云服务器与考试考台网络联通指导手册

1网络拓扑与规划

先定拓扑，再动配置。拓扑不清楚时不要直接改防火墙，否则极易把自己锁在门外。

1.1 三种典型部署形态

1.2 端口规划表

2云服务器前置准备

以 CentOS 7+/Rocky、Ubuntu 20.04+/Debian 11+ 为例，两套命令都给出。

2.1 确认系统与网络信息

# 系统版本
cat /etc/os-release

# 内网 IP（云厂商分配，注意可能是 172.x / 10.x）
ip -4 addr show | grep inet

# 公网 IP（以云控制台为准）
curl -s ifconfig.me; echo

# 确认 8080 是否被占用
ss -lntp | grep 8080

2.2 时间同步（务必执行）

本系统所有心跳、抓拍、考试成绩都带时间戳。服务器时间漂移会导致考台「假离线」、 成绩单时间错乱。云服务器默认时钟可能偏差数分钟。

# 查看当前时间偏差
timedatectl status

# 开启 NTP 同步（系统自带 chrony 或 systemd-timesyncd）
sudo timedatectl set-ntp true
sudo timedatectl set-timezone Asia/Shanghai
timedatectl status   # 应显示 System clock synchronized: yes

2.3 安装 Node 运行时

系统要求 Node.js 18 及以上（推荐 20 LTS / 22 LTS）。若使用本系统自带的一键安装包， 可跳过本节——安装脚本会内置运行时。

# 方式一：官方二进制包（推荐，免外网源依赖）
cd /tmp
curl -O https://nodejs.org/dist/v20.18.0/node-v20.18.0-linux-x64.tar.xz
sudo mkdir -p /usr/local/lib/nodejs
sudo tar -xJf node-v20.18.0-linux-x64.tar.xz -C /usr/local/lib/nodejs
sudo ln -sf /usr/local/lib/nodejs/node-v20.18.0-linux-x64/bin/node /usr/local/bin/node
node -v

# 方式二：包管理器（Ubuntu / Debian）
curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
sudo apt-get install -y nodejs

2.4 创建专用运行用户

不要让服务以 root 运行。系统用固定低权限账号 drvexam，数据目录归其所有。

sudo useradd -r -s /usr/sbin/nologin -d /opt/drvexam drvexam
sudo mkdir -p /opt/drvexam
sudo chown -R drvexam:drvexam /opt/drvexam

3安全组与端口开放

云服务器有两层防火墙：云厂商「安全组」（在控制台配）+ 系统「firewalld/ufw」。两层都要放行。

3.1 云控制台安全组规则

3.2 系统防火墙放行

# CentOS / Rocky / Alibaba Cloud Linux（firewalld）
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

# Ubuntu / Debian（ufw）
sudo ufw allow 8080/tcp
sudo ufw allow 443/tcp
sudo ufw reload
sudo ufw status verbose

# 仅内网形态 A/C 需要：从指定网段访问 8080
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.168.99.0/24" port protocol="tcp" port="8080" accept'

3.3 Nginx 反向代理 + HTTPS（推荐）

把 8080 藏在 Nginx 后面，对外只开 443，既能解决摄像头 HTTPS 限制，也便于加 IP 白名单。

server {
    listen 443 ssl http2;
    server_name exam.example.com;

    ssl_certificate     /etc/nginx/ssl/exam.crt;
    ssl_certificate_key /etc/nginx/ssl/exam.key;

    # 抓拍图片可能较大，放宽上传体积
    client_max_body_size 20m;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_http_version 1.1;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_read_timeout 120s;
    }

    # 平台超管入口加 IP 白名单（可选但强烈建议）
    location = /platform.html {
        allow 10.168.99.0/24;
        allow 203.0.113.10;
        deny  all;
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
server {
    listen 80;
    server_name exam.example.com;
    return 301 https://$host$request_uri;
}

4考场侧网络接入

60 台考试机要能稳定访问云端，考场侧的三件事：网段、DHCP/固定 IP、出口带宽。

4.1 网段与 IP 规划

4.2 出口带宽估算

单台考试机日常开销：心跳约 2 KB / 3 秒，考试中抓拍 3 张约 300 KB / 场， 交卷成绩单约 10 KB。60 台同时开考的总带宽需求很低（< 2 Mbps）， 真正的瓶颈在考场出口 NAT 的并发连接数与链路的丢包率。

4.3 VPN / 专线接入（形态 B）

1. 在云服务器与考场出口路由器之间建立 IPsec / WireGuard 隧道；
2. 把考场 60 台机器所在网段与云端 VPC 网段打通，注意两边网段不能重叠；
3. 在隧道配置中放行 TCP 8080，其余端口一律拒绝；
4. 隧道断开要能自动重连，并在考场网关做保活探测；
5. 考试机配置文件里的 server 填写云端 VPC 内网地址（如 http://172.16.0.10:8080），不写公网 IP。

4.4 代理与 DNS 干扰排查

考场机器若装过「上网加速」「安全卫士」类软件，常会写入系统代理，导致 API 请求被劫持到代理服务器。

# Windows 考试机：检查代理
netsh winhttp show proxy
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable

# Linux 服务器：检查环境变量（本项目启动脚本会清理）
env | grep -i proxy

5双向连通验证

按「服务器自检 → 考场到云端 → 云端到考场」三步走，每步都有明确判定标准。

5.1 第一步：服务器本机自检

# 服务是否在监听（应为 0.0.0.0:8080 或 127.0.0.1:8080）
ss -lntp | grep 8080

# 本机回环访问（必须 200）
curl -s -o /dev/null -w "%{http_code}\n" http://127.0.0.1:8080/api/health

# 健康检查返回内容（应含 ok:true 与 version）
curl -s http://127.0.0.1:8080/api/health | head -c 300; echo

# 用内网 IP 再验一次（验证不是只听 127.0.0.1）
curl -s -o /dev/null -w "%{http_code}\n" http://$(hostname -I | awk '{print $1}'):8080/

5.2 第二步：考场 → 云端（考官与考试机视角）

在考场任意一台考试机上执行。Windows 与 Linux 命令都给：

# Windows 考试机
ping exam.example.com
curl.exe -s -o NUL -w "%{http_code}\n" http://exam.example.com/api/health

# Linux / macOS 考场机
ping -c 4 exam.example.com
curl -s -o /dev/null -w "%{http_code}\n" http://exam.example.com/api/health

# 端口层探测（判断是防火墙丢包还是应用没响应）
telnet exam.example.com 8080
# 或
nc -zv exam.example.com 8080

5.3 第三步：云端 → 考场（考台测试视角）

登录考试管理中心 → 考台测试 → 「全部考台测试」，或点「联网小助手」一键诊断。 云端主动探测考台的连通性，用于确认反向链路（如抓拍图片回传、远程锁屏指令下发）。

5.4 抓包定位（终极手段）

# 服务器侧抓 8080 包，看是否有 SYN 进来
sudo tcpdump -i any -nn 'tcp port 8080' -c 50

# 只看 SYN（有 SYN 无 SYN-ACK 说明回包被拦）
sudo tcpdump -i any -nn 'tcp[tcpflags] & tcp-syn != 0 and port 8080' -c 20

6考试机端配置

考试机安装后，配置存放在安装目录的 config.json，改完需重启考试机程序。

6.1 配置文件字段

6.2 示例配置

{
  "server": "https://exam.example.com",
  "seatNo": "A-001",
  "token": "安装时由管理中心下发",
  "heartbeatSec": 3,
  "camera": true,
  "kiosk": true
}

6.3 批量修改 60 台

考试机包内附带 config.example.json。批量部署时可用一条命令改完全部：

# Windows 批量（在考试机安装目录执行，改完重启程序）
powershell -NoProfile -Command ^
  "$f='config.json'; $j=Get-Content $f -Raw | ConvertFrom-Json; $j.server='https://exam.example.com'; $j | ConvertTo-Json -Depth 5 | Set-Content $f -Encoding UTF8"

6.4 验证考试机已连上

1. 考试机启动后，管理中心 → 考试机监控，对应考台变蓝（空闲）；
2. 「最后心跳」在 10 秒内持续刷新；
3. 「考台测试」该行为 通过；
4. 断开网线，10 秒内该考台变红（离线），重新插回 5 秒内恢复蓝——说明心跳机制正常。

7常见故障排查

按「现象 → 原因 → 处理」对照表逐条排查，覆盖现场 90% 的联通问题。

8开考前检查清单

建议打印张贴在考场控制台，每场考试前逐项打勾。