LINUX调优

一、Linux系统调优及安全设置

系统安装安全最小化原则说明

◆安装linux系统最小化,即选包最小化,yum安装软件最小化。

◆开机自启动程序服务最小化,即无用的服务不开启。

◆操作命令最小化原则,rm -f 1.txt 不用rm -fr 1.txt。

◆登录linux用户最小化原则,平时没有需求不用root登录,用普通用户登录。

◆文件及目录的权限设置最小化。一般建议设置权限:文件644,目录755。

◆各种网络服务,系统配置参数合理,不要最大化。

 

1、关闭selinux(也不是强制的)

执行命令:

setenforce 0

getenforce

cp /etc/selinux/config /etc/selinux/config.bak

sed -i 's@SELINUX=enforcing@SELINUX=disabled@g' /etc/selinux/config

diff /etc/selinux/config.bak /etc/selinux/config

 

2、切换运行级别为3文本模式

执行命令:

cp /etc/inittab /etc/inittab.bak

sed -i 's@id:\(.*\):initdefault:@id:3:initdefault:@g' /etc/inittab

diff /etc/inittab.bak /etc/inittab /tmp/syscheck.log

 

linux的运行级别如下:

0:关机模式

1:单用户模式

2:无网络模式的多用户

3:文本模式

4:无用

5:图形界面模式

6:重启模式

3、精简开机自启动

执行命令:

LANG=en

for a in `chkconfig --list|grep 3:on|awk '{print $1}'`;do chkconfig --level 3 $a off;done

for a in crond network rsyslog sshd;do chkconfig --level 3 $a on;done

chkconfig --list |grep 3:on >>/tmp/syscheck.log

另一种方法:

chkconfig --list|grep "3:on"|grep -vE "sshd|crond|network|rsyslog" |awk '{print $1}'|sed -r 's#^(.*)#chkconfig \1 off#g'|bash 
chkconfig --list|grep "3:on"

4、更改ssh的远程登陆端口

执行命令:

/etc/init.d/iptables stop

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

cat >>/etc/ssh/sshd_config<<EOF

#######by zhangsan  2016-11-11######

Port 52113         

PermitRootLogin no  

PermitEmptyPasswords no 

UseDNS no               

GSSAPIAuthentication no

#######by zhangsan  2016-11-11######

EOF

tail -8 /etc/ssh/sshd_config>>/tmp/syscheck.log

/etc/init.d/sshd restart

 

关于GSSAPIAuthentication no参数的说明:

客户端需要对服务器端的IP地址进行反解析,如果服务器的IP地址没有配置PTR记录,则连接速率会比较慢。

5、加入sudo管理

可以用命令visudo或者vi /etc/sudoers  ,一般用前者,因为前者会检查语法。

格式如下:

用户      机器=(授权那个角色的权利)       命令

zhangsan         ALL=(ALL)                       /bin/rm  

授权zhangsan可以以所有用户角色的权限,执行rm。

 

执行命令:

echo 'zhangsan   ALL=(ALL)                      ALL'>>/etc/sudoers

tail -1 /etc/sudoers>>/tmp/syscheck.log

验证:

[zhangsan@c66-moban ~]$ rm -f /root/a.log
rm: cannot remove `/root/a.log': Permission denied
[zhangsan@c66-moban ~]$ sudo rm -f /root/a.log
[sudo] password for zhangsan: 

 

6、更改字符集支持中文

[root@c66-moban /]# cat /etc/sysconfig/i18n 
LANG="en_US.UTF-8"
SYSFONT="latarcyrheb-sun16"

 

执行命令:

cp /etc/sysconfig/i18n /etc/sysconfig/i18n.bak

echo 'LANG="zh_CN.UTF-8"'>/etc/sysconfig/i18n

source /etc/sysconfig/i18n

echo $LANG >>/tmp/syscheck.log

7、校准系统时间

执行命令:

echo '*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2>&1'>/var/spool/cron/root

crontab -l >>/tmp/syscheck.log

 

[root@c66-moban /]# echo '*/5 * * * * /usr/sbin/ntpdate ntp.sjtu.edu.cn >/dev/null 2>&1' >>/var/spool/cron/root
[root@c66-moban /]# crontab -l
*/5 * * * * /usr/sbin/ntpdate ntp.sjtu.edu.cn >/dev/null 2>&1

 

同步到 BIOS里面:

[root@C66-mode ~]# hwclock

2015年01月08日 星期四 19时58分26秒  -0.884854 seconds

 

8、调整连接工具的超时时间及历史记录数

l  TMOUT=5           是指SecureCRT或者Xshell的连接超时时间

l  HISTSIZE=5        是指当前shell命令history的最大值

l  HISTFILESIZE=5    是指.bash_history文件中保存的命令条数最大值

执行命令:

echo 'TMOUT=300' >>/etc/profile
echo 'HISTSIZE=5' >>/etc/profile
echo 'HISTFILESIZE=5' >>/etc/profile     
tail -3 /etc/profile    

source /etc/profile

 

9、加大文件描述符

    文件描述符是由无符号整数表示的句柄(一般使用范围0~65535),进程使用它来标识打开的文件。文件描述符与包括相关信息(如文件的打开模式、文件的位置类型、文件的初始类型等)的文件对象相关联,这些信息被称作文件的上下文。

对于内核而言,所有打开的文件都是通过文件描述符引用的。当打开一个现有文件或者创建一个新文件时,内核向进程返回一个文件描述符。

退出后再登陆,即生效

echo '*               -       nofile          65535 ' >>/etc/security/limits.conf

 

也可以加入开机自启动

cat >> /etc/rc.local <<EOF

#open files

ulimit -HSn 65535

#stack size

ulimit -s 65535

EOF

 

10、优化内核参数

执行命令:

cat >>/etc/sysctl.conf<<EOF

net.ipv4.tcp_fin_timeout = 2
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_keepalive_time = 600
net.ipv4.ip_local_port_range = 4000    65000
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.route.gc_timeout = 100
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
net.core.somaxconn = 16384
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_max_orphans = 16384
#############################################################
net.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_tcp_timeout_established = 180
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

EOF

sysctl -p

 

网络状态说明及优化参数,详细参见:
http://yangrong.blog.51cto.com/6945369/1321594

11、清空系统显示

执行命令:

>/etc/issue

>/etc/issue.net

可以加一些重要的系统提示!

[root@C66-mode ~]# echo " This is DataBase-Server,Please Be Careful!">/etc/motd

[root@C66-mode ~]# cat /etc/motd

This is DataBase-Server,Please Be Careful!

 

12、特殊文件加锁

执行命令:

chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/inittab

lsattr /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/inittab

 

也可以把命令改名后再加锁:

mv /usr/bin/chattr /opt/zhangsan

/opt/zhangsan +i /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/inittab

13、系统升级

执行命令:

cp /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.bak

wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-6.repo 

命令说明:

yum upgrade    只升级所有包,不升级软件和系统内核

yum update    升级所有包同时也升级软件和系统内核

升级建议:

新装的服务器 可以更新
运行的服务器,上线了。尽量不要更新

 

14、禁止linux系统被ping(非必须)

执行命令:

echo"net.ipv4.icmp_echo_ignore_all=1" >> /etc/sysctl.conf
tail -1 /etc/sysctl.conf
sysctl -p

 

posted @ 2016-11-18 17:58  深蓝至尊  阅读(1104)  评论(0编辑  收藏