Linux系统基础优化

2022-07-15 11:47:11

一、关闭防火墙iptables：

（1）关闭
/etc/init.d/iptables stop
（2）检查
/etc/init.d/iptables status
（3）设置开机不自动启动
chkconfig iptables off
（4）检查
chkconfig --list iptables

二、关闭selinux（安全）：

说明：永久生效，需要重启计算机。
   （1）检查配置文件
cat /etc/selinux/config
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted
   （2）修改配置文件
   sed -i "s#SELINUX=enforcing#SELINUX=disabled#g" /etc/selinux/config
   （3）不重启系统的临时生效办法
setenforce 0 #设置Permissive模式
getenforce #查生效情况
（4）参数说明
#     enforcing - SELinux security policy is enforced. 正常开启
#     permissive - SELinux prints warnings instead of enforcing. 打印警告，但是也是禁止了。
#     disabled - No SELinux policy is loaded. 禁止状态。

三、更改yum源：

   （1）创建备份目录
   mkdir -p /etc/yum.repos.d/{default,back}    ###记住，每次操作之前一定要备份！备份！备份！重要的事说三遍
（2）备份所有默认的配置文件
   \mv /etc/yum.repos.d/*repo /etc/yum.repos.d/default
   （3）获取yum源
   wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-6.repo
   （4）备份yum源
\cp /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/default

四、精简开机自启动服务：

（1）只保留重要的基础服务，其余全部关闭
   chkconfig --list|egrep -v "sysstat|crond|sshd|network|rsyslog"|awk '{print "chkconfig "$1,"off"}'|bash
   （2）检查
   chkconfig --list|grep 3:on

五、修改Linux服务器字符集：

（1）检查配置文件
cat /etc/sysconfig/i18n
里面默认应该有以下2行内容：
LANG="en_US.UTF-8" ###默认每次提示为英文，如果不熟悉英语的小伙伴可以进行下列操作
SYSFONT="latarcyrheb-sun16"
   （2）备份配置文件
   cp /etc/sysconfig/i18n{,.back}
   （3）修改（此步选做）
   说明：可以将字符集修改为中文的，也可以不修改。
   echo 'LANG="zn_CN.UTF-8"' > /etc/sysconfig/i18n
   echo 'SYSFONT="latarcyrheb-sun16"' >> /etc/sysconfig/i18n
   （4）生效
   source /etc/sysconfig/i18n
（5）检查
   echo $LANG

六、内核优化：

（1）修改配置文件/etc/sysctl.conf，添加如下内容（直接一次性复制以下所有内容，在命令行里粘贴执行即可）
   cat >>/etc/sysctl.conf<<EOF
   net.ipv4.tcp_fin_timeout = 2
   net.ipv4.tcp_tw_reuse = 1
   net.ipv4.tcp_tw_recycle = 1
   net.ipv4.tcp_syncookies = 1
   net.ipv4.tcp_keepalive_time = 600
   net.ipv4.ip_local_port_range = 4000    65000
   net.ipv4.tcp_max_syn_backlog = 16384
   net.ipv4.tcp_max_tw_buckets = 36000
   net.ipv4.route.gc_timeout = 100
   net.ipv4.tcp_syn_retries = 1
   net.ipv4.tcp_synack_retries = 1
   net.core.somaxconn = 16384
   net.core.netdev_max_backlog = 16384
   net.ipv4.tcp_max_orphans = 16384
   #以下参数是对iptables防火墙的优化，防火墙不开会提示，可以忽略不理。
   net.nf_conntrack_max = 25000000
   net.netfilter.nf_conntrack_max = 25000000
   net.netfilter.nf_conntrack_tcp_timeout_established = 180
   net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
   net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
   net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
   EOF
（2）生效
   sysctl -p

七、时间同步：（工作中时间同步很重要，非常重要！）

（1）配置
echo '#time sync by oldboy at 2018-04-26' >> /var/spool/cron/root
echo '*/5 * * * * /usr/sbin/ntpdate ntp1.aliyun.com >/dev/null 2>&1' >> /var/spool/cron/root

###一般以阿里云时间服务器为基准，以下地址可自己选择：

ntp1.aliyun.com
ntp2.aliyun.com
ntp3.aliyun.com
ntp4.aliyun.com
ntp5.aliyun.com
ntp6.aliyun.com
ntp7.aliyun.com
（2）检查
crontab -l
（3）备份
\cp /var/spool/cron/root{,.back}

八、加大文件描述：

（1）配置
echo '* - nofile 65535 ' >>/etc/security/limits.conf
（2）检查
tail -1 /etc/security/limits.conf
（3）备份
\cp /etc/security/limits.conf{,.back}

九、下载安装系统基础软件：

yum install -y lrzsz nmap tree dos2unix nc ###一些基础软件会在集群架构中经常用到

十、配置hosts文件：

说明：期中集群架构的域名解析均使用内网IP，基础服务共涉及差不多9台服务器
   （1）修改
   cat >/etc/hosts<<EOF
   127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
   ::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
   172.16.1.5      lb01
   172.16.1.6      lb02
   172.16.1.7      web01
   172.16.1.8      web02
   172.16.1.9      web03
   172.16.1.51     db01
   172.16.1.31     nfs01
   172.16.1.41     backup
   172.16.1.61     m01
   EOF
   （2）备份
   \cp /etc/hosts{,.back}

十一、处理/etc/bashrc以及/root/.bashrc：

（1）备份配置文件
\cp /etc/bashrc{,.back}
   （2）处理/etc/bashrc
   编辑配置文件/etc/bashrc（vim /etc/bashrc），
   把这个文件的第36行注释掉，
   然后在刚刚注释掉的第36行下面另起一行，添加以下内容：
   [ "$PS1" = "\\s-\\v\\\$ " ] && PS1="[\[\e[34;1m\]\u@\H\[\e[0m\] \[\e[31;1m\]\w\[\e[0m\] \[\e[32;1m\]\t\[\e[0m\]]\\$ "
   注意，上面那一行很长，必须要一点不差的复制粘贴进去，并且中间不能出现回车，只能有空格，一定要注意检查！！！
   使之生效：source /etc/bashrc
   查看效果：按组合键ctrl+d，然后重新登录系统。

###咯，差不多就上面这样，我一老师写的，感觉挺方便的，不用随时pwd看路径和位置，在企业中尤其管用

（3）处理/etc/bashrc
修改配置文件/root/.bashrc（vim /root/.bashrc），
在最后一行alias下面添加以下2行内容：
alias grep='grep --color'
alias egrep='egrep --color'
保存并退出；
使之生效：. /root/.bashrc
注意：此处的点号（.）是一个命令，此命令等价于source命令。

十二、添加一个用户：

（1）添加
useradd oldboy
（2）检查
id oldboy
（3）设置密码
echo 123456|passwd --stdin oldboy

十三、提权给新建的用户（解释一下，因为root 用户知道的人太多了，都知道是超级管理员，为了企业的安全，重新设置一个用户）

将oldboy添加到sudo管理，以后oldboy就相当于管理员
（1）备份
\cp /etc/sudoers{,.back}
   （2）修改
   echo "oldboy ALL=(ALL) NOPASSWD: ALL " >> /etc/sudoers
   （3）检查
   tail -1 /etc/sudoers
（4）生效
visudo -c

###此时的oldboy权限相当于root用户

十四、优化SSH远程连接：

（1）备份配置文件
   cp /etc/ssh/sshd_config{,.back}
   （2）修改配置文件
   编辑ssh服务的配置文件（vim /etc/ssh/sshd_config），在第12行下面添加如下内容：
   ####Start by oldboy#2018-04-26###
   Port 52113 ###同样为了安全，更改登录端口
   PermitRootLogin no
   PermitEmptyPasswords no
   UseDNS no
   GSSAPIAuthentication no
   ####End by oldboy#2018-04-26###
（3）检查
grep -A 5 -i 'Start by oldboy' /etc/ssh/sshd_config
（4）重启ssh服务
/etc/init.d/sshd restart
（5）检查
netstat -lntup | grep ssh
（6）配置说明
####Start by oldboy#2018-04-26###
Port 52113      #使用大于10000的端口号
PermitRootLogin no    #禁止root远程登录
PermitEmptyPasswords no   #禁止空密码登录
UseDNS no      #不使用dns解析
GSSAPIAuthentication no   #连接慢的解决配置
####End by oldboy#2018-04-26###

十五、xshell连接

########################################################################################################

企业中：如果学习的话上面优化差不多了，当然企业实战中还可以做隐藏Linux版本信息展示；锁定关键系统文件，防止被提权篡改；为grub菜单加密码；禁ping等

码农公寓

相关文章