CentOS7.X的系统管理、安全设置及系统优化思路

一、系统的安装

1.系统的安装一般采用最小化安装,除非一些特殊需求需要安装图形界面。

2.系统安装之前首先要做好磁盘、分区的规划,需要根据实际需求制定相应的磁盘分区方案。例如:数据库及存储服务器可以单独使用一块磁盘分区之后挂载到指定挂载点。如果使用了LVM对磁盘进行管理,那么可以新建一个VG,这块磁盘的分区创建PV之后加入到该VG来分配使用。这样就与系统的分区独立开了,提高了数据的安全性。

3.对于swap分区,一般设置为物理内存的1.5-2倍。若物理内存大于16GB,可以配置为8-16GB。对于swap空间的扩展,我使用过的有2种方式,之前的文章有介绍。

4.对于boot分区,一般200MB-300MB就行。系统默认为500MB,可以适当减少,我一般设置为300MB。

5.时区、语言、字符集、键盘布局选择正确,主机名、网络配置按实际情况进行设置。

二、系统的调优及安全设置

1.养成能不用root则不用root的良好习惯。每次安装软件、部署应用之前,先做好管理账户、目录的规划。最好是装完系统就新增一个标准用户,visudo给这个账户配置sudo权限,只有这个账户具有root权限。在这一点上必须得赞一下Ubuntu,安装完成之后你是不能直接root用户登录的。

2.启用密码策略。

3.禁止通过telnet等不安全的登录方式。目前的系统默认一般不自带telnet,如果装了telnet那就卸载了。

4.使用ssh2协议,禁止root用户通过ssh登录。设置某些账号可以su到root,大部分标准用户禁止切换到root。

5.设置不活动用户登录超时自动退出登录并断开ssh连接。例如:TMOUT=300

6.设置HISTORYFILESIZE和HISTSIZE。

7.调整文件描述符。文件描述符是有无符号的整数表示的句柄,进程使用它来标识打开的文件,文件描述符包括相关信息的文件对象关联,这些信息被称为文件的上下文文件描述符的有效范围是0到OPEN_MAX。文件描述符的默认大小是1024,可以使用命令ulimit -n进行查看。使用ulimit -n 2048可以临时性的进行设置,退出登录之后失效。可以编辑/etc/security/limits.conf使其永久生效, 在被注释了的内容中,我们基本能够看到每一个配置项的详细说明,按照说明进行配置即可。在这个配置文件最后一行新增:* - nofile 2048,重新登录或重启之后生效。如果并发不大可以不用修改此项。

8.关闭SELinux。将/etc/selinux/config中的SELINUX=enforcing改为:SELINUX=disabled,保存之后重启系统即可生效。

9.如果使用了硬件防火墙及其他相关的网络安全措施,可以将系统自带的防火墙卸载。CentOS6自带的防火墙是iptables,CentOS7自带的防火墙是firewalld,并且从CentOS7.4起,防火墙开机自动启动,这需要特别注意。如果是直接暴露在外网的服务器,那么强烈建议开启防火墙。需要注意的是,iptables和firewalld不能同时存在,只能选择其一,建议使用动态防火墙firewalld。

9.如果确定使用ntp连网来获取时间,CentOS7.X自带了chrony,并且为开机启动,可用通过修改/etc/chrony.conf配置文件来设置同步时间源。一般公司都具有内部NTP服务器,统一指向这些NTP服务器即可。当然,也可以使用连网NTP服务器,例如阿里云的,或者其他稳定、可靠的NTP时间服务器。也可以通过交互式命令chronyc来设置ntp服务。需要注意的是:如果填写了ntp服务器的域名,则需要配置能够正常解析的dns服务器,NTP处于的层级(stratum )也非常重要。其他时间、日期、NTP设定可以使用timedatectl。如果有其他时间同步管理方案,请卸载chronyd。

10.锁定关键系统文件,防止被提权篡改。使用chattr命令来进行操作,需要锁定的文件如:/etc/passwd,/etc/shadow,/etc/group,/etc/gshadow等。

10.清除多余的系统虚拟账号。如:games、lp、ftp等。

11.给grub菜单加密。

12.一些服务器可以设置禁ping。但这也不是最佳方案,因为有时候我们也需要通过ping来检查网络情况。

13.配置内部yum源或者国内yum源。

14.优化Linux内核参数。此部分内容较多,操作也需要十分谨慎,后期会专门针对这一部分进行深入探索。

15.禁止显示内核版本及系统版本信息。此部分本人认为不必太重视,因为在CentOS7中,/etc/redhat-release及/proc/version都会涉及到相关内容的显示,没必要纠结这一项。

三、结语

1.在本文中提到的内容在之前的文章中大多数均有涉及,只是没有综合整理而已。

2.文章的第一部分可以概括为系统的安装注意事项,第二部分基本可以概括为系统的安全设置与优化,这一部分我没有对这些内容按照安全部分与系统优化部分进行区分。

3.有些项未必适合自己的情况,需要根据实际情况进行改进、设计。

4.本文仅仅提及思路,并未进行详细的内容讨论及落地。在后续的文章中会进一步将本文的内容进行落地。

5.本文内容均为本人在实际工作中的一些经验,不妥之处希望诸位多多指教,欢迎多多交流,一起进步。

四、本文扩展成为公司内部资料--《XX公司Linux系统运维操作流程》

4.1安装流程

4.1.1 系统如无特殊要求一律采用小化安装方式进行安装。

4.1.2 安装过程开始之前需要根据实际情况进行CPU数量、磁盘容量、内存分配、文件系统、目录结构、磁盘分区规划、磁盘管理方案进行分析与设计,并按照方案进行系统的安装。

4.1.3 安装过程中,需要按照实际情况设置恰当的主机名、语言、字符集、键盘布局、网络参数。

4.2系统安全设置及优化设置

4.2.1 创建标准账号,授予sudo权限,指定特定账户可以su到root账户。禁止root用户通过ssh远程登录,使用安全性较高的ssh2协议进行登录,卸载telnet(如果已安装)。

4.2.2 启用密码策略。

4.2.3 在应用部署之前需要按要求建好管理账户,做好应用目录的规划与权限设计,使用指定用户启动指定应用。

4.2.4 设置不活动用户登录超时自动退出登录并断开ssh连接。例如:TMOUT=300

4.2.5 设置HISTORYFILESIZE和HISTSIZE。

4.2.6 调整文件描述符。

4.2.7 关闭SELinux。

4.2.8 使用或禁用防火墙。

4.2.9 设置NTP时间同步。

4.2.10 锁定关键系统文件,防止被提权篡改。

4.2.11 清除多余的系统虚拟账号。如:games、lp、ftp等。

4.2.12 给grub菜单加密(可选)。

4.2.13 一些服务器可以设置禁ping(可选)。

4.2.14 配置内部yum源或者国内yum源。

4.2.15 优化Linux内核参数(谨慎操作)。

4.2.16 禁止显示内核版本及系统版本信息(可选)。

针对每一项内容进行细化即可。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 206,214评论 6 481
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 88,307评论 2 382
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 152,543评论 0 341
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 55,221评论 1 279
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 64,224评论 5 371
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 49,007评论 1 284
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 38,313评论 3 399
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 36,956评论 0 259
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 43,441评论 1 300
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 35,925评论 2 323
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 38,018评论 1 333
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 33,685评论 4 322
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 39,234评论 3 307
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 30,240评论 0 19
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,464评论 1 261
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 45,467评论 2 352
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 42,762评论 2 345

推荐阅读更多精彩内容