提供/nginx_status监控页后面排查Nginx连接数时要靠它。http_realip_module用于在Nginx后面再接一层负载均衡或CDN时获取真实客户端IP一次性配全免得以后升级二进制。编译过程中如果报错提示缺某个头文件基本就是前面dnf install时漏了对应的-devel包按报错信息去补装再重新configure即可。3.2 核心配置与虚拟主机安装完成后Nginx主配置文件在/usr/local/nginx/conf/nginx.conf。不要急着堆配置先把主配置文件里的关键参数理解清楚。最核心的是worker_processes官方建议设为CPU核心数——可以先用nproc查出核数再填比如8核就填8这样每个worker进程都能跑满一个核心。events块里的worker_connections是老生常谈的参数它决定每个worker能同时处理的连接数配合worker_processes就决定整个Nginx的并发上限。默认1024偏小我一般调到4096或者更高前提是服务器内存够用。虚拟主机配置建议独立放在conf/conf.d/目录里主配置里用include conf.d/*.conf;引入这样做的好处是每个站点独立成文件互不影响维护时无需动主配置。以下是一份最精简的PHP虚拟主机配置样板server { listen 80; server_name localhost; root /var/www/default; index index.php index.html; access_log /var/log/nginx/default.access.log; error_log /var/log/nginx/default.error.log; location / { try_files $uri $uri/ /index.php?$query_string; } location ~ \.php$ { fastcgi_pass unix:/run/php-fpm/www.sock; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; include fastcgi_params; } }这段配置里的关键点在于location ~ \.php$块。当浏览器请求一个以.php结尾的URL时Nginx会把请求转发给unix:/run/php-fpm/www.sock这个Unix socket也就是后文将要部署的PHP-FPM监听的地址。fastcgi_param SCRIPT_FILENAME这行指定了PHP脚本在服务器上的实际路径$document_root对应root配置项$fastcgi_script_name对应请求的URL路径。这两者拼接起来PHP-FPM才能知道去哪个目录下找哪个文件来执行。很多PHP文件能访问但执行不了都是因为这一行路径写错了。3.3 启动验证与开机自启编译安装的Nginx不在systemd的服务列表里需要手动写一个服务文件否则服务器重启后Nginx不会自动拉起。/usr/local/nginx/sbin/nginx -t /usr/local/nginx/sbin/nginx-t会先检查配置语法是否正确输出test is successful再放心启动。然后注册成服务实现开机自启cat /usr/lib/systemd/system/nginx.service EOF [Unit] Descriptionnginx - high performance web server Afternetwork.target [Service] Typeforking ExecStart/usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf ExecReload/usr/local/nginx/sbin/nginx -s reload ExecStop/usr/local/nginx/sbin/nginx -s quit PrivateTmptrue [Install] WantedBymulti-user.target EOF systemctl daemon-reload systemctl enable --now nginx systemctl status nginx这里有个坑因为Nginx的master进程启动后会fork出worker进程所以服务文件的Type必须设成forking才会正确判断服务是否启动成功。如果设成simplesystemd会一直停留在启动状态或者误判失败。验证完systemctl status再用curl -I http://localhost看返回头能拿到200或者403都是正常的403说明还没放置任意默认页面只要不是connection refused就说明Nginx已经在正常监听了。4. MySQL部署与初始化4.1 官方仓库安装MySQL 8.0MySQL的编译安装极其耗时性价比不高。用MySQL官方提供的Yum仓库来安装既稳定又省心。先添加官方源再安装dnf install -y https://dev.mysql.com/get/mysql80-community-release-el9-1.noarch.rpm dnf install -y mysql-community-server安装后启动数据库并检查初始状态systemctl start mysqld systemctl enable --now mysqld grep temporary password /var/log/mysqld.logMySQL 8.0首次启动时会自动生成一个临时root密码日志里有明确记录。这个密码必须以引号完整复制出来因为里面往往带着各种特殊字符手动输极易漏掉。有了临时密码后第一件事永远是执行安全初始化脚本mysql_secure_installation这个脚本会一步步引导修改root密码、删除匿名用户、禁止root远程登录、清理测试库。安全策略默认要求密码包含大小写字母、数字和特殊字符长度至少8位。我见过有人急着把密码设得特别简单结果被MySQL的密码验证插件直接拒绝这不是配置问题是策略限制要么设一个符合规则的强密码要么在配置文件里调低validate_password策略建议前者毕竟这是数据库服务器的第一道防线。4.2 创建业务数据库与专用账号数据库跑起来之后不建议直接用root跑业务因为root权限过大一旦业务侧代码有SQL注入漏洞攻击者可以直接拖库或者删库。标准做法是给业务单独建一个库、单独建一个账号权限只给该库范围。CREATE DATABASE IF NOT EXISTS appdb DEFAULT CHARSET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER appuserlocalhost IDENTIFIED BY YourStrongPassword2026; CREATE USER appuser127.0.0.1 IDENTIFIED BY YourStrongPassword2026; GRANT ALL PRIVILEGES ON appdb.* TO appuserlocalhost; GRANT ALL PRIVILEGES ON appdb.* TO appuser127.0.0.1; FLUSH PRIVILEGES;注意这里我反复给localhost和127.0.0.1两个主机都创建了账号。实际生产经验是PHP-FPM连接数据库时有时解析host会走到localhost有时会走到127.0.0.1如果只授权了其中一个就会遇到本地程序连接数据库被拒绝、其他主机却能正常访问的怪象。两个都授权能省一个隐形坑。utf8mb4字符集一定要选它不是utf8。utf8在MySQL里最多存3字节碰到emoji等生僻符号会报错或乱码utf8mb4才是完整的Unicode支持方案。数据库监听地址默认绑定在127.0.0.1这是最安全的配置。如果业务只需要本机PHP连接保持默认不要改。只有明确需要从其他机器连数据库的时候才去修改/etc/my.cnf里的bind-address0.0.0.0同时还要配合防火墙放行3306端口——这一步非常容易被忽略改完配置起服务发现连不上十有八九是防火墙拦了3306。另外MySQL 8.0默认的认证插件是caching_sha2_password旧版的PHP扩展比如5.x时代的mysqlnd可能连不上好在PHP 8.2自带的mysqlnd驱动已经完全兼容这个坑基本不用再关心。4.3 连接性能验证数据库和账号都就绪后先用命令行客户端做一次真实连接测试排除账号密码和权限问题mysql -uappuser -pYourStrongPassword2026 -h 127.0.0.1 -e SHOW DATABASES;能正常列出appdb和信息库说明账号没问题。这里有个小习惯测试连接时用-h 127.0.0.1而不是-h localhost因为后者走的是Unix socket连接前者才是真正的TCP连接。PHP-FPM连MySQL时走的是TCP所以这一步测试才能代表线上真实链路。5. PHP解析环境部署与联动配置5.1 PHP源码编译与扩展选择PHP是整个LNMP环境里配置最繁琐、参数最多的一环。下载PHP 8.2或8.3的源码包后进入源码目录执行configure。以下是一组经过验证的编译参数兼顾常用功能与性能cd /usr/local/src wget https://www.php.net/distributions/php-8.2.20.tar.gz tar zxf php-8.2.20.tar.gz cd php-8.2.20 ./configure --prefix/usr/local/php \ --with-config-file-path/usr/local/php/etc \ --with-fpm-userwww --with-fpm-groupwww \ --enable-fpm \ --enable-mysqlnd \ --with-mysqlimysqlnd \ --with-pdo-mysqlmysqlnd \ --enable-mbstring \ --with-zlib \ --with-openssl \ --enable-opcache \ --enable-gd这些参数里--with-config-file-path指定php.ini的存放位置这个路径务必记好后面启动PHP-FPM时如果提示找不到配置文件就要去这个目录下操作。--with-mysqlimysqlnd和--with-pdo-mysqlmysqlnd两种MySQL连接方式都启用因为现在主流框架有的用PDO、有的用mysqli都支持才能应对不同项目。--enable-fpm是必须的它是PHP-FPM进程管理的开关。--enable-opcache对应PHP的字节码缓存官方Zend OPcache模块开启后PHP脚本不需要每次请求都重新编译一遍性能提升不是百分之几的级别而是成倍的级别生产环境必须开。编译完执行make -j$(nproc)用多核并行编译能大幅缩短时间大概5-10分钟就能完成。然后make install安装到/usr/local/php目录。5.2 PHP-FPM服务配置安装完成后PHP源码包里带着一份官方推荐配置样例把它拷贝为真正的配置文件cp /usr/local/php/etc/php-fpm.conf.default /usr/local/php/etc/php-fpm.conf cp /usr/local/php/etc/php-fpm.d/www.conf.default /usr/local/php/etc/php-fpm.d/www.conf cp /usr/local/src/php-8.2.20/php.ini-development /usr/local/php/etc/php.ini生产环境建议拷贝php.ini-production它会自动关掉开发环境的暴露信息。如果贪图方便用development版本记得把display_errors改成Off——线上开着错误显示等于把服务器目录结构、数据库报错全裸奔给攻击者看。www.conf里要重点检查listen配置listen /run/php-fpm/www.sock listen.owner www listen.group www listen.mode 0660 user www group www注意我写在Nginx配置里的fastcgi_pass是unix:/run/php-fpm/www.sock这里PHP-FPM的listen必须完全一致否则Nginx找不到socket文件返回502 Bad Gateway。listen.owner和listen.mode是很多新手忽略的坑——socket文件默认归root所有权限不够时Nginx的www用户无法通过socket与PHP-FPM通信会出现PHP文件下载而不是执行的诡异现象。这里显式指定owner和mode直接避免这个权限问题。5.3 PHP-FPM与MySQL、Nginx的联动验证PHP-FPM也写一个systemd服务跟之前Nginx的处理方式一致这里不再重复贴文件内容核心是TypeforkingExecStart指向/usr/local/php/sbin/php-fpm即可。启动后必须验证三件事第一PHP-FPM进程是否正常监听socketss -lunx | grep php-fpm第二在网站根目录创建一个探针文件?php phpinfo(); ?浏览器访问http://服务器IP/info.php如果页面正常显示出PHP版本、配置项、扩展列表说明Nginx到PHP-FPM这条链路已经通了。如果显示源码而不是渲染后的页面说明fastcgi_pass或SCRIPT_FILENAME路径配置有问题。第三验证PHP到MySQL的连通性这是LNMP三个组件之间最后的一环?php $conn new mysqli(127.0.0.1, appuser, YourStrongPassword2026, appdb); if ($conn-connect_error) { die(连接失败: . $conn-connect_error); } echo 数据库连接成功; $conn-close(); ?三环验证全过整个LNMP环境就算真正部署完成了。6. 常见问题排查与实践记录6.1 部署验证测试完整部署完成后的第一件事不是急着上线业务而是做一轮全面的功能验证。我会依次检查Nginx是否开机自启、PHP-FPM是否开机自启、MySQL是否开机自启HTTP端口外网是否可访问、PHP探针页是否正常渲染数据库连接是否正常、读写权限是否受限系统资源使用情况有没有异常偏高。每一项确认无误后再做一次模拟重启的测试——直接把服务器重启看所有服务是否都自动拉起来。这一步千万不要省我踩过不只一次systemctl enable后仍然没有自启的坑多半是服务文件里Type类型写错或者依赖了未启动的网络服务。全部验证通过后建议给这套部署过程留一份简单的手工操作笔记沉淀下来。记录的要点包括安装的版本号、重要的配置项及其含义、各种常用路径、默认账号密码清单。下次再部署或迁移时这份笔记能帮你省掉大量回忆的时间。6.2 高频故障排查速查表LNMP环境日常运维中有些故障出现频率极高很多都是同一个原因导致的。下面这份速查表来自实际运维中重复遇到最多的问题。现象可能原因快速排查命令页面打不开浏览器报502PHP-FPM未启动或socket路径不匹配systemctl status php-fpmss -lunx grep php-fpm访问.php文件直接下载fastcgi配置缺失或Nginx未加载PHP模块nginx -t检查server块里是否有location ~ \.php$MySQL连接报Access denied账号密码错误或授权host不匹配用命令行客户端实际测试连接检查GRANT授权范围外部访问不通但本机能访问防火墙未放行该端口firewall-cmd --list-all检查80/3306端口Nginx日志显示Permission denied目录权限不足或SELinux拦截ls -ld /var/wwwgetenforce必要时chown -R www:wwwPHP页面能开但执行出错PHP缺少必要扩展或display_errors被关php -m查看模块列表临时打开display_errors看报错数据库操作报utf8mb4相关错误字符集配置不一致检查库表字符集及PHP连接时charset设置504 Gateway TimeoutPHP-FPM处理超时请求积压调大request_terminate_timeout或优化PHP代码有个在实际操作中很容易忽略的地方php-fpm的pm.max_children参数如果设小了一旦并发请求上来PHP-FPM进程池被占满Nginx这边就会大量报502。这个时候第一反应别想着改Nginx配置先去/usr/local/php/var/log/php-fpm.log看进程池日志确认是不是这个参数的问题。这个错误在系统资源充足但压测报错时极难排查。6.3 性能与安全的基线建议部署完成只是起点LNMP上线前建议再花一点时间做性能和安全的基线调整。性能方面Nginx的worker_processes按CPU核数设置worker_connections按需调高到4096。PHP开启OPcache后在php.ini里设置opcache.memory_consumption128opcache.max_accelerated_files4000opcache.validate_timestampsOff仅生产环境可关闭开发环境保持On便于改动即时生效。MySQL的innodb_buffer_pool_size设为物理内存的60%-70%这是数据库性能影响最大的一个参数默认128M对8G内存的机器远远不够但也不要盲目调大给操作系统和PHP留够内存。安全方面PHP探针文件在验收后务必立即删除。这个文件一旦留在线上暴露出去服务器版本、配置信息全部一览无余。MySQL的3306端口尽量保持仅本机监听。定期用dnf update更新系统补丁同时设置日志切割——Nginx的access_log会随时间越滚越大不处理会把磁盘撑爆可以用logrotate来做日志归档Linux系统自带该工具配置一下/etc/logrotate.d/nginx即可。我个人的经验是部署LNMP这件事本质上不是Linux命令的堆砌而是三件事的贯穿知道每个组件负责什么知道它们之间用什么方式通信知道出问题后去哪看日志、用什么命令定位。这三个维度想清楚了就基本可以应对绝大多数线上环境了。最后分享一个我觉得特别好用的小习惯每次部署完成我都会用history导出这次的完整命令行记录存成一份markdown笔记放在本地。格式大概是“哪一步用了什么命令、为什么要这么写、出了什么错、怎么解决的”。后来做服务器巡检和迁移时翻这个笔记比翻任何官方文档都顺手——这大概就是运维工作最有沉淀感的地方了。