设置资源告警能帮你及时发现 VPS 的异常，这是避免业务长时间中断的性价比最高手段。 多数VPS故障并非毫无征兆，而是体现在CPU、内存、磁盘或带宽的持续异常上，与其等用户投诉网站打不开,不如让监控工具在问题萌芽时就给你发消息。
为什么必须给VPS上资源告警
我见过不少站长，买了一台配置不错的VPS，装好宝塔面板或LNMP环境后就再也没看过一眼后台，直到某天网站首页打开需要十秒，重启容器后才发现是日志把磁盘塞满了，这种被动处理方式,折磨的是你的耐心和用户的好感度。
资源告警的核心价值，是把“服务宕机”的急迫事，转化为“资源水位升高”的日常事。 处理一个磁盘空闲不足10%的告警，比处理一个“网站无法访问”的工单要从容得多，行业共识认为，多数的异常流量攻击和代码死循环，在演变成硬件资源耗尽之前，都会有一段窗口期，抓住这个窗口期,就是告警系统存在的意义。
VPS 资源告警怎么设置才算合理
很多新手打开监控面板，看到一堆指标就发愁，别急着全开，先从影响业务存活的关键项入手，一台VPS能不能稳定服务，主要看四个指标：CPU使用率、内存可用量、磁盘占用率、带宽出入流量，别把宝全押在云厂商自带的免费监控上，有些厂商的监控粒度是一分钟一次，等你收到“CPU 100%”的短信时,进程可能已经僵死了。
核心指标阈值推荐
- CPU平均负载：连续超过
核心数 x 1.5保持五分钟，就该告警，比如两核的VPS，负载超过3.0就说明排队严重了。 - 内存使用率：超过 85% 时触发告警，这是保守的阈值,给缓存和突发留出缓冲。
- 磁盘使用率：超过 80% 提示警告，超过 90% 就要紧急处理,日志分区最容易静默爆掉。
- 入方向带宽：单台VPS跑满带宽，要么是流量包耗尽，要么是遭受了DDoS流量攻击,这项告警能帮你止损。
用什么工具去盯这些数值
如果你用的是宝塔面板，直接就在监控页面里的“告警通知”模块设置，支持邮件和钉钉机器人，要是纯命令行环境，建议装一个 Netdata 或者单一的 spike 脚本任务，Netdata能实时展示每个进程的资源占用，粒度是秒级，配合 crontab 每五分钟跑一次自检脚本，检查磁盘和负载后推送消息到Telegram或Pushplus,这套方案成本极低且足够可靠。
监控工具的选择要匹配你的业务体量
别贪多求全，单机VPS用云厂商自带监控加宝塔的定时告警完全够了，不需要上Prometheus全家桶，维护一套完整的Prometheus + Grafana体系，本身就需要占用不少内存，你的VPS内存如果是2GB以下，再挂个监控全家桶,属实没必要。
VPS CPU 100% 排查：告警触发后怎么做
收到“CPU使用率已超过95%”的通知后，第一反应不是去重启机器，而是要先弄清楚是什么进程在捣乱，盲目的 reboot 只能换来十分钟的平静，程序里的死循环还在,开机后照样会跑满。
第一件事：定位高占用进程
登录SSH，执行 htop，按CPU使用率排序，看排第一的进程是谁，如果是 php-fpm 或 java 进程，多半是业务代码有死循环，或者是在被恶意爬虫抓取，如果是 mysqld 占用高，就要考虑慢查询和锁表的问题了，确认进程后，记录下它的PID，用 cat /proc/[PID]/status 看看进程状态,再决定是杀掉还是重启服务。
第二件事：查看负载均值，判断是马鞍型还是持续型
用 uptime 命令查看最近1分钟、5分钟、15分钟的负载值，如果1分钟数值高但15分钟数值低，说明是刚出现的突发问题，比如定时任务跑到高峰期了，如果三个数值都高，说明这问题已经持续了一段时间,不能拖。
第三件事：检查是否来自带宽的连带反应
CPU高往往不是孤立的，如果入带宽也同时跑满，而你自己并没有跑什么大型下载任务，那可能就是被攻击了，这时候先屏蔽IP，再优化代码，用 iftop 或者 nethogs 看看是哪个连接在狂吃流量，直接在防火墙层面Drop掉异常IP的端口，你要是先处理代码,攻击流量会继续消耗CPU解析这些无效请求。
VPS 内存不足：告警阈值与Swap的博弈
内存告警比较特殊，不建议把告警值调得太低，Linux系统本身会尽量把空闲内存用作文件缓存，面板上显示内存用了90%，可能其中相当一部分是Cache，随时可以被回收给程序用，所以更准确的监控指标是“可用内存”而非“使用率”。
谨慎对待Swap分区
如果你的VPS开了Swap，内存告警触发的临界点可以适当放宽，当系统开始换页时，CPU会被拖累得很惨，你可以定期执行 free -h 查看 available 字段的值，在告警脚本里，多写一个判断：当 available 低于 200MB 时，才升级为紧急告警，这个数值既能防止误报,又给手动重启留出了安全缓冲。
告警通知渠道：别把系统绑死在邮箱上
设置告警如果不考虑触达率，等于白设，很多人把通知发到QQ邮箱，但手机端QQ邮箱的推送会有延迟，有时延迟十分钟，黄花菜都凉了。手机App推送比如钉钉、飞书或Server酱的接口，是目前响应速度最快的方案。
- 紧急告警（磁盘90%满、VPS失联）推送至钉钉或飞书机器人。
- 普通告警（CPU连续15分钟超阈值）汇总成邮件,每天发一次摘要即可。
- 不要给每个指标都设置每分钟推送，否则群消息刷屏后，你会下意识屏蔽这个群组,这比不设告警更危险。
磁盘占满后的自救：告警之外要会预留后手
设置磁盘告警是个好习惯，但胜率还取决于你清理垃圾的能力，告警触发后，你要先删除 var/log 下的旧日志，再清空临时目录，如果是一次性的块设备写满，/var/log/syslog 因为某条消息疯狂重复导致膨胀，直接清空文件而不是删除文件，避免进程仍然持有句柄导致空间无法释放，这条命令看起来琐碎，但在遇到 磁盘占用100%但文件看起来很小 的场景里,它是保命符。
Q&A：关于VPS资源告警的常见疑问
问：VPS 资源告警怎么设置才能在便宜服务器上不增加开销？
答：使用VPS厂商自带的基础监控和邮件告警功能就不花钱，免费的外部渠道主要推荐 UptimeRobot 或者自己写个简单的Shell脚本调接口，这类方案对内存占用可以忽略不计，100MB以内的VPS都能跑得动异步脚本，不要为了监控去买昂贵的商业APM工具,单机业务没有必要。
问：收到告警通知后，如何在三分钟内判断VPS是否已被入侵？
答：先看带宽告警有没有同时触发，如果带宽高且CPU高，先跑 last 查看近期登录记录，再执行 ss -antp 查看外连的异常地址，大多数自动化入侵脚本的流量特征很明显，会有连续的外发连接，检查完这些，再去改SSH端口和密码，入侵排查的顺序是容量异常、登录记录、连接状态、运行进程。
问：告警静默期怎么设置，才能避免深夜被无关消息吵醒？
答：把规则划分为两个时间段，工作模式的告警阈值提高30%，比如CPU从85%提升到95%，内存从80%提升到90%，夜间设置策略时记得打开“连续N次异常后才发送通知”的开关，比如连续采集3次负载超阈值才介入排查，这能自动过滤掉短时的尖峰,好的监控系统应该是存在感低但从不缺席的宁静存在。