前面 Portainer 把 Docker 容器管明白了，但它只管容器这一层。要看整机 CPU、磁盘、服务状态、防火墙、系统日志，还得另开终端敲命令。Cockpit 是 Linux 发行版自带的原生 Web 管理面板：浏览器里看资源曲线、启停系统服务、配防火墙、看日志、甚至开 Web 终端，整台服务器一站掌控。本文在雨云 KVM 云服务器上把 Cockpit 跑起来。
为什么用 Cockpit
Cockpit 和 Portainer 定位不同：Portainer 管「容器」，Cockpit 管「整台机器」。它的价值：
- 系统全景：CPU、内存、磁盘、网络实时曲线，不用
top/df拼命令； - 服务与开机：系统服务（nginx、mysql…）一键启停、设开机自启，比
systemctl直观； - 防火墙与存储：firewalld 规则、磁盘分区、RAID 在界面里点；
- Web 终端：浏览器里直接开 shell，应急不用另连 SSH 客户端；
- 可装扩展：podman、虚拟机（KVM）、存储模块按需装。
它和 Portainer 互补不冲突：Cockpit 看机器底层、Portainer 看容器上层，两套面板各管一层。
服务器与部署
Debian 12 上直接装，雨云 KVM（官网入口）下单优惠码填 admin01 五折，7 天无理由退款。没用过雨云的先看 选购与上手指南。
sudo apt update && sudo apt install -y cockpit
sudo systemctl enable --now cockpit.socket
装完默认监听 9090 端口。浏览器开 https://服务器IP:9090，用系统账号（如能 sudo 的普通用户）登录。Debian 装好后浏览器即可访问，无需额外容器。
日常使用姿势
- 看资源：登录首页就是 CPU/内存/磁盘/网络实时图，长期趋势一眼看；
- 管服务：「服务」页列出所有 systemd 单元，点一下启停、设开机自启，比记
systemctl命令省事； - 配防火墙：「网络」→「防火墙」里增删放行端口，改完即时生效，不用手敲 firewalld 规则；
- 看日志：「日志」页按时间/严重度筛选，排错不用
journalctl翻； - Web 终端：「终端」页直接在浏览器里敲命令，手机应急也能管。
踩坑记录
- 9090 裸奔公网：Cockpit 等于整机 root 级入口，直接暴露公网极危险。务必设强密码 + 启用 HTTPS（Debian 自带自签，建议反代正式证书）+ 防火墙限制来源 IP，或只走 SSH 隧道访问。
- 和 Portainer 混淆定位：两者都「管」，但层级不同。记住 Cockpit 管机器、Portainer 管容器，别在两个面板里重复操作同一件事。
- SELinux/权限：个别操作（如改存储）受策略限制，按页面提示用 sudo 或调整策略，别强行绕过。
- 扩展没装：想管 Podman 容器或 KVM 虚拟机，得单独装
cockpit-podman/cockpit-machines，基础包不含。
合规提醒
Cockpit 拥有整台服务器的管理权限，等同物理机 root。请设置强密码、启用 HTTPS、限制访问来源 IP，不在公共网络直接暴露 9090 端口；多人环境按最小权限分配系统账号。依据《网络安全法》《数据安全法》，服务器管理访问需可审计、可追溯。
小结
容器之上还有一整台机器要管。Cockpit 用系统自带组件把 CPU、磁盘、服务、防火墙、日志、终端收进一个 Web 面板，和 Portainer 一上一下把服务器看全。雨云 KVM 1 核 1G 就能跑，优惠码 admin01 五折——把「敲命令看机器」变成「开网页看机器」，日常运维少开几个终端。
