Centos 6.4 x86_64 最小化安装后的优化
购买了服务器以后要做的第一件事就是安装操作系统了，这里推荐安装 Centos 6.4 x86_64，安装系统时要选择最小化安装(不需要图形)，在使用服务器时要记住一个原则，系统安装的应用程序包越少，服务器就会越稳定。至于服务器单机性能调优，应本着稳定安全的原则，尽量不要改动系统原有的配置(Cetnos系统自身的文件和内存机制就很优秀)，以下配置优化部分也适合Amazon Linux系统，大家可以对比参考。
系统的基础优化
1、更新yum官方源
1) 下载repo文件，使用命令如下：
rm -rf /etc/yum.repos.d/* wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-6.repo
2） 执行yum源更新，命令如下：
yum clean all yum makecache yum update
yum clean all #清除yum缓存
yum makecache #重建缓存
yum update #升级Linux系统
2、关闭不需要的服务
众所周知，服务越少，系统占用的资源就会越少，所以应当关闭不需要的服务。建议把不需要的服务关闭掉，这样做的好处是减少内存和CPU资源占用。首先可以看下系统中存在了哪些服务，查看命令如下：
ntsysv
下面列出的是需要启动的服务，未列出的服务一律关闭：
- crontab：自动计划任务。
- network：Linux系统的网络服务，很重要，若不开启此服务的话，服务器就不能联网。
- sshd：OpenSSH服务器守护进程。
- rsyslog：Linux系统的日志系统服务(Centos 5.8下此服务名称为syslog)，必须要启动。
#关闭全部服务
for sun in `chkconfig --list|grep 3:on|awk ‘{print $1}‘`;do chkconfig --level 3 $sun off;done
#或者
for sun in `chkconfig --list|grep 3:启用|awk ‘{print $1}‘`;do chkconfig --level 3 $sun off;done
#开启需要的服务
for sun in crond rsyslog sshd network;do chkconfig --level 3 $sun on;done
#或者需要使用防火墙的话可以开启iptables和ip6tables
for sun in crond rsyslog sshd network iptables ip6tables;do chkconfig --level 3 $sun on;done
3、关闭不需要的TTY
vim /etc/init/start-ttys.conf
修改成箭头位置的/dev/tty[1-2]即可，上面为修改后的值。
4、对TCP/IP网络参数进行调整
优化TCP/IP内核参数的完整案例：
[[email protected] ~]# vim /etc/sysctl.conf net.ipv4.ip_forward = 1 net.ipv4.conf.default.rp_filter = 1 net.ipv4.conf.default.accept_source_route = 0 kernel.sysrq = 0 kernel.core_uses_pid = 1 net.ipv4.tcp_syncookies = 1 #可以加强对抗SYN Flood的能力 kernel.msgmnb = 65536 kernel.msgmax = 65536 kernel.shmmax = 68719476736 kernel.shmall = 4294967296 net.ipv4.tcp_max_tw_buckets = 6000 net.ipv4.tcp_sack = 1 net.ipv4.tcp_window_scaling = 1 net.ipv4.tcp_rmem = 4096 87380 4194304 net.ipv4.tcp_wmem = 4096 16384 4194304 net.core.wmem_default = 8388608 net.core.rmem_default = 8388608 net.core.rmem_max = 16777216 net.core.wmem_max = 16777216 net.core.netdev_max_backlog = 262144 net.core.somaxconn = 262144 net.ipv4.tcp_max_orphans = 3276800 net.ipv4.tcp_max_syn_backlog = 262144 net.ipv4.tcp_timestamps = 0 net.ipv4.tcp_synack_retries = 1 net.ipv4.tcp_syn_retries = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_mem = 94500000 915000000 927000000 net.ipv4.tcp_fin_timeout = 1 net.ipv4.tcp_keepalive_time = 1200 net.ipv4.ip_local_port_range = 1024 65535 [[email protected] ~]# sysctl -p #使配置生效
4.1 优化Linux下的内核TCP参数以提高系统性能
内核的优化限制跟服务器的优化一样，应本着稳定安全的原则。下面以Squid服务器为例来说明，待客户端与服务器端建立TCP/IP连接后就会关闭Socket，服务器端连接的端口状态也就变为TIME_WAIT了。那是不是所有执行主动关闭的Socket都会进入TIME_WAIT状态呢？有没有什么情况可使主动关闭的Sokcet直接进入CLOSED状态呢？答案是主动关闭的一方在发送最后一个ACK后就会进入TIME_WAIT状态，并停留2MSL(报文最大生存)时间，这是TCP/IP必不可少的，也就是说这一点是"解决"不了的。
TCP/IP设计者如此设计，主要原因有两个：
- 防止上一次连接中的包迷路后重新出现，影响新的连接(经过2MSL时间后，上一次连接中所有重复的包都会消失)。
- 为了可靠地关闭TCP连接。主动关闭方发送的最后一个ACK(FIN)有可能会丢失，如果丢失，被动方会重新发送FIN，这时如果主动方处于CLOSED状态，就会响应RST而不是ACK。所以主动方要处于TIME_WAIT状态，而不能是CLOSED状态。另外，TIME_WAIT并不会占用很大的资源，除非受到攻击。
在Squid服务器中可输入如下命令查看当前连接统计计数：
netstat -n |awk ‘/^tcp/ {++S[$NF]} END{for(a in S) print a, S[a]}‘
命令中的含义分别如下：
CLOSED:无活动的或正在进行的连接。
LISTEN：服务器正在等待进入呼叫。
SYN_RECV：一个连接请求已经到达，等待确认。
SYN_SENT:应用已经开始，打开一个连接。
ESTABLISHED:正常数据传输状态。
FIN_WAIT：应用说它已经完成。
FIN_WAIT2：另一边已同意释放。
ITMED_WAIT：等待所有分组死掉。
CLOSING：两边尝试同时关闭。
TIME_WAIT：另一边已初始化一个释放。
LAST_ACK：等待所有分组死掉。
这命令可以把当前系统的网络连接状态分类汇总。
如果是在高并发的Squid服务器中，TCP TIME_WAIT套接字的数量经常可达到2-3W，服务器很容易就会被拖死。不过可以通过修改Linux内核参数来减少Squid服务器的TIME_WAIT套接字数量，命令如下：
vim /etc/sysctl.conf
然后，增加以下参数：
net.ipv4.tcp_fin_timeout = 30 net.ipv4.tcp_keepalive_time = 1200 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.ip_local_port_range = 1024 65000 net.ipv4.tcp_max_syn_backlog = 8192 net.ipv4.tcp_max_tw_buckets = 5000
说明：
net.ipv4.tcp_syncookies = 1 #表示开启SYN Cookies。当出现SYN等待队列溢出时，启用cookies来处理，可防范少量SYN攻击，默认为0，表示关闭；
net.ipv4.tcp_tw_reuse = 1 #表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接，默认为0，表示关闭；
net.ipv4.tcp_tw_recycle = 1 #表示开启TCP连接中TIME-WAIT sockets的快速回收，默认为0，表示关闭。
net.ipv4.tcp_fin_timeout = 30 #表示如果套接字由本端要求关闭，这个参数决定了它保持在FIN-WAIT-2状态的时间。
net.ipv4.tcp_keepalive_time = 1200 #表示当keepalive起用的时候，TCP发送keepalive消息的频度。缺省是2小时，改为20分钟。
net.ipv4.ip_local_port_range = 1024 65000 #表示用于向外连接的端口范围。缺省情况下很小：32768到61000，改为1024到65000。
net.ipv4.tcp_max_syn_backlog = 8192 #表示SYN队列的长度，默认为1024，加大队列长度为8192，可以容纳更多等待连接的网络连接数。
net.ipv4.tcp_max_tw_buckets = 5000 #表示系统同时保持TIME_WAIT套接字的最大数量，如果超过这个数字，TIME_WAIT套接字将立刻被清除并打印警告信息。默认为180000，改为5000。对于Apache、Nginx等服务器，上几行的参数可以很好地减少TIME_WAIT套接字数量，但是对于Squid，效果却不大。此项参数可以控制TIME_WAIT套接字的最大数量，避免Squid服务器被大量的TIME_WAIT套接字拖死。
执行以下命令使配置生效：/sbin/sysctl -p
如果是用于Apache或Nginx等Web服务器，则只需要更改以下几项即可：
net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.ip_local_port_range = 1024 65000
执行以下命令使配置生效：/sbin/sysctl -p
如果是Postfix邮件服务器，则建议内核优化方案如下：
net.ipv4.tcp_fin_timeout = 30 net.ipv4.tcp_keepalive_time = 300 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.ip_local_port_range = 5000 65000 kernel.shmmax = 134217728
执行以下命令使配置生效：/sbin/sysctl -p
5、设置时间同步
yum install -y ntpdate crontab -e
crontab -l */5 * * * * /usr/sbin/ntpdate s2m.time.edu.cn &> /dev/null
6、优化最大文件数限制
vim /etc/security/limits.conf
7、关闭SELINUX
vim /etc/sysconfig/selinux
# This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. SELINUX=disabled # SELINUXTYPE= can take one of these two values: # targeted - Targeted processes are protected, # mls - Multi Level Security protection. SELINUXTYPE=targeted
重启生效,也可以不修改配置文件临时生效，但不建议这样设置，因为重启后会失效。
8、修改SSH登录配置
vim /etc/ssh/ssh_config
Port 65232 Protocol 2 PermitRootLogin no UseDNS no
重新载入SSH配置 /etc/init.d/sshd reload
9、清理登陆的时候显示的系统及内核版本
#查看登陆信息
cat /etc/redhat-release cat /etc/issue
#清理登陆信息
echo >/etc/redhat-release echo >/etc/issue
10、删除不必要的系统用户和群组
#删除不必要的用户
userdel adm userdel lp userdel sync userdel shutdown userdel halt userdel news userdel uucp userdel operator userdel games userdel gopher userdel ftp
#删除不必要的群组
groupdel adm groupdel lp groupdel news groupdel uucp groupdel games groupdel dip groupdel pppusers
11、关闭重启ctl-alt-delete组合键
vim /etc/init/control-alt-delete.conf
#注释掉 #exec /sbin/shutdown -r now "Control-Alt-Deletepressed"
12、设置一些全局变量
#设置自动退出终端，防止非法关闭ssh客户端造成登录进程过多，可以设置大一些，单位为秒 echo "TMOUT=3600">> /etc/profile #历史命令记录数量设置为100条 sed -i "s/HISTSIZE=1000/HISTSIZE=10/" /etc/profile #立即生效 source /etc/profile