bianque-life · 服务器集群知识库

bianque-life 58分

角色副跳板 + DERP 中继 + 备注册中心(腾讯云 Debian,宝塔面板,业务最密集的一台) 系统Debian GNU/Linux 12 (bookworm),内核 6.1.0-50-amd64 公网地址待确认(腾讯云,主机名 VM-0-16-debian) 组网地址100.64.0.4(Tailscale 网络名 yunmaivpn) 运行时长16 天(采集于 2026-10-23) 资源磁盘占用 79.0% · 内存总 3.6Gi / 已用 2.9Gi / 可用 755Mi(偏紧) · 负载 0.15 0.21 0.20(正常,2核级负载) 健康分58 分

诊断要点

磁盘 79%(69G 用 55G),其中 /var/lib/docker 20G、/www 12G,接近告警线
内存可用仅 755Mi,Dify 全家桶 + Wildfire IM + MySQL + 宝塔同机,有 OOM 风险
负载正常,所有 docker 容器(vpg 旧容器除外)运行中
SSL 证书均由 certbot 管理,最早到期 2026-12-17,续期正常

风险清单

级别	风险项	详情	建议
高	MySQL 3306 监听 0.0.0.0 公网暴露	宝塔 MySQL 5.7.44 直接对公网监听,虽有密码但暴露面大	在 /www/server/mysql/my.cnf 设置 bind-address=127.0.0.1 并重启,或用安全组仅放行内网;命令:grep bind-address /www/server/mysql/my.cnf
高	宝塔面板 30752/888 端口公网暴露	BT-Panel 30752 与面板附属 nginx 888 对公网开放,面板是高频攻击目标	安全组限制来源 IP,或改绑 127.0.0.1 走 Tailscale 访问;开启面板安全入口
高	内存余量不足	3.6G 内存已用 2.9G,available 755Mi;Dify 13 个容器 + Java IM(-Xmx768M) + app(-Xmx256M) + MySQL 同机	为 Java 进程设 -XX:MaxRAMPercentage 或调低堆;考虑把 Dify 迁到独立机器;加 2G swap 兜底(当前未见 swap)
中	Wildfire IM 管理类端口公网暴露	18080(admin API)、5701(hazelcast)、8081、1883(MQTT) 均监听 *	安全组只放行 80/443/3478/51820,其余 18080/5701/8081/1883/8888 限内网
中	核心数据库无自动备份证据	宝塔计划任务约 40 个,多为 URL 访问;未见对 MySQL(wildfirechat/appdata)与 Dify Postgres 的定时 dump	增加每日 mysqldump + pg_dump 到 /www/backup 并异地同步;示例:0 3 * * * mysqldump -uroot -p$PW --all-databases \| gzip > /www/backup/mysql-$(date +\%F).sql.gz
中	3001/6001 Node 进程以 sudo nohup 手工拉起	bianque-admin 与 salary 后台非 systemd 托管,重启后不会自启,依赖人为 nohup	参考 yimai-tx 的 salary.service 写两个 unit 文件,纳入 systemd
中	磁盘 79% 且存在大量历史备份	/www/wwwroot 下多个 .bak 目录(如 video-prompt-generator.bak.20261010)、index.html 6 个版本、fnos64-backup 等	归档清理旧 bak;docker image prune -f 回收悬空镜像
低	exim4 本地邮件服务冗余	仅监听 127.0.0.1:25,基本无用	systemctl disable --now exim4
低	多版本 php-fpm(71-82)并存	宝塔历史遗留,均无活跃站点引用	确认后停用未用版本释放内存

级别

风险项

详情

建议

高

MySQL 3306 监听 0.0.0.0 公网暴露

宝塔 MySQL 5.7.44 直接对公网监听,虽有密码但暴露面大

在 /www/server/mysql/my.cnf 设置 bind-address=127.0.0.1 并重启,或用安全组仅放行内网;命令:grep bind-address /www/server/mysql/my.cnf

高

宝塔面板 30752/888 端口公网暴露

BT-Panel 30752 与面板附属 nginx 888 对公网开放,面板是高频攻击目标

安全组限制来源 IP,或改绑 127.0.0.1 走 Tailscale 访问;开启面板安全入口

高

内存余量不足

3.6G 内存已用 2.9G,available 755Mi;Dify 13 个容器 + Java IM(-Xmx768M) + app(-Xmx256M) + MySQL 同机

为 Java 进程设 -XX:MaxRAMPercentage 或调低堆;考虑把 Dify 迁到独立机器;加 2G swap 兜底(当前未见 swap)

中

Wildfire IM 管理类端口公网暴露

18080(admin API)、5701(hazelcast)、8081、1883(MQTT) 均监听 *

安全组只放行 80/443/3478/51820,其余 18080/5701/8081/1883/8888 限内网

中

核心数据库无自动备份证据

宝塔计划任务约 40 个,多为 URL 访问;未见对 MySQL(wildfirechat/appdata)与 Dify Postgres 的定时 dump

增加每日 mysqldump + pg_dump 到 /www/backup 并异地同步;示例:0 3 * * * mysqldump -uroot -p$PW --all-databases | gzip > /www/backup/mysql-$(date +\%F).sql.gz

中

3001/6001 Node 进程以 sudo nohup 手工拉起

bianque-admin 与 salary 后台非 systemd 托管,重启后不会自启,依赖人为 nohup

参考 yimai-tx 的 salary.service 写两个 unit 文件,纳入 systemd

中

磁盘 79% 且存在大量历史备份

/www/wwwroot 下多个 .bak 目录(如 video-prompt-generator.bak.20261010)、index.html 6 个版本、fnos64-backup 等

归档清理旧 bak;docker image prune -f 回收悬空镜像

低

exim4 本地邮件服务冗余

仅监听 127.0.0.1:25,基本无用

systemctl disable --now exim4

低

多版本 php-fpm(71-82)并存

宝塔历史遗留,均无活跃站点引用

确认后停用未用版本释放内存

项目(12)

名称	技术	用途	端口	状态
vpg 视频提示词生成器	Next.js 15+React+Tailwind+AWS S3 SDK,容器 node:24-slim	视频提示词生成 Web 应用	5000	运行中(vpg-new);旧容器 vpg 已退出
DERP 中继(derper-bianque)	docker fredliang/derper + 手动证书	为家庭 PVE/Tailscale 提供 DERP 中继	127.0.0.1:3443(经 pve.bianquezhiyin.cn/derp)	运行中
Dify LLM 平台	docker compose(dify-api/worker/web/plugin/weaviate/redis/postgres15 等 13 容器)	团队 LLM 应用/工作流平台	8190/8191(nginx)、5003(plugin)	运行中
OCtop 智能体平台	Python(octop venv)+ feishu 机器人	OCtop 智能体/机器人平台(oct.bianquezhiyin.cn/com)	8088	运行中
bianque-tea 官网备份站(含后台)	静态前端 + Node/Express(lowdb)	扁鹊有茶官网与后台 API 的备份站点	3001(后台API)	运行中
frps 内网穿透	frp(snowdreamtech/frps)	内网机器端口/网站外露(15667 yunjialk、8006 PVE、VNC 等)	7000 等(见 ports)	运行中
headscale VPN 控制端	docker headscale:0.29.3	自建 Tailscale 兼容组网控制服务器(yunmaivpn 网络)	8080(tcp)+3478/51820(udp)	运行中
node-registry 节点注册中心	FastAPI/uvicorn + nodes.json	内网机上报组网信息(备份中转站)	100.64.0.4:8905(仅内网)	运行中
salary 工资系统	Node http 原生 + JSON 文件存储	选择中医工资可视化(老板端编辑/员工端查看)	6001	运行中
wb-provision 开户编排	Python 标准库 http.server + sqlite3	麦子录音卡/私人助理套餐自动开户(对接 OCtop+飞书)	127.0.0.1:8090	运行中
运维工具与静态小站合集	Python/Node/Puppeteer/PHP/静态页	监控 agent、隧道、maizi 保活、octop 守护、体质H5、token 看板、PVE 监控页等	9101 等	运行中
麦子IM(Wildfire)	Java 8+WildfireChat(im+app 0.74)+python 代理	自建 IM 服务(麦子IM)国内节点	8888/8081/1883/18080/5701	运行中

名称

技术

用途

端口

状态

vpg 视频提示词生成器

Next.js 15+React+Tailwind+AWS S3 SDK,容器 node:24-slim

视频提示词生成 Web 应用

5000

运行中(vpg-new);旧容器 vpg 已退出

DERP 中继(derper-bianque)

docker fredliang/derper + 手动证书

为家庭 PVE/Tailscale 提供 DERP 中继

127.0.0.1:3443(经 pve.bianquezhiyin.cn/derp)

运行中

Dify LLM 平台

docker compose(dify-api/worker/web/plugin/weaviate/redis/postgres15 等 13 容器)

团队 LLM 应用/工作流平台

8190/8191(nginx)、5003(plugin)

运行中

OCtop 智能体平台

Python(octop venv)+ feishu 机器人

OCtop 智能体/机器人平台(oct.bianquezhiyin.cn/com)

8088

运行中

bianque-tea 官网备份站(含后台)

静态前端 + Node/Express(lowdb)

扁鹊有茶官网与后台 API 的备份站点

3001(后台API)

运行中

frps 内网穿透

frp(snowdreamtech/frps)

内网机器端口/网站外露(15667 yunjialk、8006 PVE、VNC 等)

7000 等(见 ports)

运行中

headscale VPN 控制端

docker headscale:0.29.3

自建 Tailscale 兼容组网控制服务器(yunmaivpn 网络)

8080(tcp)+3478/51820(udp)

运行中

node-registry 节点注册中心

FastAPI/uvicorn + nodes.json

内网机上报组网信息(备份中转站)

100.64.0.4:8905(仅内网)

运行中

salary 工资系统

Node http 原生 + JSON 文件存储

选择中医工资可视化(老板端编辑/员工端查看)

6001

运行中

wb-provision 开户编排

Python 标准库 http.server + sqlite3

麦子录音卡/私人助理套餐自动开户(对接 OCtop+飞书)

127.0.0.1:8090

运行中

运维工具与静态小站合集

Python/Node/Puppeteer/PHP/静态页

监控 agent、隧道、maizi 保活、octop 守护、体质H5、token 看板、PVE 监控页等

9101 等

运行中

麦子IM(Wildfire)

Java 8+WildfireChat(im+app 0.74)+python 代理

自建 IM 服务(麦子IM)国内节点

8888/8081/1883/18080/5701

运行中

网站(10)

域名	HTTPS	监听	后端	所属项目
www.bianqueyoucha.com(含 bianqueyoucha.com 80)	🔒	443/80	静态 /www/wwwroot/bianque-tea + /api/→127.0.0.1:3001 + /salary/→127.0.0.1:6001	bianque-tea官网
dify.bianquezhiyin.cn	🔒	443/80→8190	docker dify-nginx	Dify
maiziim.bianquezhiyin.cn	🔒	443/80	8888(app) + 8081(IM) + $wf_fs_upstream(/fs) + /sub/ 订阅 + /apkdl/ APK	麦子IM-Wildfire
oct.bianquezhiyin.cn / oct.bianquezhiyin.com	🔒	443/80	127.0.0.1:8088	OCtop
pve.bianquezhiyin.cn	🔒	443/80	/derp→127.0.0.1:3443(derper);bak 配置含 8006/frps 转发	DERP中继
pve-monitor.bianquezhiyin.cn	🔒	443/80	静态 /www/wwwroot/pve-monitor(php) + jssdk 反代 app.bianquezhiyin.com	pve-monitor
vpg.bianquezhiyin.cn	🔒	443/80	upstream vpg_backend(docker vpg-new:5000)	vpg
vpn.bianquezhiyin.cn	🔒	443/80→8080	headscale	headscale-VPN
yunjialk.bianquezhiyin.cn	🔒	443/80→15667	frps vhost 反代内网	frps内网穿透
fnos.bianquezhiyin.cn	⚠️无HTTPS	—	—	(废弃)

域名

HTTPS

监听

后端

所属项目

www.bianqueyoucha.com(含 bianqueyoucha.com 80)

🔒

443/80

静态 /www/wwwroot/bianque-tea + /api/→127.0.0.1:3001 + /salary/→127.0.0.1:6001

bianque-tea官网

dify.bianquezhiyin.cn

🔒

443/80→8190

docker dify-nginx

Dify

maiziim.bianquezhiyin.cn

🔒

443/80

8888(app) + 8081(IM) + $wf_fs_upstream(/fs) + /sub/ 订阅 + /apkdl/ APK

麦子IM-Wildfire

oct.bianquezhiyin.cn / oct.bianquezhiyin.com

🔒

443/80

127.0.0.1:8088

OCtop

pve.bianquezhiyin.cn

🔒

443/80

/derp→127.0.0.1:3443(derper);bak 配置含 8006/frps 转发

DERP中继

pve-monitor.bianquezhiyin.cn

🔒

443/80

静态 /www/wwwroot/pve-monitor(php) + jssdk 反代 app.bianquezhiyin.com

pve-monitor

vpg.bianquezhiyin.cn

🔒

443/80

upstream vpg_backend(docker vpg-new:5000)

vpg

vpn.bianquezhiyin.cn

🔒

443/80→8080

headscale

headscale-VPN

yunjialk.bianquezhiyin.cn

🔒

443/80→15667

frps vhost 反代内网

frps内网穿透

fnos.bianquezhiyin.cn

⚠️无HTTPS

—

(废弃)

数据库(5)

类型	库	备注
MySQL 5.7.44(宝塔)	待确认(root 密码在宝塔面板;Wildfire 配置引用 wildfirechat、appdata)	监听 0.0.0.0:3306,公网暴露,无备份证据
PostgreSQL 15-alpine(docker)	dify,dify_plugin	Dify 专用,容器内 5432 未映射宿主机
Redis 6-alpine(docker)	-	Dify 缓存/队列,仅容器网络
Weaviate 1.39.2(docker)	-	Dify 向量库
SQLite/文件库 -	wb-provision jobs.db,headscale sqlite,bianque-admin data.json,salary db.json,node-registry nodes.json	分散在各项目目录

类型

库

备注

MySQL 5.7.44(宝塔)

待确认(root 密码在宝塔面板;Wildfire 配置引用 wildfirechat、appdata)

监听 0.0.0.0:3306,公网暴露,无备份证据

PostgreSQL 15-alpine(docker)

dify,dify_plugin

Dify 专用,容器内 5432 未映射宿主机

Redis 6-alpine(docker)

Dify 缓存/队列,仅容器网络

Weaviate 1.39.2(docker)

Dify 向量库

SQLite/文件库 -

wb-provision jobs.db,headscale sqlite,bianque-admin data.json,salary db.json,node-registry nodes.json

分散在各项目目录

服务(13)

名称	用途	状态
systemd nginx(bt)	宝塔 nginx,全部站点反代入口	运行中
systemd mysqld(bt)	MySQL 5.7.44(wildfirechat/appdata)	运行中
systemd docker	承载 Dify(13容器)/vpg/headscale/derper/frps	运行中
systemd wf-im-server	Wildfire IM 服务端	运行中
systemd wf-app-server	Wildfire 应用服务端 app-0.74.jar(8888)	运行中
systemd wf-admin-proxy / wf-fs-proxy	IM 管理与文件上传代理	运行中
systemd bt / btwaf / bt_syssafe / monitor / site_total	宝塔面板及 WAF、站点统计	运行中
systemd tailscaled	Tailscale 组网(yunmaivpn)	运行中
systemd server-agent	自研监控上报(9101)	运行中
systemd wb-hk-tunnel	反向隧道到香港 hk-yunmai(19103→9101)	运行中
systemd(user) octop	OCtop 智能体平台(8088)	运行中
systemd(user) node-registry	节点注册中心 FastAPI(8905)	运行中
systemd exim4 / php-fpm-71~82 / iscsid	邮件/历史 PHP/存储组件(基本闲置)	运行中

名称

用途

状态

systemd nginx(bt)

宝塔 nginx,全部站点反代入口

运行中

systemd mysqld(bt)

MySQL 5.7.44(wildfirechat/appdata)

运行中

systemd docker

承载 Dify(13容器)/vpg/headscale/derper/frps

运行中

systemd wf-im-server

Wildfire IM 服务端

运行中

systemd wf-app-server

Wildfire 应用服务端 app-0.74.jar(8888)

运行中

systemd wf-admin-proxy / wf-fs-proxy

IM 管理与文件上传代理

运行中

systemd bt / btwaf / bt_syssafe / monitor / site_total

宝塔面板及 WAF、站点统计

运行中

systemd tailscaled

Tailscale 组网(yunmaivpn)

运行中

systemd server-agent

自研监控上报(9101)

运行中

systemd wb-hk-tunnel

反向隧道到香港 hk-yunmai(19103→9101)

运行中

systemd(user) octop

OCtop 智能体平台(8088)

运行中

systemd(user) node-registry

节点注册中心 FastAPI(8905)

运行中

systemd exim4 / php-fpm-71~82 / iscsid

邮件/历史 PHP/存储组件(基本闲置)

运行中

监听端口(24)

端口	进程	暴露面	用途
22	sshd	公网	SSH 登录(跳板)
888	nginx(宝塔)	公网	宝塔附属服务(如 phpMyAdmin)
1080	ssh -D	仅本机	本地 SOCKS 代理
1883	wildfire IM(java)	公网	MQTT 长连接
3001	node(bianque-admin)	仅本机	扁鹊有茶后台 API
3306	mysqld(宝塔 MySQL 5.7)	公网	wildfirechat/appdata 等库
3443	docker derper-bianque	仅本机	DERP 中继(pve.bianquezhiyin.cn/derp 反代)
5000	docker vpg-new	公网	video-prompt-generator(Next.js)
5003	docker dify-plugin-daemon	公网	Dify 插件守护
5701	wildfire IM(java hazelcast)	公网	集群通信(单机也开)
6001	node(salary)	仅本机	工资系统后端
8080	docker headscale	公网	Tailscale 组网控制端(vpn.bianquezhiyin.cn)
8081	wildfire IM(java)	公网	IM HTTP(route/api/im/admin)
8088	octop(python)	公网	OCtop 智能体平台(oct.bianquezhiyin.cn/com)
8090	wb-provision(python)	仅本机	WB 开户编排接口
8190	docker dify-nginx	公网	Dify Web 入口(dify.bianquezhiyin.cn 反代)
8191	docker dify-nginx(443)	公网	Dify HTTPS
8888	wildfire app-server(java)	公网	麦子IM 应用服务端(maiziim)
8889	fs_proxy.py	仅本机	IM 文件上传代理
8905	node-registry(uvicorn)	内网	节点注册中心(仅绑 Tailscale IP)
9101	server-agent(python)	公网	自研监控 agent(带 token)
18079	admin_proxy.py	仅本机	IM admin API 代理(→18080)
18080	wildfire IM(java)	公网	IM 管理端口(admin_proxy 18079 本机转此)
30752	BT-Panel	公网	宝塔面板

端口

进程

暴露面

用途

sshd

公网

SSH 登录(跳板)

888

nginx(宝塔)

公网

宝塔附属服务(如 phpMyAdmin)

1080

ssh -D

仅本机

本地 SOCKS 代理

1883

wildfire IM(java)

公网

MQTT 长连接

3001

node(bianque-admin)

仅本机

扁鹊有茶后台 API

3306

mysqld(宝塔 MySQL 5.7)

公网

wildfirechat/appdata 等库

3443

docker derper-bianque

仅本机

DERP 中继(pve.bianquezhiyin.cn/derp 反代)

5000

docker vpg-new

公网

video-prompt-generator(Next.js)

5003

docker dify-plugin-daemon

公网

Dify 插件守护

5701

wildfire IM(java hazelcast)

公网

集群通信(单机也开)

6001

node(salary)

仅本机

工资系统后端

8080

docker headscale

公网

Tailscale 组网控制端(vpn.bianquezhiyin.cn)

8081

wildfire IM(java)

公网

IM HTTP(route/api/im/admin)

8088

octop(python)

公网

OCtop 智能体平台(oct.bianquezhiyin.cn/com)

8090

wb-provision(python)

仅本机

WB 开户编排接口

8190

docker dify-nginx

公网

Dify Web 入口(dify.bianquezhiyin.cn 反代)

8191

docker dify-nginx(443)

公网

Dify HTTPS

8888

wildfire app-server(java)

公网

麦子IM 应用服务端(maiziim)

8889

fs_proxy.py

仅本机

IM 文件上传代理

8905

node-registry(uvicorn)

内网

节点注册中心(仅绑 Tailscale IP)

9101

server-agent(python)

公网

自研监控 agent(带 token)

18079

admin_proxy.py

仅本机

IM admin API 代理(→18080)

18080

wildfire IM(java)

公网

IM 管理端口(admin_proxy 18079 本机转此)

30752

BT-Panel

公网

宝塔面板