Rocky Linux 9部署Wetty：Web终端访问实践指南

1. 项目背景与核心价值

在Linux系统管理领域，基于Web的终端访问工具正逐渐成为运维人员的刚需。Wetty作为一款开源的Web终端模拟器，允许用户通过浏览器直接访问服务器命令行界面，这种访问方式在远程协作、教学演示、移动办公等场景下展现出独特优势。

Rocky Linux 9作为RHEL系的后起之秀，其稳定性和兼容性已得到广泛验证。在这个发行版上部署Wetty，相当于为服务器装上了"浏览器遥控器"——管理员无需SSH客户端，打开浏览器就能执行紧急维护；开发团队可以共享终端会话进行协同调试；教学场景下学员通过链接即可参与实践操作。这种部署组合特别适合需要灵活访问控制的云环境、容器平台以及教育机构的实验环境。

2. 环境准备与依赖安装

2.1 系统基础配置

首先确保Rocky Linux 9系统已完成基础更新：

bash复制sudo dnf update -y && sudo dnf upgrade -y

安装必要的开发工具链：

bash复制sudo dnf groupinstall "Development Tools" -y

注意：如果是在最小化安装的系统上操作，需额外安装以下基础包：

bash复制sudo dnf install -y curl wget git vim

2.2 Node.js环境部署

Wetty基于Node.js开发，推荐通过NodeSource仓库安装LTS版本：

bash复制curl -fsSL https://rpm.nodesource.com/setup_lts.x | sudo bash -
sudo dnf install -y nodejs

验证安装结果：

bash复制node -v  # 应输出v18.x或更高
npm -v   # 应输出9.x或更高

2.3 防火墙配置调整

开放Wetty默认的3000端口（生产环境建议修改为更高安全端口）：

bash复制sudo firewall-cmd --permanent --add-port=3000/tcp
sudo firewall-cmd --reload

3. Wetty部署与配置详解

3.1 基础安装流程

通过npm全局安装Wetty：

bash复制sudo npm install -g wetty --unsafe-perm

常见问题：若遇到权限错误，可尝试以下方案：

1. 使用--unsafe-perm参数绕过权限限制
2. 或先配置npm全局目录权限：

bash复制mkdir ~/.npm-global
npm config set prefix '~/.npm-global'
echo 'export PATH=~/.npm-global/bin:$PATH' >> ~/.bashrc
source ~/.bashrc

3.2 服务启动方式

直接启动（开发测试用）：

bash复制wetty --port 3000

生产环境推荐使用PM2进程管理：

bash复制sudo npm install -g pm2
pm2 start wetty -- --port 3000
pm2 save
pm2 startup

3.3 安全增强配置

建议修改的启动参数：

bash复制wetty \
  --port 34567 \                # 改用非常见端口
  --base /secretpath \          # 添加URL路径前缀
  --host 127.0.0.1 \            # 限制监听IP
  --title "Secure Terminal" \    # 自定义页面标题
  --ssh-user admin              # 固定登录用户

搭配Nginx反向代理可实现HTTPS加密：

nginx复制server {
    listen 443 ssl;
    server_name terminal.yourdomain.com;
    
    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;
    
    location /wetty {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }
}

4. 高级功能实现

4.1 多用户认证集成

通过PAM认证支持系统用户登录：

bash复制wetty --port 3000 --ssh-auth pam

结合LDAP的统一认证方案：

1. 确保系统已配置好LDAP客户端
2. 启动时添加--ssh-auth pam参数
3. 用户通过浏览器登录时将走系统PAM流程

4.2 会话持久化配置

使用tmux实现断线重连：

bash复制sudo dnf install -y tmux
wetty --port 3000 --command tmux new -A -s wetty

4.3 移动端适配技巧

修改/usr/lib/node_modules/wetty/public/assets/js/terminal.js：

javascript复制// 调整字体大小
term.setOption('fontSize', window.innerWidth < 768 ? 12 : 14);

// 优化触摸事件
term.on('touchstart', function(e) {
    // 自定义触摸处理逻辑
});

5. 运维监控与故障排查

5.1 服务健康监测

配置PM2监控面板：

bash复制pm2 monit

关键指标监控项：

• 内存使用量（应<500MB）
• 活跃会话数
• 平均响应时间

5.2 常见问题解决方案

5.3 性能优化建议

1. 启用gzip压缩：

   bash复制wetty --port 3000 --compress
   

2. 限制会话时长：

   bash复制wetty --port 3000 --timeout 3600
   

3. 调整终端缓冲区：

   bash复制wetty --port 3000 --rows 40 --cols 120
   

6. 安全加固方案

6.1 基础防护措施

• 定期更新依赖：

  bash复制sudo npm update -g wetty
  

• 禁用root直接登录：

  bash复制wetty --port 3000 --ssh-user nonrootuser
  

• 启用登录失败锁定：

  bash复制sudo dnf install -y fail2ban
  

6.2 审计日志配置

记录所有终端操作：

bash复制wetty --port 3000 --log /var/log/wetty.log

配合syslog实现集中管理：

bash复制sudo tee /etc/rsyslog.d/wetty.conf <<EOF
if $programname == 'wetty' then /var/log/wetty-audit.log
EOF
sudo systemctl restart rsyslog

6.3 网络层防护

使用fail2ban防御暴力破解：

ini复制[wetty]
enabled = true
filter = wetty
port = 3000
maxretry = 3
findtime = 3600
bantime = 86400

7. 实际应用场景案例

7.1 教育实验室环境

某高校Linux课程配置：

bash复制wetty \
  --port 4000 \
  --title "Linux Lab Terminal" \
  --ssh-auth pam \
  --command /usr/local/bin/lab-init-script

配合Ansible实现批量部署：

yaml复制- hosts: lab_servers
  tasks:
    - name: Install Wetty
      npm:
        name: wetty
        global: yes
    - name: Configure service
      template:
        src: wetty.service.j2
        dest: /etc/systemd/system/wetty.service

7.2 云服务器管理方案

AWS EC2上的典型配置：

1. 安全组开放自定义端口
2. 使用IAM角色控制访问权限
3. 通过CloudWatch监控会话活动

启动参数示例：

bash复制wetty \
  --port 3456 \
  --base /$(aws secretsmanager get-random-password --query RandomPassword --output text)/ \
  --ssh-user ec2-user

7.3 容器化部署方案

Docker Compose配置示例：

yaml复制version: '3'
services:
  wetty:
    image: wettyoss/wetty
    ports:
      - "3000:3000"
    volumes:
      - /etc/passwd:/etc/passwd:ro
      - /etc/shadow:/etc/shadow:ro
    command: --ssh-auth pam

Kubernetes部署要点：

• 使用HostPath挂载/etc/passwd
• 配置Pod安全策略
• 通过Ingress暴露服务

8. 维护与升级策略

8.1 版本更新流程

1. 检查当前版本：

   bash复制wetty --version
   

2. 执行安全更新：

   bash复制sudo npm update -g wetty
   

3. 验证兼容性：

   bash复制node --version
   npm test
   

8.2 备份恢复方案

关键配置文件备份：

bash复制tar czvf wetty-backup-$(date +%F).tar.gz \
  /usr/lib/node_modules/wetty \
  ~/.pm2 \
  /etc/systemd/system/wetty.service

快速恢复步骤：

bash复制tar xzvf wetty-backup-2023-06-15.tar.gz -C /
pm2 resurrect
sudo systemctl daemon-reload

8.3 监控指标阈值建议