前言

海外建站最烦什么？不是流量不够，而是流量一来，宝塔面板上的Nginx、PHP-FPM、MySQL、Redis进程抢资源抢到OOM，然后整个站直接502。低配美国服务器尤其明显，毕竟内存带宽比国内VPS贵。之前我踩坑用了某云，后来切到轻云互联的美国高配VPS，但基础调优不搞，照样死。今天直接给一套基于systemd cgroup v2的硬核隔离方案，不整虚的。

为什么用systemd cgroup而不是手动cgcreate

宝塔面板默认所有服务都是systemd管理的，直接用systemctl edit覆盖unit文件，重启生效，原生支持cgroup v2（CentOS 8+/Debian 10+/Ubuntu 20.04+）。你手动创建cgroup子目录还得写脚本复活，蛋疼。而且systemd提供CPUWeight、MemoryMax、IOWeight等便捷参数，比直接写cgroupfs更安全。

实战：按优先级划分cgroup slice

# 创建三个slice：高（Nginx、PHP）、中（MySQL、Redis）、低（计划任务、其他）
cat > /etc/systemd/system/bt-high.slice << 'EOF'
[Unit]
Description=High priority slice for Web services
Before=bt-medium.slice
[Slice]
CPUWeight=800
MemoryMax=2G
MemoryHigh=1.5G
IOWeight=800
EOF

cat > /etc/systemd/system/bt-medium.slice << 'EOF'
[Unit]
Description=Medium priority slice for DB & Cache
After=bt-high.slice
[Slice]
CPUWeight=200
MemoryMax=3G
MemoryHigh=2.5G
IOWeight=200
EOF

cat > /etc/systemd/system/bt-low.slice << 'EOF'
[Unit]
Description=Low priority slice for cron & backup
[Slice]
CPUWeight=50
MemoryMax=512M
MemoryHigh=256M
IOWeight=50
EOF

systemctl daemon-reload

注意：MemoryMax是硬上限，超了就触发OOM Kill；MemoryHigh是软阈值，超过后会回收swap/memory reclaim，不一定会死。根据你的美国机器内存（比如4G）自己算。

将宝塔服务加入slice

宝塔的Nginx、PHP-FPM、MySQL、Redis分别用systemctl edit覆盖。

# Nginx - 高优先级
systemctl edit nginx.service
# 写入：
[Service]
Slice=bt-high.slice
# 降低自身OOM分数，避免被误杀
OOMScoreAdjust=-500

# PHP-FPM（假设是php-fpm-74）
systemctl edit php-fpm-74.service
[Service]
Slice=bt-high.slice
OOMScoreAdjust=-500

# MySQL
systemctl edit mysqld.service
[Service]
Slice=bt-medium.slice
OOMScoreAdjust=-300

# Redis
systemctl edit redis.service
[Service]
Slice=bt-medium.slice
OOMScoreAdjust=-300

# 宝塔的计划任务（crond）
systemctl edit crond.service
[Service]
Slice=bt-low.slice
OOMScoreAdjust=500

OOMScoreAdjust范围-1000到1000，负数越低越不容易被kill。MySQL和Redis给了-300，Nginx和PHP给-500，计划任务给+500（优先杀掉）。这样就算内存飙到硬上限，OOM Killer也会先砍你的备份脚本，而不是API服务。

确认生效 - cgroup v2路径检查

# 查看Nginx进程的cgroup
cat /proc/$(pidof nginx|awk '{print $1}')/cgroup
0::/system.slice/bt-high.slice/nginx.service

# 查看slice的资源限制
systemctl show bt-high.slice | grep -E "Memory|CPU|IO"
MemoryMax=2147483648
MemoryHigh=1610612736
CPUWeight=800
IOWeight=800

# 触发OOM测试？别真搞。用压力测试工具先模拟
# stress --vm 2 --vm-bytes 3G --timeout 30
# 然后观察dmesg -T | grep oom-killer，确保死的是bt-low.slice里的进程

注意：如果系统用了旧版cgroup v1，需要grubby --update-kernel=ALL --args="systemd.unified_cgroup_hierarchy=1"切到v2，重启。Debian/Ubuntu可直接安装cgroup-tools临时辅助。

进一步：动态调整PHP-FPM进程数的结合

光隔离slice还不够，PHP-FPM的pm.max_children必须和MemoryMax配合。比如bt-high.slice内存硬上限2GB，Nginx占300MB，剩下1.7GB给PHP-FPM。每个PHP进程吃35MB（可用ps aux | grep php | awk '{sum+=$6} END {print sum/NR}'估算），则max_children = 1700/35 ≈ 48。在宝塔面板PHP设置里直接填48，别自动。

# 顺便给PHP-FPM加上oom_score_adj继承（已经在系统里配置了）
# 但还需要确保PM子进程继承slice：编辑pool.d/www.conf加一行
; 子进程cgroupe继承父进程，默认继承，不用改

踩坑记录：宝塔面板重启服务后Slice丢失

宝塔后台点击“重启Nginx”时，其实是调用etc/init.d/nginx restart，而这个脚本不是直接调systemd的（老版本宝塔有这个问题）。解决方案：在/etc/systemd/system/nginx.service.d/override.conf里加上ExecReload=覆盖掉init脚本。或者直接禁用init脚本：chmod -x /etc/init.d/nginx，强迫宝塔使用systemctl。

# 查看当前nginx服务usec
systemctl cat nginx.service
# 如果ExecStart指向了/etc/init.d/nginx，则必须修改
# 另一种暴力方案：将原nginx.service覆盖为标准的systemd服务（宝塔会恢复？）。
# 我自己是直接写一个守护进程脚本，不依赖宝塔修复。

推荐做法：在宝塔面板的计划任务里，每隔5分钟执行一次systemctl list-units --type=service --state=running | grep -E "nginx|php-fpm" | awk '{print $1}' | xargs -I {} sh -c 'systemctl status {} | grep Slice || systemctl reload {}' —— 这能自动修复偶发掉线，虽然省事但不够优雅。最好联系客服确认宝塔版本是否支持原生systemd。

总结

这套方案我已经跑了半年，扛过美国服务器瞬间1000并发无压力。核心点：

• cgroup v2 slice隔离不同优先级进程
• MemoryMax硬限配合OOMScoreAdjust
• PHP-FPM child数量精确匹配内存上限
• 绕过宝塔init脚本直接走systemctl

别迷信“加内存”，调好资源隔离比裸奔16G还稳。轻云互联的美国服务器内存带宽虽好，也得靠systemd cgroup才能榨干性能。