缘起#

手头有一台 2016 年的 Lenovo 小新 Air 13，i5-6200U、8GB 内存、256GB NVMe。屏幕排线早就断了，键盘也半残，卖二手连快递费都不够。但它还能开机——这就够了。

我的目标很简单：把它变成一个安静躺在角落里的全能服务器，跑 Git、监控、备份、自动化工作流，以及未来的 Minecraft 服务端。一切通过 SSH 管理，不接屏幕，不插键盘。

这篇文章记录了我从 Ubuntu 26.04 LiveUSB 开始，一步步把它调教成一台正经服务器的全过程。

硬件底子#

先看一眼这台”服务器”的配置：

是的，这是一台连屏幕都没有的笔记本。但它有 NVMe，有 8GB 内存，有 x86_64——对 Homelab 来说，够用。

第一章：安装 Ubuntu 26.04（Resolute Raccoon）#

用另一台电脑做了 Ubuntu 26.04 LTS 的 LiveUSB，插上笔记本，开机按 F12 进启动菜单。

安装过程没什么特别的，选 Minimal Install、勾选”安装第三方驱动”、分区选择整盘擦除。唯一的注意事项：不要安装 GUI 组件——反正后面也会删掉的。

装完第一次启动，确认 SSH 能通。因为之后这台机器不会再接屏幕。

1
# 在笔记本上
2
sudo apt update && sudo apt install openssh-server -y
3
sudo systemctl enable --now ssh

然后用我的主力机 SSH 进去继续干活：

1
ssh vedaru@192.168.1.11

由于这个 IP 是 DHCP 分配的，重启可能会变。第一件事：锁定静态 IP。

1
sudo nmcli connection modify yuang5120-5G \
2
  ipv4.method manual \
3
  ipv4.addresses 192.168.1.11/24 \
4
  ipv4.gateway 192.168.1.1 \
5
  ipv4.dns 192.168.1.1
6
sudo nmcli connection down yuang5120-5G && sudo nmcli connection up yuang5120-5G

好，IP 锁死了。再也不用猜地址了。

第二章：杀 GUI，逐 GPU#

这台笔记本跑着完整的 GNOME Shell + GDM，吃掉了将近 400MB 内存。对于一个 headless 服务器来说，这简直是犯罪。

1
# 第一步：杀掉图形界面
2
sudo systemctl stop gdm
3
sudo systemctl disable gdm
4
sudo systemctl set-default multi-user.target

屏幕黑了——这正是我要的。从此这台机器通过 SSH 管理，不需要显示器。

接下来是 GPU。Intel HD Graphics 520 通过 i915 驱动占着 256MB 显存，而且两个显示输出（eDP-1、HDMI-A-1）都处于 disabled 状态——白白浪费。

1
# 黑名单 i915 驱动
2
echo "blacklist i915" | sudo tee /etc/modprobe.d/blacklist-i915.conf
3

4
# 启用 CPU Turbo（从 2.30GHz → 2.80GHz）
5
echo 0 | sudo tee /sys/devices/system/cpu/intel_pstate/no_turbo

重启后 i915 消失，256MB 帧缓冲回到系统池。CPU 也能睿频到 2.80GHz 了——这对后续的 Minecraft 服务端很重要。

第三章：精简一切#

一台服务器不该有蓝牙、音频、摄像头驱动。不该有 snapd。不该有桌面通知、系统统计、固件更新精灵。

开始大扫除：

1
# 音频全家桶
2
sudo apt purge -y alsa-base alsa-utils pipewire wireplumber pulseaudio-utils \
3
  linux-sound-base rtkit
4

5
# 蓝牙
6
sudo apt purge -y bluez bluez-cups bluez-obexd gnome-bluetooth-sendto
7

8
# Snap（没有任何 snap 包还在占用 47MB）
9
sudo apt purge -y snapd
10

11
# 固件更新、电源管理（服务器不需要）
12
sudo apt purge -y fwupd fwupd-signed power-profiles-daemon upower
13

14
# 桌面残留
15
sudo apt purge -y udisks2 ubuntu-insights update-notifier anacron ubuntu-report \
16
  sysstat laptop-detect gnome-shell-ubuntu-extensions

同时黑名单内核模块，确保重启后也不会加载：

1
cat << EOF | sudo tee /etc/modprobe.d/blacklist-server.conf
2
blacklist snd_hda_intel
3
blacklist snd_sof_pci_intel_skl
4
blacklist snd_sof_intel_hda_generic
5
blacklist btusb
6
blacklist bluetooth
7
blacklist uvcvideo
8
EOF

最终：手动安装的包从 529 个 砍到 158 个，运行的服务从 50+ 降到 20 个。

第四章：Docker + 服务全家桶#

服务器不能光裸着。Docker 安排上，然后把所有服务塞进容器。

1
sudo apt install -y docker.io
2
sudo usermod -aG docker $USER

1
# 示例：Forgejo 的 compose 文件
2
services:
3
  forgejo:
4
    image: codeberg.org/forgejo/forgejo:10
5
    container_name: forgejo
6
    restart: unless-stopped
7
    volumes:
8
      - ./data:/data          # 数据持久化
9
      - /etc/timezone:/etc/timezone:ro
10
      - /etc/localtime:/etc/localtime:ro
11
    ports:
12
      - "127.0.0.1:3000:3000" # 只监听 localhost
13
      - "2222:22"              # Git SSH

第五章：Cloudflare Tunnel 统一入口#

传统做法是配 Nginx 反代 + 申请 SSL 证书 + DDNS。Cloudflare Tunnel 更简单：在服务器上跑一个 cloudflared 进程，所有流量通过 Cloudflare 边缘节点转发到本地端口。

1
tunnel: b8e0b001-75d3-481e-b880-5847053cd8d4
2
credentials-file: /etc/cloudflared/b8e0b001-75d3-481e-b880-5847053cd8d4.json
3
ingress:
4
  - hostname: git.vedaru.cn
5
    service: http://localhost:3000
6
  - hostname: portainer.vedaru.cn
7
    service: https://localhost:9443
8
    originRequest:
9
      noTLSVerify: true
10
  - hostname: backup.vedaru.cn
11
    service: http://localhost:55414
12
  - hostname: n8n.vedaru.cn
13
    service: http://localhost:5678
14
  - hostname: monitor.vedaru.cn
15
    service: http://localhost:8090
16
  - service: http_status:404

每个子域名一条规则，匹配失败返回 404。没有开放任何入站端口，不需要公网 IP，SSL 证书全自动。

最终的域名地图：

第六章：安全加固#

服务都暴露到了公网——安全不能马虎。

1
sudo ufw default deny incoming
2
sudo ufw default allow outgoing
3
sudo ufw allow 22/tcp comment "SSH"
4
sudo ufw --force enable

1
-p 127.0.0.1:3000:3000   # ✅ 只有本机能访问
2
-p 3000:3000              # ❌ 局域网都能访问

1
sudo apt install -y fail2ban

1
PermitRootLogin no   # 禁止 root 登录

第七章：从 2GB 到 1GB 的优化之旅#

这是我最有成就感的部分。下面是内存使用的演变：

从 2.0 GiB → 1.0 GiB，省下了整整 1GB 内存。这意味着我可以放心地分配 3GB 给未来的 Minecraft 服务端，还有 2.8GB 余量。

第八章：Beszel 监控的踩坑#

替换 Netdata 为 Beszel 的过程有两个坑：

坑一：Hub 和 Agent 不在同一网络

Beszel 的 Hub（Web 界面）通过 SSH 连接到 Agent（数据采集）。两个容器如果在不同的 Docker 网络里，localhost 在容器内部指向的是自己而不是宿主机。解决方案：都用 --network host，共享宿主机网络栈。

坑二：SSH 密钥认证

Agent 用 KEY 环境变量存储公钥来验证 Hub 的连接。Hub 需要有对应的私钥在数据目录下的 id_ed25519 文件。我一开始用 openssl rand -base64 生成随机字符串当 Key——Agent 日志直接喷 ssh: no key found。

正确做法：

1
# 生成 ED25519 密钥对
2
ssh-keygen -t ed25519 -f ~/beszel-data/beszel_key -N "" -C "beszel"
3

4
# Hub 使用私钥（id_ed25519），Agent 使用公钥（KEY 环境变量）
5
cp ~/beszel-data/beszel_key ~/beszel-data/id_ed25519
6
PUBKEY=$(cat ~/beszel-data/beszel_key.pub)

搞定。登录后添加系统 localhost:45876，仪表盘秒连。

第九章：踩过的其他坑#

1
  - hostname: backup.vedaru.cn
2
    service: http://localhost:55414
3
  - hostname: backup-tcp.vedaru.cn
4
    service: tcp://localhost:55415

1
export NO_PROXY="localhost,127.0.0.1,.vedaru.cn,.local,.lan"
2
export no_proxy="$NO_PROXY"

第十章：最终状态#

1
CPU:    i5-6200U @ 2.80GHz Turbo
2
RAM:    1.0 GiB used / 6.8 GiB total / 5.8 GiB available
3
Disk:   19 GiB used / 233 GiB total
4
Pkgs:   158 (从 529 砍下来的)
5
Svcs:   20 running

展望#

这台服务器还远未完工。接下来的计划：

• Minecraft 服务端（PaperMC，3GB 堆内存，预计支持 4-6 个玩家同时在线）
• NapCat QQ 机器人
• 用 n8n 把 Beszel 的告警接入 QQ/邮件通知

一台即将被扔进垃圾桶的旧笔记本，现在安安静静地在角落里跑着 6 个 Docker 容器。没有屏幕，没有键盘，没有风扇声。SSH 连上去，btop 看一眼，心满意足。

如果你也有一台吃灰的旧笔记本——别扔。它的第二人生可能比你想象的要精彩得多。