操作系统按完成后，使用下面脚本做一次初始化

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/os/personalise.sh | bash
			
			

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/web/nginx/stable/nginx.sh | bash
			
			

		
curl -s https://raw.githubusercontent.com/oscm/shell/master/queue/rabbitmq/rabbitmq-server-3.7.15.sh | bash		
		
			

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/lang/java/openjdk/java-1.8.0-openjdk.sh | bash
			
			

				
curl -s https://raw.githubusercontent.com/oscm/shell/master/lang/java/maven/apache-maven-3.6.1.sh | bash				
				
				

				
curl -s https://raw.githubusercontent.com/oscm/shell/master/lang/java/gradle/gradle-5.4.1.sh | bash				
				
				

前端开发会用到Node.js

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/lang/node.js/binrary/node-v12.4.0.sh | bash			
			
			

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/project/gitlab/gitlab.centos7.sh | bash			
			
			

Gitlab 配置请参考 《Netkiller Project 手札》

				
curl -s https://raw.githubusercontent.com/oscm/shell/master/project/gitlab/gitlab-runner.sh | bash				
				
				

				
yum localinstall jdk-8u212-linux-x64.rpm

curl -s https://raw.githubusercontent.com/oscm/shell/master/project/git.sh | bash
curl -s https://raw.githubusercontent.com/oscm/shell/master/lang/java/maven/apache-maven-3.6.1.sh | bash
				
				

定义 .history 文件格式，记录每一步操作，便于查看什么时间执行了什么命令

通过~/.bash_history文件记录系统管理员的操作记录，定制.bash_history格式

			
HISTSIZE=1000
HISTFILESIZE=2000
HISTTIMEFORMAT="%Y-%m-%d-%H:%M:%S "
export HISTTIMEFORMAT
			
			

看看实际效果

			
$ history | head
1 2012-02-27-09:10:45 do-release-upgrade
2 2012-02-27-09:10:45 vim /etc/network/interfaces
3 2012-02-27-09:10:45 vi /etc/network/interfaces
4 2012-02-27-09:10:45 ping www.163.com
			
			

临时文件不应该有执行权限

/tmp

			
/dev/sda3 /tmp ext4 nosuid，noexec，nodev，rw 0 
			
			

同时使用符号连接将/var/tmp 指向 /tmp

/dev/shm

			
none /dev/shm tmpfs defaults，nosuid，noexec，rw 0 0
			
			

以数据库为例,从安全角度考虑我们需要如下更改

			
chown mysql:mysql /usr/bin/mysql*
chmod 700 /usr/bin/mysql*
			
			

mysql用户是DBA专用用户, 其他用户将不能执行mysql等命令。

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/os/selinux.sh | bash				
			
			

对于某些文件没必要记录文件的访问时间，由其是在高并发的IO密集操作的环境下，通过两个参数可以实现noatime,nodiratime减少不必要的系统IO资源。

编辑/etc/fstab 添加 noatime,nodiratime 参数

			
/dev/sdb1 /www ext4 noatime,nodiratime 0 0
			
			

我一般分区规划是，/系统根分区,swap交换分区,/www数据分区，同时 禁止写入atime时间,因为/www频繁请求会影响IO

临时mount

			
mount -o remount,noatime,nodiratime /dev/sda3 /mnt/your
			
			

LABEL 方式

			
LABEL=/www /www ext3 defaults,noatime,nodiratime 1 1
			
			

UUID 方式

			
UUID=eeff3e86-7964-4a48-ac02-51ea167ea6b2 /www ext4 defaults,noatime,nodiratime 1 2
			
			

至此，Linux 的OS部分安装配置与优化完成。

btrfa 的快照功能非常适合快速备份

子卷功能比物理分区更灵活

			
[root@netkiller ~]# cat /etc/fstab 

#
# /etc/fstab
# Created by anaconda on Fri Nov 21 18:16:53 2014
#
# Accessible filesystems, by reference, are maintained under '/dev/disk'
# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info
#
UUID=6634633e-001d-43ba-8fab-202f1df93339 / ext4 defaults,barrier=0 1 1
UUID=786f570d-fe5c-4d5f-832a-c1b0963dd4e6 /srv btrfs defaults 1 1
UUID=786f570d-fe5c-4d5f-832a-c1b0963dd4e6 /var/lib/mongo  btrfs   noatime,nodiratime,subvol=@mongo 0 2
UUID=786f570d-fe5c-4d5f-832a-c1b0963dd4e6 /var/lib/mysql  btrfs   noatime,nodiratime,subvol=@mysql 0 2
UUID=786f570d-fe5c-4d5f-832a-c1b0963dd4e6 /www  btrfs   noatime,nodiratime,subvol=www 0 2			
			
			

这节主要讲与SSH有关的安全配置

			
PermitRootLogin no
			
				

			
MaxAuthTries 3
			
				

				
PubkeyAuthentication no
AuthorizedKeysFile /dev/null
				
				

			
PasswordAuthentication no
			
				

			
ChallengeResponseAuthentication yes
			
				

				
GSSAPIAuthentication no
#GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes
#GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
				
				

			
AllowTcpForwarding no
			
				

					# vim /etc/hosts.allow
					sshd:192.168.2.1,192.168.2.2

				

					# vim /etc/hosts.deny
					sshd:ALL
				

			
#!/bin/bash
########################################
# Homepage: http://netkiller.github.io
# Author: neo <netkiller@msn.com>
########################################
PIPE=/var/tmp/pipe
pidfile=/var/tmp/$0.pid
BLACKLIST=/var/tmp/black.lst
WHITELIST=/var/tmp/white.lst

LOGFILE=/var/log/secure
DAY=5
########################################

if [ -z "$( egrep "CentOS|7." /etc/centos-release)" ]; then
	echo 'Only for CentOS 7.x'
	exit
fi

if [ -f $BLACKLIST ]; then
	find $BLACKLIST -type f -mtime +${DAY} -delete
fi

if [ ! -f ${BLACKLIST} ]; then
    touch ${BLACKLIST}
fi

if [ ! -f ${WHITELIST} ]; then
    touch ${WHITELIST}
fi

for ipaddr in $(grep rhost ${LOGFILE} | grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" | sort | uniq -c | sort -r -n | head -n 10| awk '{print $2}')
do

    if [ $(grep -c $ipaddr ${WHITELIST}) -gt 0 ]; then
		continue
    fi

    if [ $(grep -c $ipaddr ${BLACKLIST}) -eq 0 ] ; then
		echo $ipaddr >> ${BLACKLIST}
        iptables -I INPUT -p tcp --dport 22 -s $ipaddr -j DROP
        #iptables -I INPUT -s $ipaddr -j DROP
    fi
done			
			
				

				
curl -s https://raw.githubusercontent.com/oscm/shell/master/os/ssh/config.sh | bash				
				
				

配置文件

		
ls  /etc/pam.d/
chfn         crond                login    passwd            remote    runuser-l          smtp          ssh-keycat  sudo-i       system-auth-ac
chsh         fingerprint-auth     newrole  password-auth     run_init  smartcard-auth     smtp.postfix  su          su-l
config-util  fingerprint-auth-ac  other    password-auth-ac  runuser   smartcard-auth-ac  sshd          sudo        system-auth
		
			

认证插件

		
ls /lib64/security/
		
			

			
auth required pam_tally2.so deny=3 onerr=fail unlock_time=300
			
				

			
# pam_tally2
Login           Failures Latest failure     From
root               14    07/12/13 15:44:37  192.168.6.2
neo                 8    07/12/13 15:45:36  192.168.6.2
			
				

			
# pam_tally2 -r -u root
Login           Failures Latest failure     From
root               14    07/12/13 15:44:37  192.168.6.2

# pam_tally2 -r -u neo
Login           Failures Latest failure     From
neo                 8    07/12/13 15:45:36  192.168.6.2
			
				

				
# cat  /etc/pam.d/sshd
#%PAM-1.0
auth required pam_tally2.so deny=3 onerr=fail unlock_time=300

auth	   required	pam_sepermit.so
auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    optional     pam_keyinit.so force revoke
session    include      password-auth
				
					

			
auth required pam_tally2.so deny=3 unlock_time=5 even_deny_root root_unlock_time=1800
			
				

			
auth       required     pam_listfile.so item=user sense=allow file=/etc/ssh/whitelist onerr=fail
			
				

			
# cat /etc/ssh/whitelist
neo
www
			
				

				
# cat /etc/pam.d/sshd
#%PAM-1.0
auth       required     pam_listfile.so item=user sense=allow file=/etc/ssh/whitelist onerr=fail
auth       required     pam_tally2.so deny=3 onerr=fail unlock_time=300

auth	   required	pam_sepermit.so
auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    optional     pam_keyinit.so force revoke
session    include      password-auth
				
					

			
auth       required     pam_listfile.so item=user sense=deny file=/etc/ssh/blacklist onerr=fail
			
				

			
account required pam_access.so
			
				

			
cat >>  /etc/security/access.conf << EOF

- : root : ALL EXCEPT 192.168.6.1
EOF
			
				

			
- : root : ALL EXCEPT 192.168.6.1 192.168.6.2
			
				

			
auth		required	pam_wheel.so use_uid
			
				

			
# usermod -G wheel www

# id www
uid=501(www) gid=501(www) groups=501(www),10(wheel)
			
				

			
$ su - root
Password:
su: incorrect password
			
				

每个服务器必须安装 NTP，以保证服务器的时间准确。

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/os/ntpd/ntpdate.sh | bash			
			
			

OpenJDK 1.8

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/lang/java/openjdk/java-1.8.0-openjdk.sh | bash			
			
			

OpenJDK 11

			
curl -s https://raw.githubusercontent.com/oscm/shell/master/lang/java/openjdk/java-11-openjdk.sh | bash			
			
			

Oracle Server JRE 1.8

http://java.oracle.com 下载 server-jre-8u212-linux-x64.tar.gz 然后运行下面安装脚本

			
#!/bin/bash
tar zxf server-jre-8u212-linux-x64.tar.gz*
mv jdk1.8.0_212 /srv/
ln -s /srv/jdk1.8.0_212 /srv/java

cat >> /etc/profile.d/java.sh <<'EOF'
export JAVA_HOME=/srv/java
export JAVA_OPTS="-server -Xms512m -Xmx8192m"
export CLASSPATH=$JAVA_HOME/lib:$JAVA_HOME/jre/lib:.
export PATH=$PATH:$JAVA_HOME/bin:$JAVA_HOME/jre/bin:
EOF

sed -i '117s/securerandom.source/#securerandom.source/' /srv/java/jre/lib/security/java.security
sed -i '117isecurerandom.source=file:/dev/./urandom' /srv/java/jre/lib/security/java.security

cat >> /etc/man.config <<EOF
MANPATH  /srv/java/man
EOF

alternatives --install /usr/bin/java java /srv/jdk1.8.0_212/bin/java 100 \
	--family java-1.8.0-server-jre \
	--slave /usr/bin/javac javac /srv/jdk1.8.0_212/bin/javac			
			
			

如果服务器上安装了多个 JAVA 版本，切换 JAVA 版本使用下面命令

			
alternatives --config java			
			
			

服务器上不要安装JDK，请使用 Server JRE. 服务器上根本不需要编译器，代码应该在Release服务器上完成编译打包工作。

理由：一旦服务器被控制，可以防止在其服务器上编译其他恶意代码并植入到你的程序中。

加入 -server 选项使 JRE 工作在服务器模式。

			
export JAVA_OPTS="-server -Xms512m -Xmx4096m  -XX:PermSize=64M -XX:MaxPermSize=512m"
			
			

-Xms 指定初始化时化的栈内存

-Xmx 指定最大栈内存

	提示
	Java 8 以后 -XX:PermSize 与 -XX:MaxPermSize 两个配置项被废弃

			
export JAVA_OPTS="-server -Xms512m -Xmx4096m"			
			
			

打开$JAVA_HOME/jre/lib/security/java.security文件，找到下面的内容：

			
securerandom.source=file:/dev/urandom
替换成
securerandom.source=file:/dev/./urandom
			
			

			
java -jar -Djava.rmi.server.hostname=192.168.0.1 -Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=911 -Dcom.sun.management.jmxremote.ssl=false -Dcom.sun.management.jmxremote.authenticate=false netkiller-1.0-SNAPSHOT.jar			
			
			

如果是云主机，配置 java.rmi.server.hostname=192.168.0.1 为内网IP地址，这样只能从内网监控 JVM

启动 jconsole

			
jconsole localhost:911
			
			

配置文件位置，默认application.properties是放在jar包中的，这样对于运维并不友好。通过spring.config.location可以制定外部配置文件，这样更便于运维。

--spring.config.location 指定配置文件

			
java -jar demo.jar --spring.config.location=/opt/config/application.properties
			
			

这样运维人员便于配置数据库链接，切换服务器等操作

默认日志文件

			
logging.path=/tmp 		# 日志目录默认为 /tmp
logging.file=spring.log # 日志文件名称，默认为spring.log
			
			

需要需要根据每个服务器的情况来指定日志存储的目录

			
java -jar spring-boot-app.jar --logging.file=/tmp/spring-2018-12-10.log			
			
			

不要使用root用户启动springboot，Java程序与C程序不同。nginx,httpd 使用root用户启动守护80端口，子进程/线程会通过setuid(),setgid()两个函数切换到普通用户。即父进程所有者是root用户，子进程与多线程所有者是一个非root用户，这个用户没有shell权限，无法通过ssh与控制台登陆系统。

Java 的JVM 是与系统无关的，是建立在OS之上的，你使用什么用户启动Springboot，那麽Springboot 就会继承该所有者的权限。

一旦 springboot 被攻击，黑客将会获得 root 权限，控制整个系统。

			
server.port=8080 # 监听端口			
			
			

服务器上有多个网卡的情况，需要指定一个网络适配器监听端口。

			
server.address=192.168.0.1 # 绑定的地址			
			
			

				
groupadd -g 80 daemon
adduser -o --home /daemon --shell /sbin/nologin --uid 80 --gid 80 -c "Web Server" daemon
				
				

				
chown daemon:daemon -R /srv/*
su - daemon -c "/srv/apache-tomcat/bin/startup.sh"
				
				

				
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

取消跳转
iptables -t nat -D PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

查看规则
iptables -t nat -L
				
				

			
server:
  shutdown: graceful			
			
			

系统默认 2048，这里 max-threads 是 4096 表示服务器最大连接数是 4096

							
server.tomcat.max-threads=4096 # 最大线程数				
			
			

空闲线程数，静止没有访问时，服务器保留的线程数。

			
server:
  tomcat:
    min-spare-threads: 20
    max-threads: 100
  connection-timeout: 20000		
			
			

配置 min-spare-threads 可以防止服务器静止的状态下，突然发起大量的链接请求导致系统没有响应。

			
server.tomcat.connection-timeout=20000
			
			

链接超时时间建议设置 60～20秒之间。

			
server:
  tomcat:
    connection-timeout: 300000
    accept-count: 1000
    max-threads: 4000
    min-spare-threads: 100
    max-connections: 10000
			
			

配置Openfeign超时时间

			
feign:
  httpclient:
    enabled: true
    connection-timeout: 120000  
  compression:
    request:
      enabled: true
      min-request-size: 1024   
			
			

有些版本的 Spring boot 默认并非 UTF-8 建议强制配置编码

			
spring.messages.encoding=UTF-8
server.tomcat.uri-encoding=UTF-8
spring.http.encoding.charset=UTF-8
spring.http.encoding.enabled=true
spring.http.encoding.force=true			
			
			

修改 Cookie 变量 JSESSIONID， 这个cookie 是用于维持Session关系。建议你改为PHPSESSID，防止黑客骚猫。

			
server.session.cookie.name=PHPSESSID
server.session.cookie.domain=.example.com
server.session.cookie.http-only=true
server.session.cookie.path=/				
			
			

注意不仅仅压缩 HTML 页面，配置 application/json 也可以压缩传输 JSON 数据

			
server.compression.enabled=true
server.compression.mime-types=application/json,application/xml,text/html,text/xml,text/plain,text/css,application/javascript
server.compression.min-response-size=1024	
			
			

feign 压缩传输

			 
feign:
  httpclient:
    enabled: true
    connection-timeout: 120000  
  compression:
    request:
      enabled: true
      min-request-size: 1024   			
			
			

上传文件尺寸限制，注意如果使用了 Nginx 代理 Springboot 同时也需要配置 Nginx 上传限制。

						
spring.servlet.multipart.max-file-size=2MB
spring.servlet.multipart.max-request-size=10MB
spring.http.multipart.enabled=false			
			
			

					
# REDIS (RedisProperties)
# Redis数据库索引（默认为0）
spring.redis.database=0
# Redis服务器地址
spring.redis.host=192.168.30.103
# Redis服务器连接端口
spring.redis.port=6379
# Redis服务器连接密码（默认为空）
spring.redis.password=
# 连接超时时间（毫秒）
spring.redis.timeout=0
# 连接池最大连接数（使用负值表示没有限制）
spring.redis.jedis.pool.max-active=8
# 连接池最大阻塞等待时间（使用负值表示没有限制）
spring.redis.jedis.pool.max-wait=-1
# 连接池中的最大空闲连接
spring.redis.jedis.pool.max-idle=8
# 连接池中的最小空闲连接
spring.redis.jedis.pool.min-idle=0			
			
			

下面是给配置服务器增加用户认证，访问配置服务器用户名config, 密码 s3cr3t

			
server.port=8888
spring.cloud.config.server.git.uri=/opt/config
security.user.name=config
security.user.password=s3cr3t			
			
			

为 eureka 增加HTTP认证，周泽任何人都能注册进来。

			
security.user.name=eureka
security.user.password=s3cr3t			
			
			

开发压缩传输

			
feign.compression.response.enabled=true
feign.compression.request.enabled=true
feign.compression.request.mime-types=text/xml,application/xml,application/json
feign.compression.request.min-request-size=2048
			
			

Feign metrics

			
feign.metrics.enabled=true			
			
			

超时时间

			
feign:
  client:
    config:
      default:
        connectTimeout: 300000
        readTimeout: 300000
  httpclient:
    enabled: true
    connection-timeout: 300000
  compression:
    request:
      enabled: true
      min-request-size: 1024			
			
			

worker_processes = CPU 数量

			
user www;
worker_processes 1;

error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;				
			
			

连接数配置

			
events {
    worker_connections  4096;
}				
			
			

隐藏nginx版本号可以有效的增加黑客攻击难度

			
vim /etc/nginx/nginx.conf

http {
...
server_tokens off;
}
			
			

			
	server {
		listen 443 ssl http2;
	
		ssl_certificate server.crt;
		ssl_certificate_key server.key;
	}
			
			

497 - normal request was sent to HTTPS

			
				#让http请求重定向到https请求

	server {
		listen 80;
		error_page 497 https://$host$uri?$args;
		rewrite ^(.*)$ https://$host$1 permanent;
	}
			
			

			
	server {
		listen 80
		listen 443 ssl http2;
	
		ssl_certificate server.crt;
		ssl_certificate_key server.key;
	
		error_page 497 https://$host$uri?$args;
	
		if ($scheme = http) {
			return 301 https://$server_name$request_uri;
		}
	}
			
			

gzip_types 压缩类型

				
	gzip_types text/plain text/css application/javascript text/javascript application/x-javascript text/xml application/xml application/xml+rss application/json;			
			
			

text/html 是 gzip_types 默认值，所以不要将text/html加入到gzip_types

			
	location ~ .*\.(htm|html|gif|jpg|jpeg|png|bmp|swf|ioc|rar|zip|txt|flv|mid|doc|ppt|pdf|xls|mp3|wma)$
	{
		expires 30d;
	}
	location ~ .*\.(js|css)$
	{
		expires 1h;
	}
			
			

client_max_body_size 上传文件尺寸限制

						
client_max_body_size 2M;				
			
			

两台服务器 server1，server2 相互备份

			
	upstream backend {
		server server1.example.com:8080;
		server server2.example.com:8080 backup;
	}
	server {
		location / {
			proxy_pass http://backend;
		}
	}
					
			
			

			
	upstream frontend {
		server server1.example.com:8080 backup;
		server server2.example.com:8080;
	}
	server {
		location / {
			proxy_pass http://frontend;
		}
	}
			
			

允许监控软件从 localhost 收集 nginx 状态信息

						
server {
    listen       80;
    server_name  localhost;

    location /status {
        stub_status on;
        access_log off;
        allow 127.0.0.1;
        deny all;
    }
}			
			
			

Spring Boot Actuator 是会泄漏一些环境变量等敏感信息，甚至可以通过 localhost:8080/actuator/shutdown 远程关闭服务器。所以需要禁止公网访问，只允许内部服务器采集信息。

			
	location ~ ^/actuator
	{
		allow 172.16.0.10;
		deny all;
	}
			
			

172.16.0.10 是监控服务器

			
/srv		服务器软件安装目录，例如 jdk
/opt		系统保留，可以用于安装软件，存储备份文件
			
			

应用程序放在/www目录下，一般是这样的结构。

			
/www/example.com/www.example.com
			
			

每次升级将压错包解压到 /www/example.com/目录下，www.example.com 是符号连接，连接到刚刚解压的目录。

这个可以实现通过符号连接在多个版本之间快速切换。

数据盘是指云主机额外增加一个磁盘，用于数据存储。

如果是阿里云可以使用下面脚本，自动化分区格式化为 Btrfs 格式的文件系统。

			
curl https://github.com/oscm/shell/blob/master/cloud/aliyun/xvdb.exp.sh | bash
			
			

程序运行一段时间后，可能会出现崩溃，异常退出，没有任何日志可以排查。

所以我们需要监控程序，一旦退出就重新启动。

保存到 master 分支根目录，命名为 .gitlab-ci.yml

			
#image: java:8
#image: maven:latest
#image: maven:3.5.0-jdk-8

variables:
  MAVEN_OPTS: "-Dmaven.repo.local=.m2/repository"

cache:
  paths:
    - .m2/repository/
    - target/

stages:
  - build
  - test
  - package

build:
  stage: build
  script: mvn compile

unittest:
  stage: test
  script: mvn test
  
  
package:
  stage: package
  script: mvn package
  artifacts:
    paths:
      - target/*.jar

			
			

保存在 master 分支根目录，命名为 Jenkinsfile

			
pipeline {
    agent {
        label "java-8"
    }
    stages  {
        stage("初始化") {
        	steps{
        	    sh 'apt install -y sshpass'
                sh 'sshpass -v'
        	}
        }
        stage("检出") {
            steps {
                checkout(
                  [$class: 'GitSCM', branches: [[name: env.GIT_BUILD_REF]], 
                  userRemoteConfigs: [[url: env.GIT_REPO_URL]]]
                )
            }
        }

        stage("编译") {
            steps {
                sh "mvn package -Dmaven.test.skip=true"
            }
        }

        stage("测试") {
            steps {
              	sh "mvn test"
            }
        }
        
        stage("保存构建产物") {
            steps {
                archiveArtifacts artifacts: 'target/*.jar', fingerprint: true
              	sh "ls -l target/*.jar"
            }
        }
        stage("部署"){
            parallel{
            	stage('stop') {
			         steps {
			            sh 'sshpass -p 123456 ssh -f www@www.netkiller.cn pkill -f java-project-0.0.2-SNAPSHOT'
			         }
			    }
			    stage('start') {
			         steps {
			            sh 'sshpass -p 123456 scp target/*.jar www@www.netkiller.cn:/opt/'
                	    sh 'sshpass -p 123456 ssh -f www@www.netkiller.cn java -jar /opt/java-project-0.0.2-SNAPSHOT.jar'
			          }
			    }	                
    	    }
    	}
    }
}
			
			

curl www.netkiller.cn:8080/actuator/health

				
neo@MacBook-Pro ~ % curl -s http://www.netkiller.cn:8080/actuator/health | jq
{
  "status": "UP"
}
		
			

			
management.endpoint.health.show-details=always			
			
				

			
neo@MacBook-Pro ~ % curl -s http://www.netkiller.cn:8080/actuator/health | jq
{
  "status": "UP",
  "details": {
    "diskSpace": {
      "status": "UP",
      "details": {
        "total": 250790436864,
        "free": 23556112384,
        "threshold": 10485760
      }
    }
  }
}