Linux基础的调优及安全设置

基础的调优及安全设置。

a简单优化Linux

1、关闭Selinux

[[email protected] selinux]#cd /etc/selinux/

[[email protected] selinux]# sed -i s#SELINUX=enforcing#SELINUX=disabled#g config

[[email protected] selinux]# cat config

# This file controls the state of SELinux on the system.

# SELINUX= can take one of these three values:

#     enforcing - SELinux security policy is enforced.

#     permissive - SELinux prints warnings instead of enforcing.

#     disabled - No SELinux policy is loaded.

SELINUX=disabled

# SELINUXTYPE= can take one of these two values:

#     targeted - Targeted processes are protected,

#     mls - Multi Level Security protection.

SELINUXTYPE=targeted

必须重启系统，配置文件才会则永久生效

方法一：临时生效

[[email protected] selinux]# getenforce

Enforcing

[[email protected] selinux]# setenforce 0  临时生效的命令

[[email protected] selinux]# getenforce   查看selinux当前的状态

Permissive

查看linux的启动模式

[[email protected] selinux]# cat /etc/inittab

#   0 - halt (Do NOT set initdefault to this) 关机模式

#   1 - Single user mode 单用户模式  用于修复改密码

#   2 - Multiuser, without NFS (The same as 3, if you do not have networking)多用户模式

#   3 - Full multiuser mode  命令行模式

#   4 - unused 没有使用

#   5 - X11 桌面模式

#   6 - reboot (Do NOT set initdefault to this)  重启模式

命令总结：

runlevel 查看当前系统的运行级别

init 切换系统运行级别

Linux开机启动程序

[[email protected] ~]#chkconfig –list查看所有开机启动程序状态

筛选需要开机启动的程序，然后关闭未筛选的程序做off动作

[[email protected] ~]# for oldboy in `chkconfig --list|grep "3:on"|awk ‘{print $1}‘|grep -vE "crond|network|sshd|rsyslog"`;do chkconfig $oldboy off;done

查看开机启动的程序

[[email protected] ~]# chkconfig --list |grep "3:on"

crond           0:off   1:off   2:on    3:on    4:on    5:on    6:off

network         0:off   1:off   2:on    3:on    4:on    5:on    6:off

rsyslog         0:off   1:off   2:on    3:on    4:on    5:on    6:off

sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off

grep –E 过滤多个字符串 –i 过滤不区分大小写

设置ssh服务

注意：更改前先备份

cp sshd_config sshd_config.ori

ssh服务的配置文档

vi /etc/ssh/sshd_config    编辑sshd_config

####byoldboy#2011-11-24##

Port 52113                  ssh链接默认的端口必须改

PermitRootLogin no           root用户黑客都知道，禁止root远程登录

PermitEmptyPasswords no     禁止空密码登录

UseDNS no                  不使用DNS

GSSAPIAuthentication no

####byoldboy#2011-11-24##

[[email protected] ssh]# /etc/init.d/sshd restart 重启生效

/etc/init.d/iptables stop             关闭防火墙才能ssh进入

netstat –an  查看远程连接记录

给普通用户设置权限

 给oldboy用户添加用户的权限

[[email protected] ~]# visudo

root    ALL=(ALL)       ALL       99行

oldboy  ALL=(ALL)       /usr/sbin/useradd  给oldboy用户 添加用户的权限，如果添加多条权限用，隔开

[[email protected] ~]$ sudo useradd qqq 

We trust you have received the usual lecture from the local System

Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.

    #2) Think before you type.

    #3) With great power comes great responsibility.

[sudo] password for oldboy:（oldboy的密码）

[[email protected] ~]$ tail -1 /etc/passwd   

kkk:x:501:502::/home/kkk:/bin/bash

给oldboy用户权限与root权限一样

[[email protected] ~]# visudo

oldboy  ALL=(ALL)       NOPASSWD: ALL

[[email protected] ~]$sudo –l  查看自己的权限

Linux系统的时间同步方法

临时更改时间

[[email protected] ~]# /usr/sbin/ntpdate time.nist.gov

7 Jul 16:20:03 ntpdate[38542]: step time server 132.163.4.101 offset 110091.858651 sec

永久更新时间，每五分钟同步一次

echo ‘time sync by oldboy at 2016-7-7‘ >>/var/spool/cron/root

[[email protected] ~]# echo ‘*/5 * * * * /usr/sbin/ntpdate time.nist.gov >/dev/unll 2>&1‘ >>/var/ >>/var/spool/cron/root

[[email protected] ~]# crontab -l

*/5 * * * * /usr/sbin/ntpdate time.nist.gov >/dev/unll 2>&1

time sync by oldboy at 2016-7-7

ntp服务器的配置  自己找

加大服务器的文件描述符

文件描述符说明：

文件描述符在形式上是一个非负整数。实际上，它是一个索引值，指向内核为每一个进程所维护的该进程打开文件的记录表。    32768

临时更改，但是重新登录就没有了。

[[email protected] ~]# ulimit -n

1024

[[email protected] ~]# ulimit -HSn 65535

[[email protected] ~]# ulimit -n

65535

永久生效

[[email protected] ~]# echo ‘*             -         nofile             65535‘>>/etc/security/limits.conf

[[email protected] ~]# ulimit -n

1024

[[email protected] ~]# logout

[[email protected] ~]$ su - root

Password:

[[email protected] ~]# ulimit -n

65535

调整内核参数文件/etc/sysctl.conf

对于新部署的机器，需要做一些基本的调优操作，以更改一些默认配置带来的性能问题

1 修改打开文件数                                      本地链接：内核参数的优化

vim /etc/security/limits.conf

*               soft nofile          65535

*               soft nproc           65535

*                hard nofile         65535

*                hard nproc          65535

cd /etc/security/limits.d/

vim 90-nofile.conf

* soft nofile 65535

* hard nofile 65535

root soft nofile unlimited

老男孩优化详解：http://oldboy.blog.51cto.com/2561410/1336488

2 内核方面的调优

cat /etc/sysctl.conf

#by sun in 20131001

net.ipv4.tcp_fin_timeout = 2

net.ipv4.tcp_tw_reuse = 1

net.ipv4.tcp_tw_recycle = 1

net.ipv4.tcp_syncookies = 1

net.ipv4.tcp_keepalive_time =600

net.ipv4.ip_local_port_range = 4000    65000

net.ipv4.tcp_max_syn_backlog = 16384

net.ipv4.tcp_max_tw_buckets = 36000

net.ipv4.route.gc_timeout = 100

net.ipv4.tcp_syn_retries = 1

net.ipv4.tcp_synack_retries = 1

net.core.somaxconn = 16384

net.core.netdev_max_backlog = 16384

net.ipv4.tcp_max_orphans = 16384

以下参数是对iptables防火墙的优化，防火墙不开会有提示，可以忽略不理。

net.nf_conntrack_max = 25000000

net.netfilter.nf_conntrack_max = 25000000

net.netfilter.nf_conntrack_tcp_timeout_established = 180

net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120

net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60

net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

 [[email protected] ~]# sysctl  -p                使配置生效

修改完毕后，重启新机器即可。

对参数的解析

下列文件所在目录：/proc/sys/net/ipv4/

所处目录/proc/sys/net/ipv4/netfilter/

文件需要打开防火墙才会存在

文件所处目录/proc/sys/net/core/

参考文献

http://yangrong.blog.51cto.com/6945369/1321594

http://www.cnblogs.com/nickleback/articles/3492131.html

http://www.cnblogs.com/LMySQL/p/4673931.html

本系列博文完整内容共5篇（网络状态），非常重要

第一篇：详解linux netstat输出的网络连接状态信息

http://oldboy.blog.51cto.com/2561410/1184139

第二篇：庖丁解牛获取连接状态数的awk数组命令

http://oldboy.blog.51cto.com/2561410/1184165

第三篇：awk数组命令经典生产实战应用拓展

http://oldboy.blog.51cto.com/2561410/1184177

第四篇：老男孩培训第八节课前awk考试题案例(门户面试题解答)

http://oldboy.blog.51cto.com/2561410/1184206

第五篇：linux生产服务器有关网络状态的优化措施

http://oldboy.blog.51cto.com/2561410/1184228

磁盘空间

[[email protected] ~]# df -h

Filesystem      Size  Used Avail Use% Mounted on

/dev/sda3       9.6G  2.0G  7.1G  22% /

tmpfs           1.2G     0  1.2G   0% /dev/shm

/dev/sda1       194M   34M  151M  19% /boot

[[email protected] ~]# df -hi

Filesystem     Inodes IUsed IFree IUse% Mounted on

/dev/sda3        620K   78K  542K   13% /

tmpfs            292K     1  292K    1% /dev/shm

/dev/sda1         50K    39   50K    1% /boot

-h实际的物理空间

Size 总共的空间

Avail可用空间

/dev/sda3   IUse%如果满了 就是可能就是/var/spool/clientmqueue/sendmail文件太多，它是邮件服务邮件临时存放点。

隐藏系统版本

[[email protected] ~]# cat /etc/issue

CentOS release 6.5 (Final)

Kernel \r on an \m

[[email protected] ~]# >/etc/issue

锁定关键的系统文件

[[email protected] ~]# chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/inittab

/etc/passwd   用户文件

/etc/shadow   用户密码文件

/etc/group     用户组文件

/etc/gshadow  组的密码文件

/etc/inittab    开机启动的文件

[[email protected] ~]# chattr -i /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/inittab

解锁关键的系统文件

Linux基础优化回顾内容：小结

01）不用root添加普通用户，通过sudo授权管理。

02）更改默认的远程连接ssh服务端口及禁止root用户远程连接

03）定时自动更新服务器时间

04）配置yum更新源，从国内更新源下载安装rpm包

05）关闭selinux及iptables（iptables工作场景如有wan ip一般要打开，高并发除外）

06）调整文价你描述符的数量，进程及文件的打开都会消耗文件描述符

07）定时自动清理/var/spool/clientmquene/目录垃圾文件，防止inodes节点被占满（SentOS6.4以上版本默认有sendmail，因此可以不配）

08）简开机自启动服务（crond，sshd，network，rsyslog（syslog 5.8版本））

09）Linux内核参数优化/etc/sysctl.conf,   执行sysctl –p 生效

10）更改字符集，支持中文，但建议还是英文字符集，防止乱码问题

11）锁定关键系统文件

[[email protected] ~]# chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/inittab

12）清空/etc/issue,去除系统及内核版本登录前的屏幕显示

更多优化细节参见：http://oldboy.blog.51cto.com/2561410/988726