CentOS 5/6安裝後的必備設置（轉）

阿新 • • 發佈：2018-01-22

core linux系統 apache kcon apach ash 但是 init.d import

說明：轉自各大優化方案，相當於是一個大雜燴，後續會搞成是一個Shell腳本簡化操作。

1、修改ip地址、網關、主機名、DNS等（這個操作可以使用Setup工具進行配置，但不建議使用，封裝太多，沒有配置文件清晰）

[root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0         #網卡名字
BOOTPROTO=static    #靜態IP地址獲取狀態 如：DHCP表示自動獲取IP地址
IPADDR=192.168.1.113            #IP地址
NETMASK=255.255 
.255.0           #子網掩碼
ONBOOT=yes#引導時是否激活
GATEWAY=192.168.1.1
[root@localhost ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
BOOTPROTO=static
IPADDR=192.168.1.113
NETMASK=255.255.255.0
ONBOOT=yes
GATEWAY=192.168.1.1
[root@localhost ~]# vi /etc/sysconfig/network
HOSTNAME=c64     #修改主機名，重啟生效
GATEWAY 
=192.168.1.1    #修改默認網關,如果上面eth0裏面不配置網關的話，默認就使用這裏的網關了。
[root@localhost ~]# cat /etc/sysconfig/network
HOSTNAME=c64
GATEWAY=192.168.1.1
我們也可以用  hostnamec64  來臨時修改主機名，重新登錄生效
修改DNS
[root@localhost ~]# vi /etc/resolv.conf   #修改DNS信息
nameserver 114.114.114.114
nameserver 8.8.8.8
[root@localhost ~]# cat 
 /etc/resolv.conf  #查看修改後的DNS信息
nameserver 114.114.114.114
nameserver 8.8.8.8
[root@localhost ~]# service network restart   #重啟網卡，生效
重啟網卡，也可以用下面的命令
[root@localhost ~]# /etc/init.d/network restart

2、關閉selinux，清空iptables

關閉selinux

[root@c64 ~]# sed –i ‘s/SELINUX=enforcing/SELINUX=disabled/g’ /etc/selinux/config   #修改配置文件則永久生效，但是必須要重啟系統。
[root@c64 ~]# grep SELINUX=disabled /etc/selinux/config
SELINUX=disabled     #查看更改後的結果
[root@c64 ~]# setenforce 0#臨時生效命令
[root@c64 ~]# getenforce      #查看selinux當前狀態
Permissive

清空iptables

[root@c64 ~]# iptables –F     #清理防火墻規則
[root@c64 ~]# iptables –L     #查看防火墻規則
Chain INPUT (policy ACCEPT)
target     prot opt source               destination  
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination  
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@c64 ~]#/etc/init.d/iptables save   #保存防火墻配置信息

3、添加普通用戶並進行sudo授權管理

[root@c64 ~]# useradd sunsky
[root@c64 ~]# echo "123456"|passwd --stdin sunsky&&history –c
[root@c64 ~]# visudo
在root    ALL=(ALL)    ALL此行下，添加如下內容
sunsky    ALL=(ALL)    ALL

4、更新yum源及必要軟件安裝

yum安裝軟件，默認獲取rpm包的途徑從國外官方源，改成國內的源。

國內較快的兩個站點：搜狐鏡像站點、網易鏡像站點

法1：自己配置好安裝源配置文件，然後上傳到linux。

法2：使用鏡像站點配置好的yum安裝源配置文件

[root@c64 ~]# cd /etc/yum.repos.d/
[root@c64 yum.repos.d]# /bin/mv CentOS-Base.repo CentOS-Base.repo.bak
[root@c64 yum.repos.d]# wget http://mirrors.163.com/.help/CentOS6-Base-163.repo

接下來執行如下命令，檢測yum是否正常

[root@c64 yum.repos.d]# yum clean all  #清空yum緩存
[root@c64 yum.repos.d]# yum makecache  #建立yum緩存

然後使用如下命令將系統更新到最新

[root@c64 yum.repos.d]# rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY*       #導入簽名KEY到RPM
[root@c64 yum.repos.d]# yum  upgrade-y     #更新系統內核到最新

接下來就要安裝幾個必要的軟件了

[root@c64 yum.repos.d]# yum install lrzsz ntpdate sysstat -y

lrzsz是一個上傳下載的軟件

ntpdate是用來與遠程時間服務器進行時間更新的軟件

sysstat是用來檢測系統性能及效率的工具

5、定時自動更新服務器時間

采用CST方案後配置時間同步到BIOS

vim /etc/sysconfig/clock   #編輯時間配置文件
    ZONE="Asia/Shanghai"     #CST，本地時間
    UTC=false                #設置為false，硬件時鐘不與UTC時間一致
    ARC=false
ln -sf /usr/share/zoneinfo/Asia/Shanghai    /etc/localtime    #linux的時區設置為上海時區
ntpdate time.windows.com    #對準時間（安裝：sudo yum install ntp）
/sbin/hwclock --systohc    #設置硬件時間和系統時間一致並校準

為什麽用CST參考：http://www.cnblogs.com/EasonJim/p/8111747.html

再次更新時間並且寫入BOIS

ntpdate time.windows.com && hwclock -w && hwclock --systohc

寫入定時任務定時更新時間

[root@c64 ~]# echo ‘*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2 >&1‘ >>/var/spool/cron/root
[root@c64 ~]# echo ‘*/10 * * * * /usr/sbin/ntpdate time.nist.gov >/dev/null 2>&1‘ >>/var/spool/cron/root

提示：CentOS 6.4的時間同步命令路徑不一樣

6是/usr/sbin/ntpdate

5是/sbin/ntpdate

擴展：在機器數量少時，以上定時任務同步時間就可以了。如果機器數量大時，可以在網內另外部署一臺時間同步服務器NTP Server。此處僅提及，不做部署。

6、精簡開機自啟動服務

剛裝完操作系統可以只保留crond，network，syslog，sshd這四個服務。（Centos6.4為rsyslog）

[root@c64 ~]# for sun in `chkconfig --list|grep 3:on|awk ‘{print $1}‘`;do chkconfig --level 3 $sun off;done
[root@c64 ~]# for sun in crond rsyslog sshd network;do chkconfig --level 3 $sun on;done
[root@c64 ~]# chkconfig --list|grep 3:on
crond           0:off   1:off   2:on    3:on    4:on    5:on    6:off
network         0:off   1:off   2:on    3:on    4:on    5:on    6:off
rsyslog         0:off   1:off   2:on    3:on    4:on    5:on    6:off
sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off

7、定時自動清理/var/spool/clientmqueue/目錄垃圾文件，防止inode節點被占滿

本優化點，在6.4上可以忽略不需要操作！

[root@c64 ~]# mkdir /server/scripts -p
[root@c64 ~]# vi /server/scripts/spool_clean.sh
#!/bin/sh
find/var/spool/clientmqueue/-typef -mtime +30|xargsrm-f

然後將其加入到crontab定時任務中

[root@c64 ~]# echo ‘*/30 * * * * /bin/sh /server/scripts/spool_clean.sh >/dev/null 2>&1‘>>/var/spool/cron/root

8、變更默認的ssh服務端口，禁止root用戶遠程連接

[root@c64 ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
[root@c64 ~]# vim /etc/ssh/sshd_config
Port 52113#ssh連接默認的端口
PermitRootLogin no   #root用戶黑客都知道，禁止它遠程登錄
PermitEmptyPasswords no #禁止空密碼登錄
UseDNS no            #不使用DNS
[root@c64 ~]# /etc/init.d/sshd reload    #從新加載配置
[root@c64 ~]# netstat -lnt     #查看端口信息
[root@c64 ~]# lsof -i tcp:52113

9、鎖定關鍵文件系統

[root@c64 ~]# chattr +i /etc/passwd
[root@c64 ~]# chattr +i /etc/inittab
[root@c64 ~]# chattr +i /etc/group
[root@c64 ~]# chattr +i /etc/shadow
[root@c64 ~]# chattr +i /etc/gshadow

使用chattr命令後，為了安全我們需要將其改名

[root@c64 ~]# /bin/mv /usr/bin/chattr /usr/bin/任意名稱

10、調整文件描述符大小

[root@localhost ~]# ulimit –n        #查看文件描述符大小
1024
[root@localhost ~]# echo ‘*  -  nofile  65535‘ >> /etc/security/limits.conf

配置完成後，重新登錄即可查看。

提示：也可以把ulimit -SHn 65535命令加入到/etc/rc.local，然後每次重啟生效

[root@c64 ~]# cat >>/etc/rc.local<<EOF
#open files
ulimit -HSn 65535
#stack size
ulimit -s 65535
EOF

擴展：文件描述符

文件描述符在形式上是一個非負整數。實際上，它是一個索引值，指向內核為每一個進程所維護的該進程打開文件的記錄表。當程序打開一個現有文件或者創建一個新文件時，內核向進程返回一個文件描述符。在程序設計中，一些涉及底層的程序編寫往往會圍繞著文件描述符展開。但是文件描述符這一概念往往只適用於Unix、Linux這樣的操作系統。

習慣上，標準輸入（standard input）的文件描述符是 0，標準輸出（standard output）是 1，標準錯誤（standard error）是 2。盡管這種習慣並非Unix內核的特性，但是因為一些 shell 和很多應用程序都使用這種習慣，因此，如果內核不遵循這種習慣的話，很多應用程序將不能使用。

11、調整字符集，使其支持中文

sed-i ‘s#LANG="en_US.UTF-8"#LANG="zh_CN.GB18030"#‘/etc/sysconfig/i18n
source/etc/sysconfig/i18n

擴展：什麽是字符集？

簡單的說就是一套文字符號及其編碼。常用的字符集有：

GBK 定長雙字節不是國際標準，支持系統不少

UTF-8 非定長 1-4字節廣泛支持，MYSQL也使用UTF-8

12、去除系統及內核版本登錄前的屏幕顯示

[root@c64 ~]# >/etc/redhat-release
[root@c64 ~]# >/etc/issue

13、內核參數優化（可選，根據具體的容器進行優化）

說明：本優化適合apache，nginx，squid多種等web應用，特殊的業務也可能需要略作調整。

[root@c64 ~]# vi /etc/sysctl.conf
#by sun in 20131001
net.ipv4.tcp_fin_timeout = 2
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_keepalive_time =600
net.ipv4.ip_local_port_range = 4000    65000
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.route.gc_timeout = 100
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
net.core.somaxconn = 16384
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_max_orphans = 16384
#一下參數是對iptables防火墻的優化，防火墻不開會有提示，可以忽略不理。
net.ipv4.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120
[root@localhost ~]# sysctl –p    #使配置文件生效

提示：由於CentOS6.X系統中的模塊名不是ip_conntrack，而是nf_conntrack，所以在/etc/sysctl.conf優化時，需要把net.ipv4.netfilter.ip_conntrack_max 這種老的參數，改成net.netfilter.nf_conntrack_max這樣才可以。

即對防火墻的優化，在5.8上是

net.ipv4.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120

在6.4上是

net.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_tcp_timeout_established = 180
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

另外，在此優化過程中可能會有報錯：

5.8版本上

error: "net.ipv4.ip_conntrack_max"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_max"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait"is an unknown key

這個錯誤可能是你的防火墻沒有開啟或者自動處理可載入的模塊ip_conntrack沒有自動載入，解決辦法有二，一是開啟防火墻，二是自動處理開載入的模塊ip_conntrack

modprobe ip_conntrack
echo "modprobe ip_conntrack">> /etc/rc.local

6.4版本上

error: "net.nf_conntrack_max"isan unknown key
error: "net.netfilter.nf_conntrack_max"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_established"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_time_wait"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_close_wait"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_fin_wait"isan unknown key

modprobe nf_conntrack
echo "modprobe nf_conntrack">> /etc/rc.local

6.4版本上

error: "net.bridge.bridge-nf-call-ip6tables"isan unknown key
error: "net.bridge.bridge-nf-call-iptables"isan unknown key
error: "net.bridge.bridge-nf-call-arptables"isan unknown key

這個錯誤是由於自動處理可載入的模塊bridge沒有自動載入，解決辦法是自動處理開載入的模塊ip_conntrack

modprobe bridge
echo "modprobe bridge">> /etc/rc.local

14、屏蔽rm -rf誤刪除，替換為mv

參考：http://www.cnblogs.com/EasonJim/p/8088497.html

15、關閉重啟ctl-alt-delete組合鍵

vi /etc/init/control-alt-delete.conf
#註釋掉
#exec /sbin/shutdown -r now "Control-Alt-Deletepressed"

16、刪除不必要的系統用戶和群組（謹慎刪除，如果安裝了要依賴這些賬戶的進程需要自查清楚再刪除）

#刪除不必要的用戶
userdel adm
userdel lp
userdel sync
userdel shutdown
userdel halt
userdel news
userdel uucp
userdel operator
userdel games
userdel gopher
userdel ftp
#刪除不必要的群組
groupdel adm
groupdel lp
groupdel news
groupdel uucp
groupdel games
groupdel dip
groupdel pppusers

17、禁止linux系統被ping

[root@poe poe]# echo "net.ipv4.icmp_echo_ignore_all=1" >>/etc/sysctl.conf
[root@poe poe]# sysctl -p

此優化後期可以使用iptables來替代，一般不需要禁止ping

18、為每個用戶登錄後記錄操作日誌

參考：http://www.cnblogs.com/EasonJim/p/8325755.html

參考（以上內容大多數轉自以下文章）：

https://jingyan.baidu.com/article/c45ad29c25b128051753e2bf.html

https://jingyan.baidu.com/article/da1091fb09cd97027849d62f.html

https://jingyan.baidu.com/article/851fbc37b3d5323e1e15ab10.html

https://jingyan.baidu.com/article/49711c61793e0dfa451b7c10.html

http://blog.csdn.net/lizhongren/article/details/21710541

https://www.cnblogs.com/drawblog/p/6513354.html

http://www.centoscn.com/CentosSecurity/CentosSafe/2015/0424/5263.html

http://blog.chinaunix.net/uid-26600678-id-4607895.html

https://segmentfault.com/a/1190000009957383

https://www.cnblogs.com/ginvip/p/6351630.html

CentOS 5/6安裝後的必備設置（轉）

core linux系統 apache kcon apach ash 但是 init.d import 說明：轉自各大優化方案，相當於是一個大雜燴，後續會搞成是一個Shell腳本簡化操作。 1、修改ip地址、網關、主機名、DNS等（這個操作可以使用Setup工具進行配置

CentOS 5/6安裝後的必備設置（轉）

CentOS 5/6安裝後的必備設置（轉）

CentOS 6.9系統時間和硬件時間設置（轉）

httpClient 超時時間設置（轉）

RHEL7安裝後初始設置

編譯安裝後一般設置

CentOS虛擬機克隆後IP設置

centOS7.3新安裝後，設置IP，以及Putty遠程和Xshell遠程（學習是個持續的過程，也許中途放松過，但是仍然能重新撿起來，並學以致用，方為真勇士）

aNDROID的語言設置（二）

規範表格設置（重要）

racadm環境之服務器BIOS設置（三）

了解java虛擬機—非堆相關參數設置（4）

了解java虛擬機—JVM相關參數設置（2）

微信網頁分享標題圖片自定義設置（最新）

ORACLE字符集查詢和設置（11g）轉

微信nickname亂碼（emoji）及mysql編碼格式設置（utf8mb4）解決的過程

博客園定制頁面（二）——博客主題/主頁設置（CSS）

「docker實戰篇」python的docker爬蟲技術-fiddler的斷點設置（八）

meta 詳解，html5 meta 標簽日常設置（轉）

動態規劃初探及什麽是無後效性？（轉）

【Python】無須numpy，利用map函數與zip(*)函數對數組轉置（轉）

CentOS 5/6安裝後的必備設置（轉）

相關推薦