如何为小企业构建服务器

办公室文件共享和公开的预约应用需要不同的机器、预算和恢复计划。决定如何搭建服务器，要先明确它必须持续承载哪些工作。从零搭建意味着选择并组装兼容的组件，然后安装操作系统，配置可用的服务。

对于本地文档，购买一台安静的塔式服务器可能很合理。对于面向互联网的应用，租用可省去设备与机房设施工作。无论选择哪种方式，都需要有人负责访问权限、更新和恢复。

接触硬件前，准备好组件手册、整洁的工作台，以及制造商建议的防静电措施。安装时需要有线网络、安装用 USB、本地键盘和显示器、独立的管理员账户，以及用于测试的第二台电脑。修改磁盘布局前，先将现有数据复制到其他位置。

选择硬件前，明确业务任务

存放发票的共享文件夹需要足够容量和可靠的文件访问；公开应用还需要外部连接和应用支持。不要因为处理器或内存促销就决定服务器硬件，先写清楚业务任务。

使用一份简短的需求清单：

• 列出服务名称及使用它的应用。记录同时进行的活动，例如备份运行时打开文档。
• 测量现有数据量、预期增长和保留版本的大小。区分业务所需的可用存储空间与硬盘标签容量之和。
• 注明仅限办公室访问还是公开访问。包括需要访问的扫描仪、打印机或其他本地设备。
• 设定可接受的数据丢失时间范围，即恢复点目标（RPO），以及可接受的服务恢复时间，即恢复时间目标（RTO）。
• 指定管理员及其缺席时的替补人员。记录采购预算和经常性运营预算。

仅靠员工人数无法确定容量。具有代表性的文件集合和并发任务更适合作为验收测试。

比较自行组装、购买和租用

只要本地网络和供电正常，放在办公室交换机旁的塔式服务器，即使互联网中断，也能提供本地文件传输。租用服务器将设备移到其他地方，使办公室访问依赖 WAN 连接。各方案的职责划分如下。

如果组件选择灵活性有价值，而且有人能诊断整台机器，可选择自行组装。如果单一供应商的维修流程值得增加采购成本，可选择有支持服务的整机。购买翻新设备前，检查固件支持、硬盘磨损、附带的托架和线缆、噪声、耗电量及书面保修条款。

租用时，VPS 与独立硬件的选择涉及资源和隔离。小型应用可能适合 VPS；持续的资源需求或硬件控制要求可能值得使用独立服务器。物理核心和 VPS vCPU 并不代表可以互换的容量承诺。

决定自行组装服务器前，先考虑 VPS

购买硬件意味着尚未了解工作负载的实际表现，就先投入资金。自行组装还增加了兼容性检查和装配工作。整机省去了组装步骤，但仍需要空间、供电、散热和硬件故障处理计划。对于不必在办公室内部运行的网站、应用或测试环境，租用可让你更早开始，并了解真正需要的资源。

我们的 Linux VPS 套餐提供 DDR5 内存、快速 NVMe 存储，以及通过宿主机 40 Gbps 上行链路的连接。对于需要专用 vCPU 容量的工作负载，我们的高性能套餐会为你的虚拟服务器预留该容量。无需购买硬件，也无需通过办公室的互联网连接托管公开服务，即可使用性能充足的基础设施。

你也保留对软件的控制权。我们的 VPS 为非托管服务器，提供通过 SSH 的完整 root 访问权限。你自行选择操作系统、安装应用和配置服务。更新、安全和备份仍由你负责，这能让你实际体验管理自有服务器所需的工作。

按小时计费让你可以从较小的资源配置开始。使用 PAYG 套餐时，可随需求变化在控制面板调整资源规模，免费资源监控则帮助你跟踪使用量。我们的14 天退款保证让新客户有两周时间评估服务，若不合适，可按保证条款申请退款。

租用也不妨碍未来拥有自有设备。如果以后搭建物理 Linux 服务器，可以重新安装软件栈、迁移文件和数据库导出数据、调整配置，并在切换前测试一切。管理 VPS 的经验同样适用于这次迁移。

让配置匹配工作负载

办公室文件与共享文档

假设约有 2 TB 普通文档，通过有线以太网在本地访问。可从安静的塔式服务器开始规划：现代 4–6 核 CPU、32 GB 受支持的内存、500 GB 启动 SSD，以及两块 4 TB HDD，通过 Linux 软件 RAID1 组成数据镜像。扣除文件系统开销和预留空间前，镜像的原始容量约等于一块 4 TB 硬盘。启动 SSD 仍是单点故障。

服务器、交换机和客户端均使用千兆以太网，并配备兼容的 UPS。另行安排一块可移除的 8 TB 备份盘及独立保护的异地副本。版本保留和文件增长可能超出该盘容量；应测量变更量及保留备份的大小。此设计不承诺视频编辑吞吐量。

示例预算为 1,200–1,800 美元，涵盖硬件、UPS 和本地备份设备，不含税费、人工、许可证和异地费用。下文的安装步骤实施这一办公室文件场景。

公开网站或轻量应用

假设数据库较小、媒体集合有限，初始工作数据低于 20 GB。可评估通用租用配置：2–4 vCPU、4–8 GB 内存和 80–160 GB SSD，并为操作系统、日志和增长留出空间。这些资源配置需针对具体应用进行负载测试，并不代表任何访问人数容量。

物理设备方案可采用现代 4–6 核 CPU、16 GB 内存和一块 500 GB SSD；格式化并安装操作系统后，可用空间低于硬盘标称容量。该方案没有硬盘冗余。假设硬件预算为 800–1,400 美元，应包含有线连接、UPS 和独立备份目标，排除项目与上述相同。

在办公室托管公开服务，还需要合适的上传带宽、地址配置和服务商条款。应规划补丁、供电可用性和应用支持。这属于另一项部署决策；下文的文件共享设置不会安装公开 Web 软件栈。

隔离的内部服务与测试环境

假设多个隔离服务的活跃数据集总计低于 400 GB。示例宿主机采用现代 8 核 CPU、64 GB 兼容内存，以及两块镜像的 1 TB SSD；若平台要求，则另设启动设备。扣除开销前，原始数据容量约为 1 TB，所有客户机磁盘都消耗这一共享池。

为客户机分配 8 + 8 + 16 GB 内存，再为宿主机和存储分配 8 GB：共分配 40 GB，剩余 24 GB。这遵循Proxmox 的要求中宿主机加客户机的计算方式，但不能证明 CPU 性能或支持的客户机密度。检查 VT/AMD-V 支持、驱动程序和客户机许可证；设备直通还涉及 IOMMU 支持。不要在硬件 RAID 上使用 ZFS。

使用有线网络、UPS 和独立的客户机备份。假设预算为 1,800–3,000 美元，包含硬件、UPS 和本地备份设备，不含税费、许可证、人工和异地费用。服务器虚拟化可分隔客户机环境，但单台物理宿主机仍是单点故障。

选择兼容的服务器组件

处理器即使能装进插槽，主板仍可能需要不同版本的 BIOS 才能启动。围绕准确的主板型号建立兼容性清单，再按手册检查每个连接组件。这些检查适用于上述配置，但没有哪份配置是已验证的购买清单。

CPU

根据应用选择处理能力。受单个繁忙线程限制的任务，与能将工作分散到多个核心的软件，获得的收益不同。文件服务还依赖磁盘和网络，因此昂贵的 CPU 可能完全无法解决原有瓶颈。

匹配插槽和芯片组，再在主板 CPU 支持列表中查找确切的处理器型号，记录所需 BIOS。ASUS 的 CPU 和内存兼容性检查流程说明了这些列表的位置。询问卖家所配 BIOS 能否启动你选定的 CPU，同时检查安装时是否需要集成显卡或主板管理显示输出。

内存

容量必须满足操作系统和同时运行的应用，并留有增长空间。检查支持的 DDR 代数、最大容量、插槽数和手册规定的安装顺序。从主板认证内存列表中购买整套初始内存，可减少需要自行排查的组合。

UDIMM 指无缓冲内存，RDIMM 指寄存内存。它们是不同的模块类别，仅有 ECC 功能并不能证明兼容。Supermicro 的寄存内存兼容性常见问题明确指出，所提及的 X11SCA 系列不支持寄存 DIMM。若需要 ECC，应确认 CPU、主板和模块均支持，并保留无需淘汰所有已安装模块的扩展路径。

存储

如果能让维修和恢复更清晰，应将操作系统设备与业务数据分开。SSD 适合对存储响应敏感的工作负载；HDD 可为普通文档提供容量。无论选择哪种，都应先检查硬盘的适用负载、保修、耐久信息及替换件供应，而非只看容量。

RAID1 在两块硬盘上存储镜像数据，可容忍其中一块故障，但删除、勒索软件和场地损毁仍需要独立备份。确认格式化后的剩余容量，并为增长保留空闲空间。匹配 SATA 或 NVMe 接口、硬盘尺寸、盘位和线缆。检查使用 M.2 插槽是否会禁用数据盘所需的 SATA 端口。

主板

记录 CPU/BIOS 兼容性和内存合格供应商列表（QVL）后，检查 Linux 对板载网络和存储控制器的支持，尤其是较新的平台。

统计将使用的 SATA 接口、M.2 插座、PCIe 插槽和风扇接针。阅读通道共享表：安装 SSD 或扩展卡可能降低其他插槽的连接能力。主板规格和安装孔必须匹配机箱。机器附近没有显示器时，远程管理很有帮助，但也需要独立的受保护访问和固件维护。

网络接口

更快的网卡无法加速较慢的交换机、客户端连接或存储系统。付费升级前，检查整条链路。可将办公室文件场景中的千兆连接作为规划选择，再用代表性文件测试并发复制。

确认接口有适用于所选 Linux 版本的驱动程序。扩展卡需要合适的 PCIe 插槽、安装空间和受支持的链路连接。采购检查还应包括交换机端口和布线，它们与服务器网卡共同决定吞吐量。

电源

选择适合机箱，并能通过所需接口为主板、CPU 和硬盘供电的 PSU。估算负载时考虑启动需求和计划扩展，并依组件厂商指导留出适当余量；单凭较大的功率标称值无法判断是否合适。

检查主板主电源、CPU 电源、硬盘电源插头及线缆长度。模块化 PSU 只能使用随附或明确获准用于该准确型号的线缆。若机箱使用专有电源，还应检查替换件供应。

冷却

CPU 散热器应匹配插槽、处理器功率限制和机箱净空。较高的内存模块也可能与散热器干涉。确认附带安装套件，并按说明涂抹导热材料及依序拧紧。

规划贯穿硬盘区域和机箱的畅通气流。增加风扇无法解决风道堵塞或柜体积热。检查手册中的风扇接针额定值和控制设置。组装后，在代表性工作中检查温度，并在投入使用前调整散热。

机箱

安静的塔式服务器比专为独立设备室设计的机器更适合办公室。检查主板尺寸、散热器高度、盘位和扩展卡长度。盘位数量应覆盖启动设备、初始数据盘，以及切实可行的替换或扩展计划。

检查是否附带硬盘托架、螺丝和线缆。预留无需拆散整机就能换盘的空间。确保机箱便于清洁和维修、通风口畅通，并防止意外碰撞或线缆脱落。

UPS

UPS 可在停电时为服务器争取正常关机的时间。应根据预期负载、厂商续航信息，以及兼容 Linux 的关机通信选择。额定瓦数和电池续航时间回答的是不同问题。

若要求停电期间保持本地连接，应将交换机纳入 UPS 供电。规划电池更换，并按厂商流程测试正常关机。不要假定 UPS 能让办公室度过长时间停电。除非具体应用提出要求，否则这些工作负载都不需要 GPU。

下单前，将证据记录在计划组件旁：

组装并检查硬件

位置错误的铜柱可能碰到主板背面并造成损坏。断电后，依具体型号的手册操作；以下是通用装配顺序，不能替代手册图示。

1. 清点零件和工具。打开 CPU 插槽前，确认 CPU 支持和 BIOS 检查已完成。保留包装和序列号记录，以便申请保修。
2. 准备机箱。只安装与主板孔位对应的铜柱，移除多余铜柱。ASUS 的主板安装说明解释了多余铜柱为何不安全。若主板需要，安装独立的 I/O 挡板。
3. 按定位标记安装 CPU，不要强行施力。遵循插槽锁扣步骤。厂商的 CPU 安装说明要求先拔掉系统电源线。按规定的导热材料和安装方法装好散热器，并连接 CPU 风扇。
4. 将内存装入手册指定的初始插槽，直到固定机构正确扣合。趁操作空间充足时安装 M.2 设备。
5. 固定主板和 PSU，安装启动盘和数据盘，再连接数据线与电源线。安装所需网卡。
6. 按手册连接主板和 CPU 电源、机箱风扇及前面板线缆。布线应避开风扇。通电前，检查松动螺丝、未固定线缆及未完全插入的接头。

首次启动时，让开机自检（POST）完成。进入 UEFI，检查识别到的 CPU、内存总量、每块硬盘、风扇运转及温度。安装软件前解决组件缺失或温度异常。如果需要更新固件，在稳定供电下严格遵循主板厂商流程。

运行厂商提供的硬件诊断，以及适合该平台的内存测试。安装后，复制一组代表性文档，并尝试日常并发工作。记录错误、温度和完成时间，作为自己的验收证据。空机基准测试无法证明办公室工作流程是否可行。

安装 Ubuntu 并启用文件共享

办公室文件配置将在 LAN 中提供一个名为 business 的认证共享。使用受支持硬件上的 Ubuntu Server 24.04 LTS amd64；其发行说明说明维护持续至 2029 年 5 月。修改网络配置时，保留可用的本地控制台。

安装操作系统并挂载数据存储

从 Ubuntu 下载当前的 24.04 服务器安装镜像，制作 USB 前遵循 Canonical 的签名镜像验证流程。该流程会验证校验和签名及镜像校验和；不要复制无关下载页面的哈希值。

保持独立备份盘断开。启动安装程序，按型号、序列号和容量识别内部磁盘。在自定义存储中，将 EFI 启动分区和操作系统根文件系统放在启动 SSD 上。用两块空数据 HDD 创建软件 MD RAID1，将其格式化为 ext4 并挂载到 /srv/business。Canonical 的存储配置说明涵盖 MD 设备的创建和挂载。

确认擦除前，检查最终布局。启动 SSD 应承载操作系统；镜像数据设备应承载 /srv/business；不应出现任何备份盘。安装时创建独立的管理员账户。重启后，检查布局：

lsblk -o NAME,SIZE,MODEL,SERIAL,FSTYPE,MOUNTPOINTS
findmnt --mountpoint /srv/business
cat /proc/mdstat

确认 /srv/business 是挂载在目标 MD 设备上的 ext4 文件系统，而且两个镜像成员均存在且健康。验收测试前，等待首次同步完成。若未挂载，请停止：否则在该路径创建目录，会将业务文件放到启动文件系统上。

限制管理与网络访问

在路由器 DHCP 设置中为服务器保留地址。示例使用服务器 192.168.10.10、办公室子网 192.168.10.0/24 和管理员客户端 192.168.10.20。请替换为你的实际值。检查路由器 LAN 设置及客户端地址和子网掩码；/24 仅描述本例的地址范围，并非适用于所有办公室网络。本地文件访问既不需要公网 IP，也不需要付费 DNS。

应用更新并安装软件包：

sudo apt update
sudo apt upgrade
sudo apt install samba smbclient restic ufw

若需要远程管理，安装 openssh-server，为管理员配置 SSH 密钥，并通过第二个会话验证可用。保持首次登录连接。Canonical 的 OpenSSH 说明包含密钥设置和配置检查。每次修改 SSH 配置后运行 sudo sshd -t，并在替代密钥登录正常前保留密码访问。

使用 SSH 管理时，启用 UFW 前，先替换首条允许规则中的地址和实际 SSH 端口。若仅通过控制台管理，省略该规则。Canonical 的防火墙说明介绍了按来源限制访问：

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow proto tcp from 192.168.10.20 to any port 22
sudo ufw allow proto tcp from 192.168.10.0/24 to any port 445
sudo ufw enable
sudo ufw status verbose

重新测试管理员连接。端口 445 用于此 SMB 文件访问，不要在互联网路由器上转发该端口。访客 Wi-Fi 应位于无法访问办公室服务的隔离网络。子网允许规则无法区分处在同一子网的可信员工和访客。

创建需要认证的文件共享

为每位员工提供 Linux 身份和独立 Samba 凭据。Ubuntu 的 Samba 访问控制说明要求先有 Linux 账户，才能登记 Samba 凭据。对于名为 alex、仅用于文件访问的新员工账户，运行：

sudo addgroup officefiles
sudo adduser --disabled-password --shell /usr/sbin/nologin alex
sudo adduser alex officefiles
sudo smbpasswd -a alex
sudo mkdir -p /srv/business/team
sudo chown root:officefiles /srv/business/team
sudo chmod 2770 /srv/business/team
sudo cp -a /etc/samba/smb.conf /etc/samba/smb.conf.before-business
sudoedit /etc/samba/smb.conf

提示时输入 Alex 的 Samba 密码。禁用的 Linux 密码和 nologin shell 将该账户与管理员登录隔离；不要将它加入 sudo。对每位员工重复创建账户、添加组成员和登记 Samba 的步骤，officefiles 只创建一次。

模式 2770 允许所有者和组访问、拒绝其他用户，并设置 setgid 位，使新项目继承目录所属组。Samba 访问规则和 Linux 文件系统权限都必须允许该操作。保留全局配置，并追加这一个共享：

[business]

    path = /srv/business/team

    browseable = yes

    guest ok = no

    read only = no

    valid users = @officefiles

    force group = officefiles

    create mask = 0660

    force create mode = 0660

    directory mask = 2770

    force directory mode = 2770

@officefiles 条目将访问限制为组成员；force group 让共享操作保持在该组。掩码限制新文件和目录权限，详见 Ubuntu 的 Samba 配置参考。检查并启动服务：

sudo testparm -s
sudo systemctl restart smbd
sudo systemctl status smbd --no-pager

重启前解决配置错误。语法检查确认 Samba 能加载配置；接下来的客户端测试确认服务能否实际使用。

从客户端验证

在允许的 LAN 上，使用第二台 Windows 电脑，在文件资源管理器打开 \\192.168.10.10\business。使用 alex 和 Samba 密码认证。创建 acceptance.txt，写入一句短句，关闭后重新打开。登记另一位员工，确认其凭据可以编辑团队测试文件。

在已安装 smbclient 的 Linux 客户端上，可用以下方式连接：

smbclient //192.168.10.10/business -U alex

在提示时输入密码。用错误凭据和未经认证的访客身份测试访问；两者都不应能读取或创建文件。在 Windows 上，测试被拒绝的身份前，先断开现有共享连接并清除缓存凭据，否则可能仍在使用已成功认证的会话。

若连接超时，确认服务器地址和 LAN 路径，检查 UFW 的来源和端口规则，以及 smbd 状态。若认证或写入失败，检查 Samba 登记、id alex 和 ls -ld /srv/business/team。确认组成员身份和目录所有权。保持访客访问禁用，不要用允许所有用户写入的权限作为排障捷径。

为自有和租用方案编制预算

假设自有设备的初始投入为：服务器 1,500 美元、UPS 200 美元、本地备份设备 300 美元。这些是独立的建模输入，不是前述场景预算的分项。假设墙上插座平均功耗为 100 W，电价为每 kWh 0.15 美元：

100 / 1000 × 24 × 365 × 3 × 0.15 = $394.20

功耗和电价都不是实测值。为两种自管理方案均计入每月 2 小时管理员工时，按每小时 25 美元计算，并为独立异地备份计入每月 10 美元：

租用侧未单列本地备份设备；两种方案均为独立异地备份单设一项。

备份、恢复并移交服务

在业务文件投入使用前，恢复 acceptance.txt 和 Samba 配置。使用已建立文件系统、空间充足且单独挂载的外置磁盘，再保留一份独立保护的异地副本。以下命令不会准备或擦除磁盘。

将备份盘挂载到 /media/business-backup。检查 findmnt 和 lsblk，确认它是目标外置设备，而不是服务器内部存储上的目录。启动特权 shell，让 restic 能读取共享和配置：

sudo -i
findmnt --mountpoint /media/business-backup
lsblk -o NAME,SIZE,MODEL,SERIAL,FSTYPE,MOUNTPOINTS

确认设备后，初始化并备份。&& 命令链会在某一步失败时停止，包括挂载缺失的情况：

findmnt --mountpoint /media/business-backup &&
restic -r /media/business-backup/restic init &&
restic -r /media/business-backup/restic backup /srv/business /etc/samba &&
restic -r /media/business-backup/restic snapshots &&
restic -r /media/business-backup/restic check

新仓库只初始化一次。Restic 会提示输入仓库密码，请单独保存在企业凭据存储中。Restic 的快速入门流程涵盖这些仓库操作。如果挂载检查失败，应停止，不要让仓库被创建到宿主机磁盘上。

演练期间保持测试文档不变。在同一个 root shell 中，仅将该文件和 Samba 配置恢复到新建且为空的 /srv/restore-check 目录。确保有足够空间容纳这些选定项目：

mkdir /srv/restore-check &&
restic -r /media/business-backup/restic restore latest --target /srv/restore-check --include /srv/business/team/acceptance.txt --include /etc/samba &&
cmp /srv/business/team/acceptance.txt /srv/restore-check/srv/business/team/acceptance.txt &&
cat /srv/restore-check/srv/business/team/acceptance.txt &&
testparm -s /srv/restore-check/etc/samba/smb.conf

exit

Restic 的恢复说明介绍了目标路径和覆盖行为。cmp 应不报告差异，恢复的文本应可读，testparm 应接受恢复的配置。这仅检查文件和配置恢复，并非完整灾难恢复。

安排在文件关闭后进行每晚备份，保留七个每日快照和四个每周快照，每周检查仓库，每月进行恢复演练。每晚备份最多可能丢失约一天的变更；应在演练中测量恢复时间。Restic 的保留策略流程支持先用 forget --keep-daily 7 --keep-weekly 4 --dry-run 预览删除。forget 移除快照引用；prune 删除不再需要的备份数据。执行任何删除步骤前，先检查试运行结果。保留下来的快照无法证明曾经漏跑的任务实际运行过。

自动化时，将凭据保护在仅 root 可读的密码文件或凭据存储中，在任务中验证磁盘挂载，并在失败时通知负责人。轮换磁盘需在任务前连接正确磁盘，之后断开，并独立维护异地副本。

记录账户和组 ID，以及员工登记流程。替换主机需重建 Linux/Samba 身份、保留或纠正所有权、恢复文件和配置，并再次进行客户端测试。仅备份 /etc/samba 无法恢复 Samba 独立的凭据状态。

移交时明确负责人和替补、更新与重启窗口、UPS 关机流程，以及空闲空间、镜像健康、服务日志和备份结果的检查。在接受服务前，将成功的文件恢复及恢复耗时记录到移交资料中。