WordPress 服务器监控实战：Netdata + GoAccess + 安全加固全记录

背景：为什么要做 WordPress 服务器监控？

我的服务器环境：CentOS + Nginx 1.20.1 + PHP-FPM + WordPress 7.0，CDN 用的腾讯云 EdgeOne。平时写文章发发博客，没太在意服务器状态。

直到某天网站响应变慢，top 一看 CPU 正常，但 Nginx access.log 文件已经涨到几十 MB。日志一查，发现大量来自境外 IP 的异常请求——这才意识到，一台没有 WordPress 服务器监控的机器，出了问题根本无从排查。

折腾了一天，最终搭起来这套方案：

• Netdata：实时监控 CPU、内存、网络、磁盘，Web 界面，端口 19999，数据每秒刷新
• GoAccess：Nginx 日志分析，生成静态 HTML 报告，cron 定时刷新，看流量来源和攻击情况
• Nginx 封堵规则：针对 xmlrpc.php 攻击返回 444，直接断连，不耗资源

三个工具加起来成本是零，安装时间大概半天，覆盖了个人博客服务器 90% 的监控需求。如果你还在用宝塔面板，可以先看看我之前写的 Nginx 基础配置教程，再来看本文会更顺。

第一步：安装 Netdata 实时监控

为什么选 Netdata？

市面上监控工具不少，做过横向对比：

对个人 WordPress 服务器监控来说，Netdata 是最合适的：安装一条命令搞定，不需要额外配数据库或 Dashboard。

安装方式

官方提供的 kickstart 脚本（Netdata 官方安装文档），先下载到本地再执行：

wget -O /tmp/netdata-kickstart.sh https://get.netdata.cloud/kickstart.sh
bash /tmp/netdata-kickstart.sh --nightly-channel --dont-start-it

安装完启动服务：

systemctl start netdata
systemctl enable netdata
systemctl status netdata

看到 Active: active (running) 就成功了。

访问监控界面

Netdata 默认监听 0.0.0.0:19999，浏览器打开 http://你的服务器IP:19999 就能看到实时监控面板。

确认安全组放行后，再检查本地防火墙：

systemctl status firewalld
firewall-cmd --list-ports

如果 firewalld 在跑，手动放行：

firewall-cmd --permanent --add-port=19999/tcp
firewall-cmd --reload

Netdata 能监控什么？

对 WordPress 服务器监控来说，以下几个模块最实用：

第二步：用 GoAccess 分析 Nginx 日志

Netdata 解决的是实时监控问题，GoAccess 解决的是”过去发生了什么”。两者配合，才构成完整的 WordPress 服务器监控体系。

安装 GoAccess

CentOS 用 yum 直接装（更多安装方式见 GoAccess 官方下载页）：

yum install goaccess -y

生成静态 HTML 报告

手动跑一次看效果：

goaccess /var/log/nginx/access.log \
  -o /usr/share/nginx/html/wordpress/report.html \
  --log-format=COMBINED \
  --time-format='%H:%M:%S' \
  --date-format='%d/%b/%Y'

执行完后，浏览器访问 http://你的IP/report.html 就能看到完整的访问统计报告。

分析历史归档日志

Nginx 日志会按天切割归档，文件名类似 access.log.1、access.log.2.gz。如果想把所有历史日志合并分析：

zcat /var/log/nginx/access.log.*.gz | cat - /var/log/nginx/access.log | \
  goaccess - -o /usr/share/nginx/html/wordpress/report.html \
  --log-format=COMBINED \
  --time-format='%H:%M:%S' \
  --date-format='%d/%b/%Y'

这样生成的报告包含所有历史数据，适合做月度或季度的流量回顾。

设置定时自动刷新

手动跑太麻烦，加个 cron 定时任务：

crontab -e

加入以下内容（每 5 分钟刷新一次）：

*/5 * * * * /usr/bin/goaccess /var/log/nginx/access.log -o /usr/share/nginx/html/wordpress/report.html --log-format=COMBINED --time-format='%H:%M:%S' --date-format='%d/%b/%Y' 2>/dev/null

第三步：发现攻击——896 个 IP 打 xmlrpc.php

日志里发现了什么

GoAccess 报告跑完，在”请求 URL”部分看到一个刺眼的数字：/xmlrpc.php 被请求了数千次，来自 896 个不同 IP，且这些 IP 分布在全球多个国家，明显是分布式自动化脚本在跑。

xmlrpc.php 是 WordPress 的一个远程调用接口，早年用来给 APP 和桌面客户端发文章。现在已经基本没人正常使用，但它支持”multicall”——一次请求可以尝试几百个密码组合。黑客用它来暴力破解 WordPress 后台账号，效率比直接打登录页高几十倍，而且默认情况下 WordPress 没有任何限制。

封堵方案对比

我选的是 444。444 是 Nginx 专有状态码，表示”直接关闭连接”——攻击者的请求到来，Nginx 建立 TCP 连接后立刻断开，不走 PHP，不返回任何 HTTP 响应，是最省资源的拦截方式。

Nginx 配置

在 Nginx 配置文件的 server 块内加入：

location = /xmlrpc.php {
    deny all;
    return 444;
}

location = /wp-login.php {
    allow 你自己的IP;
    deny all;
}

顺手把 wp-login.php 也做了 IP 白名单——只允许自己 IP 访问后台登录页，暴力破解从根上截断。

保存后重载：

nginx -t
nginx -s reload

验证效果：

curl -I http://127.0.0.1/xmlrpc.php

返回 curl: (52) Empty reply from server，封堵成功——连接建立后直接断开，攻击者什么都收不到。

踩坑汇总

安全组配置建议

折腾下来，我目前的安全组入站规则是这样的：

常见问题 FAQ

安全加固检查清单

搭完监控之后，顺手做了一轮安全加固，记录在这里供参考：

• Netdata 安装并设置为开机自启
• GoAccess cron 定时刷新日志报告
• xmlrpc.php 已封堵（Nginx 返回 444）
• wp-login.php 已做 IP 白名单
• SSH 端口只对自己 IP 开放
• 所有管理端口（19999、8889）只对自己 IP 开放
• WordPress 管理员账号不使用 admin 作为用户名
• WordPress 后台登录启用两步验证（推荐插件：WP 2FA）
• 数据库定期备份（建议用阿里云 RDS 快照或 UpdraftPlus 插件）