Ubuntu 上 GitLab 的网络配置与优化
一 基础网络与访问配置
- 设置外部访问地址：编辑 /etc/gitlab/gitlab.rb，将 external_url 设为域名或 IP（HTTP/HTTPS）。修改后执行 sudo gitlab-ctl reconfigure 使配置生效。示例：external_url ‘http://your_server_ip’ 或 ‘https://gitlab.example.com’。
- 防火墙放行：开放 80/443（以及自定义的 SSH 端口）。如使用 UFW：sudo ufw allow 80,443/tcp；如使用 firewalld：sudo firewall-cmd --permanent --add-service=http --add-service=https && sudo firewall-cmd --reload。
- NAT/端口转发：如有路由器或云厂商安全组，将公网 80/443 转发至内网 GitLab 主机；如 SSH 端口非 22，需同步转发并在 GitLab 中声明 SSH 端口。
- 验证：浏览器访问 external_url，或在服务器上执行 curl -I http://127.0.0.1 检查返回状态。
二 容器与端口映射实践（Omnibus 与 Docker 两种场景）
- Omnibus（裸机/包安装）
- 修改 external_url 与所需端口（如改为 8080），必要时调整 nginx 监听端口。
- 重新配置并重启：sudo gitlab-ctl reconfigure && sudo gitlab-ctl restart。
- Docker Compose（示例）
- 编排要点：将 external_url 的端口与宿主机端口映射一致；如自定义 SSH 端口，需同时映射并声明。
- 示例片段：
- environment: GITLAB_OMNIBUS_CONFIG: | external_url ‘http://192.168.X.X:8929’ gitlab_rails[‘gitlab_shell_ssh_port’] = 2222
- ports: “8929:8929” “2222:22”
- 说明：SSH 克隆地址将显示为 ssh://git@your_domain_or_ip:2222/namespace/project.git。
三 域名与 HTTPS 配置
- 自签名或已有证书
- 在 gitlab.rb 中启用并指向证书/私钥：
- nginx[‘enable’] = true
- nginx[‘redirect_http_to_https’] = true
- nginx[‘ssl_certificate’] = “/etc/gitlab/ssl/server_cert.crt”
- nginx[‘ssl_certificate_key’] = “/etc/gitlab/ssl/private.key”
- 执行 sudo gitlab-ctl reconfigure 生效。
- Let’s Encrypt 自动证书
- 开启自动签发与续期：
- letsencrypt[‘enable’] = true
- letsencrypt[‘contact_emails’] = [‘admin@example.com’]
- letsencrypt[‘auto_renew’] = true
- letsencrypt[‘auto_renew_hour’] = “1”
- letsencrypt[‘auto_renew_minute’] = “30”
- letsencrypt[‘auto_renew_day_of_month’] = “*/5”
- external_url ‘https://gitlab.example.com’
- 确保 80/443 对外开放，以便完成 ACME 验证。
四 传输与并发性能优化
- 大文件与流水线
- 使用 Git LFS 管理大文件，避免仓库膨胀与克隆慢；CI 构建产物与缓存建议使用对象存储（如 S3/MinIO）或外部缓存，减轻内网与磁盘压力。
- 页面与后台并发
- 适度调整 Puma（前端）与 Sidekiq（后台任务）并发，避免资源争用：
- puma[‘worker_processes’]、puma[‘min_threads’]、puma[‘max_threads’]
- sidekiq[‘concurrency’]
- 示例（小团队/低配环境，仅示意）：puma[‘worker_processes’] = 1；puma[‘min_threads’] = 1；puma[‘max_threads’] = 2；sidekiq[‘concurrency’] = 4。调整后执行 sudo gitlab-ctl reconfigure。
- 监控组件按需启用
- 资源紧张时可临时关闭监控相关组件（如 Prometheus/Alertmanager/Exporters），以降低内存与 CPU 占用：monitoring_role[‘enable’] = false；prometheus[‘enable’] = false；alertmanager[‘enable’] = false；postgres_exporter[‘enable’] = false；redis_exporter[‘enable’] = false；node_exporter[‘enable’] = false。生产环境不建议长期关闭核心监控。
- 传输与超时
- 提高 Git 与 Nginx 读写与超时阈值（示例）：
- nginx[‘client_max_body_size’] = ‘512m’（适配大推送/附件）
- 在 gitlab.rb 或反向代理中适当增大 proxy_read_timeout / proxy_connect_timeout（如 300s），减少大包/慢链路中断。
- 可选加速
- 面向公网用户可启用 CDN 加速静态资源访问；内网环境优先优化链路与存储 I/O。
五 安全与网络加固要点
- 强制 HTTPS 并配置安全协议与套件（示例）：
- nginx[‘ssl_protocols’] = “TLSv1.2 TLSv1.3”
- nginx[‘ssl_prefer_server_ciphers’] = “on”
- nginx[‘ssl_ciphers’] = “ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:…”
- nginx[‘ssl_session_cache’] = “builtin:SSL_SESSION_CACHE(Filesystem,10m)”
- 限制管理接口与内网访问：仅在内网开放管理后台与备份/监控端口；对外最小化暴露。
- 邮件通知（可选但推荐）：配置 SMTP/TLS，保证账号注册、工单与流水线通知可达。
- 变更流程：修改 gitlab.rb 前先备份；每次变更后执行 sudo gitlab-ctl reconfigure 并检查服务状态（sudo gitlab-ctl status）。
