Ubuntu Server安装时如何选择适合Web服务的最小化安装方案？

在 Ubuntu Server 上部署 Web 服务，追求“最小化”不仅仅是为了省那点磁盘空间或内存，核心逻辑是减少攻击面（Attack Surface）和降低资源开销。

很多新手甚至部分老手容易陷入一个误区：觉得装完系统直接 apt install nginx/apache 就行。但在生产环境或追求极致的场景下，这种“默认安装”往往带入了大量不需要的后台服务、日志轮转机制、甚至图形界面依赖库。

以下是基于实际运维经验总结的几种不同层级的“最小化”方案，按推荐程度排序：

1. 基础原则：从源头切断冗余

无论选择哪种方案，第一步必须是正确的安装介质选择。

• 不要下载 ISO Installer：除非你非要通过图形界面一步步点选。
• 使用 Netboot (网络启动) 或 Minimal ISO：
  • Netboot: 体积只有几 MB，安装过程中只加载最核心的组件。这是真正的“最小化”。
  • Minimal ISO: 官方提供的精简镜像，通常包含 base 包组，没有预装任何桌面环境或开发工具链。

关键点：在安装阶段，如果看到“Install OpenSSH server”、“Standard system utilities”等选项，除了 SSH 必须勾选外，其他全部取消勾选。特别是不要勾选“LAMP stack”或“Mail server”，这些是一键安装的陷阱，会引入 MySQL、PHP、Postfix 等一堆你可能根本用不到的东西。

2. 方案一：Docker/Containerd + Alpine/Ubuntu Base (当前主流最佳实践)

如果你是在云服务器（ECS/CVM/Tencent Cloud CVM 等）上部署，这是目前最干净、最可控的方案。

核心思路：操作系统本身只负责运行容器引擎，Web 服务完全隔离在容器中。

• 安装步骤简述：

  1. 安装 Ubuntu Server Minimal。
  2. 安装 Docker 或 Podman（推荐 Docker，生态成熟）。
  3. 拉取官方 Nginx/Alpine 镜像。

• 为什么这是“最小化”？

  • 宿主系统纯净：你的 Ubuntu 主机上除了内核、Docker 守护进程和几个必要的脚本，没有任何 Web 相关的二进制文件。
  • 安全隔离：即使 Nginx 出现漏洞，攻击者也只能进入容器内部，无法直接获取宿主机 Root 权限（前提是配置了非 Root 用户运行容器）。
  • 资源极低：你可以轻松跑起几十个 Nginx 容器，而宿主机内存占用几乎不变。

• 适用场景：所有新建的 Web 服务项目，尤其是微服务架构。

3. 方案二：裸机 Nginx/Apache + Systemd (传统但高效)

如果你因为某些原因（如性能极致优化、特定硬件驱动、合规要求）不能或不想用容器，那么直接在宿主机构建是最小化的关键。

核心思路：手动编译或使用精简配置，移除所有不必要的模块和服务。

A. 软件选择：Nginx > Apache

对于纯静态或反向XX场景，Nginx 的资源占用远低于 Apache。Apache 的模块化设计虽然灵活，但默认加载的模块较多，且多进程模型在并发高时内存消耗大。Nginx 事件驱动模型更适合轻量级部署。

B. 安装与精简技巧

1. 安装：

   sudo apt update
   sudo apt install nginx -y

   注意：这里不要加 nginx-extras 或其他变体包。

2. 禁用无用服务：
   检查并停止/禁用非必需的系统服务：

   # 查看活跃服务
   systemctl list-units --type=service --state=active
   
   # 常见可禁用的服务（根据实际需求判断）：
   systemctl disable bluetooth.service
   systemctl disable ModemManager.service
   systemctl disable ufw.service  # 如果你打算用云厂商的安全组代替防火墙

3. Nginx 配置优化（真正体现“最小化”的地方）：

   • worker_processes: 设置为 auto 或明确指定为 CPU 核心数。
   • events: worker_connections 根据内存调整，一般 1024-4096 足够。
   • http 块：
     • 关闭 server_tokens：防止泄露 Nginx 版本信息。
     • 移除不必要的模块：编译时或通过动态模块管理，确保只加载 ngx_http_core_module, ngx_http_static_module, ngx_http_gzip_module 等核心模块。
     • 日志轮转：配置 logrotate 仅针对 access.log 和 error.log，避免无限增长占满磁盘。

4. 前端应用：

   • 如果是 Node.js/Python/Go 应用，建议使用 systemd 管理进程，而不是用 PM2 或 Gunicorn 等额外工具（除非必要）。编写一个简单的 .service 文件即可，实现开机自启、崩溃重启、日志输出到 journalctl。

4. 方案三：极简 Linux 发行版替代 (极端情况)

如果 Ubuntu 对你来说还是太重了，可以考虑以下替代方案：

• Debian Minimal: Debian 比 Ubuntu 更保守，默认安装的包更少，稳定性极高。很多资深运维更喜欢在 Debian 上装 Nginx，因为它没有 Ubuntu 特有的 snap 包依赖和 cloud-init 初始化脚本带来的额外开销。
• Alpine Linux: 如果你需要极致的小巧（镜像几百 MB），Alpine 是基于 musl libc 和 busybox 的。但缺点是兼容性较差（glibc vs musl），很多开源软件（如某些 Python 库、Java 应用）可能需要额外折腾才能跑起来。不建议用于生产环境的核心业务，仅适合临时测试或边缘节点。

5. 避坑指南：这些“优化”千万别做

1. 不要删除 /usr/bin 下的命令：比如你以为 rm 没用就删了，结果导致系统维护困难。最小化不是乱删文件，而是不安装不需要的包。
2. 不要关闭 AppArmor/Selinux：安全加固不等于关闭安全机制。相反，你应该利用 AppArmor 限制 Nginx 只能访问其指定的目录，这才是真正的“最小权限原则”。
3. 不要过度优化内核参数：除非你有明确的压测数据支撑，否则默认的 TCP/IP 栈参数已经非常优秀。盲目修改 net.ipv4.tcp_tw_reuse 等参数可能导致连接不稳定。
4. 忽略云厂商的初始化脚本：阿里云 ECS、腾讯云 CVM 等都自带 cloud-init。在最小化安装时，可以选择不安装 cloud-init，但这意味着你将失去自动设置主机名、注入密钥、配置网络等功能。建议在安装时保留 cloud-init，但可以通过配置文件 (/etc/cloud/cloud.cfg.d/) 来禁用它后续执行的不必要操作。

总结建议

最终结论：
对于大多数互联网开发者而言，“Ubuntu Server Minimal 安装 + Docker” 是目前平衡了易用性、安全性和资源效率的最佳选择。它既避免了手动管理依赖的痛苦，又通过容器实现了真正的“最小化”运行环境。如果你坚持裸机部署，请确保只安装 Nginx，并通过 systemd 管理后端应用，同时严格审查 apt list --installed 的输出，剔除一切与 Web 服务无关的包。