CentOS（5.8/6.4）linux生產環境若干優化實戰（實用篇） 薦
下面我就為大家簡單講解幾點關於Linux系統安裝後的基礎優化操作。
注意：本次優化都是基於CentOS（5.8/6.4）。關於5.8和6.4兩者優化時的小區別，我會在文中提及的。
優化條目： 修改ip地址、閘道器、主機名、DNS等 關閉selinux，清空iptables 新增普通使用者並進行sudo授權管理 更新yum源及必要軟體安裝 定時自動更新伺服器時間 精簡開機自啟動服務 定時自動清理/var/spool/clientmqueue/目錄垃圾檔案，放置inode節點被佔滿 變更預設的ssh服務埠，禁止root使用者遠端連線 鎖定關鍵檔案系統 調整檔案描述符大小 調整字符集，使其支援中文 去除系統及核心版本登入前的螢幕顯示 核心引數優化
1、修改ip地址、閘道器、主機名、DNS等
[root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth0 DEVICE=eth0#網絡卡名字 BOOTPROTO=static#靜態IP地址獲取狀態 如：DHCP表示自動獲取IP地址 IPADDR=192.168.1.113#IP地址 NETMASK=255.255.255.0#子網掩碼 ONBOOT=yes#引導時是否啟用 GATEWAY=192.168.1.1 [root@localhost ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth0 DEVICE=eth0 BOOTPROTO=static IPADDR=192.168.1.113 NETMASK=255.255.255.0 ONBOOT=yes GATEWAY=192.168.1.1 [root@localhost ~]# vi /etc/sysconfig/network HOSTNAME=c64#修改主機名，重啟生效 GATEWAY=192.168.1.1#修改預設閘道器,如果上面eth0裡面不配置閘道器的話，預設就使用這裡的網關了。 [root@localhost ~]# cat /etc/sysconfig/network HOSTNAME=c64 GATEWAY=192.168.1.1
我們也可以用hostnamec64來臨時修改主機名，重新登入生效
修改DNS
[root@localhost ~]# vi /etc/resolv.conf#修改DNS資訊 nameserver 114.114.114.114 nameserver 8.8.8.8 [root@localhost ~]# cat /etc/resolv.conf#檢視修改後的DNS資訊 nameserver 114.114.114.114 nameserver 8.8.8.8
[root@localhost ~]# service network restart#重啟網絡卡，生效 重啟網絡卡，也可以用下面的命令 [root@localhost ~]# /etc/init.d/network restart
2、關閉selinux，清空iptables
關閉selinux
[root@c64 ~]# sed –i ‘s/SELINUX=enforcing/SELINUX=disabled/g’ /etc/selinux/config#修改配置檔案則永久生效，但是必須要重啟系統。 [root@c64 ~]# grep SELINUX=disabled /etc/selinux/config SELINUX=disabled#檢視更改後的結果 [root@c64 ~]# setenforce 0#臨時生效命令 [root@c64 ~]# getenforce#檢視selinux當前狀態 Permissive
清空iptables
[root@c64 ~]# iptables –F#清理防火牆規則 [root@c64 ~]# iptables –L#檢視防火牆規則 Chain INPUT (policy ACCEPT) targetprot opt sourcedestination Chain FORWARD (policy ACCEPT) targetprot opt sourcedestination Chain OUTPUT (policy ACCEPT) targetprot opt sourcedestination [root@c64 ~]#/etc/init.d/iptables save#儲存防火牆配置資訊
3、新增普通使用者並進行sudo授權管理
[root@c64 ~]# useradd sunsky [root@c64 ~]# echo "123456"|passwd --stdin sunsky&&history –c [root@c64 ~]# visudo 在rootALL=(ALL)ALL此行下，新增如下內容 sunskyALL=(ALL)ALL
4、更新yum源及必要軟體安裝
yum安裝軟體，預設獲取rpm包的途徑從國外官方源，改成國內的源。
國內較快的兩個站點：搜狐映象站點、網易映象站點
法1：自己配置好安裝源配置檔案，然後上傳到linux。
法2：使用映象站點配置好的yum安裝源配置檔案
[root@c64 ~]# cd /etc/yum.repos.d/ [root@c64 yum.repos.d]# /bin/mv CentOS-Base.repo CentOS-Base.repo.bak [root@c64 yum.repos.d]# wget http://mirrors.163.com/.help/CentOS6-Base-163.repo
接下來執行如下命令，檢測yum是否正常
[root@c64 yum.repos.d]# yum clean all#清空yum快取 [root@c64 yum.repos.d]# yum makecache#建立yum快取
然後使用如下命令將系統更新到最新
[root@c64 yum.repos.d]# rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY*#匯入簽名KEY到RPM [root@c64 yum.repos.d]# yumupgrade-y#更新系統核心到最新 接下來就要安裝幾個必要的軟體了
[root@c64 yum.repos.d]# yum install lrzsz ntpdate sysstat -y
lrzsz是一個上傳下載的軟體
sysstat是用來檢測系統性能及效率的工具
5、定時自動更新伺服器時間
[root@c64 ~]# echo '*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2 >&1' >>/var/spool/cron/root [root@c64 ~]# echo '*/10 * * * * /usr/sbin/ntpdate time.nist.gov >/dev/null 2>&1' >>/var/spool/cron/root
提示：CentOS 6.4的時間同步命令路徑不一樣
6是/usr/sbin/ntpdate
5是/sbin/ntpdate
擴充套件：在機器數量少時，以上定時任務同步時間就可以了。如果機器數量大時，可以在網內另外部署一臺時間同步伺服器NTP Server。此處僅提及，不做部署。
時間同步伺服器架構圖：
133048286.png
6、精簡開機自啟動服務
剛裝完作業系統可以只保留crond，network，syslog，sshd這四個服務。（Centos6.4為rsyslog）
[root@c64 ~]# for sun in `chkconfig --list|grep 3:on|awk '{print $1}'`;do chkconfig --level 3 $sun off;done
[root@c64 ~]# for sun in crond rsyslog sshd network;do chkconfig --level 3 $sun on;done
[root@c64 ~]# chkconfig --list|grep 3:on
crond0:off1:off2:on3:on4:on5:on6:off
network0:off1:off2:on3:on4:on5:on6:off
rsyslog0:off1:off2:on3:on4:on5:on6:off
sshd0:off1:off2:on3:on4:on5:on6:off
7、定時自動清理/var/spool/clientmqueue/目錄垃圾檔案，放置inode節點被佔滿
本優化點，在6.4上可以忽略不需要操作即可！
[root@c64 ~]# mkdir /server/scripts -p [root@c64 ~]# vi /server/scripts/spool_clean.sh #!/bin/sh find/var/spool/clientmqueue/-typef -mtime +30|xargsrm-f
然後將其加入到crontab定時任務中
[root@c64 ~]# echo '*/30 * * * * /bin/sh /server/scripts/spool_clean.sh >/dev/null 2>&1'>>/var/spool/cron/root
8、變更預設的ssh服務埠，禁止root使用者遠端連線
[root@c64 ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak [root@c64 ~]# vim /etc/ssh/sshd_config Port 52113#ssh連線預設的埠 PermitRootLogin no#root使用者***都知道，禁止它遠端登入 PermitEmptyPasswords no #禁止空密碼登入 UseDNS no#不使用DNS [root@c64 ~]# /etc/init.d/sshd reload#從新載入配置 [root@c64 ~]# netstat -lnt#檢視埠資訊 [root@c64 ~]# lsof -i tcp:52113
9、鎖定關鍵檔案系統
[root@c64 ~]# chattr +i /etc/passwd [root@c64 ~]# chattr +i /etc/inittab [root@c64 ~]# chattr +i /etc/group [root@c64 ~]# chattr +i /etc/shadow [root@c64 ~]# chattr +i /etc/gshadow
使用chattr命令後，為了安全我們需要將其改名
[root@c64 ~]# /bin/mv /usr/bin/chattr /usr/bin/任意名稱
10、調整檔案描述符大小
[root@localhost ~]# ulimit –n#檢視檔案描述符大小 1024 [root@localhost ~]# echo '*-nofile65535' >> /etc/security/limits.conf
配置完成後，重新登入即可檢視。
提示：也可以把ulimit -SHn 65535命令加入到/etc/rc.local，然後每次重啟生效
[root@c64 ~]# cat >>/etc/rc.local<<EOF #open files ulimit -HSn 65535 #stack size ulimit -s 65535 EOF
擴充套件：檔案描述符
檔案描述符在形式上是一個非負整數。實際上，它是一個索引值，指向核心為每一個程序所維護的該程序開啟檔案的記錄表。當程式開啟一個現有檔案或者建立一個新檔案時，核心向程序返回一個檔案描述符。在程式設計中，一些涉及底層的程式編寫往往會圍繞著檔案描述符展開。但是檔案描述符這一概念往往只適用於Unix、Linux這樣的作業系統。
習慣上，標準輸入（standard input）的檔案描述符是 0，標準輸出（standard output）是 1，標準錯誤（standard error）是 2。儘管這種習慣並非Unix核心的特性，但是因為一些 shell 和很多應用程式都使用這種習慣，因此，如果核心不遵循這種習慣的話，很多應用程式將不能使用。
11、調整字符集，使其支援中文
sed-i 's#LANG="en_US.UTF-8"#LANG="zh_CN.GB18030"#'/etc/sysconfig/i18n source/etc/sysconfig/i18n
擴充套件：什麼是字符集？
簡單的說就是一套文字元號及其編碼。常用的字符集有：
GBK 定長雙位元組不是國際標準，支援系統不少
UTF-8 非定長 1-4位元組廣泛支援，MYSQL也使用UTF-8
12、去除系統及核心版本登入前的螢幕顯示
[root@c64 ~]# >/etc/redhat-release [root@c64 ~]# >/etc/issue
13、核心引數優化
說明：本優化適合apache，nginx，squid多種等web應用，特殊的業務也可能需要略作調整。
[root@c64 ~]# vi /etc/sysctl.conf #by sun in 20131001 net.ipv4.tcp_fin_timeout = 2 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_keepalive_time =600 net.ipv4.ip_local_port_range = 400065000 net.ipv4.tcp_max_syn_backlog = 16384 net.ipv4.tcp_max_tw_buckets = 36000 net.ipv4.route.gc_timeout = 100 net.ipv4.tcp_syn_retries = 1 net.ipv4.tcp_synack_retries = 1 net.core.somaxconn = 16384 net.core.netdev_max_backlog = 16384 net.ipv4.tcp_max_orphans = 16384
#一下引數是對iptables防火牆的優化，防火牆不開會有提示，可以忽略不理。
net.ipv4.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180 net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120 net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60 net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120 [root@localhost ~]# sysctl –p#使配置檔案生效
提示：由於CentOS6.X系統中的模組名不是ip_conntrack，而是nf_conntrack，所以在/etc/sysctl.conf優化時，需要把net.ipv4.netfilter.ip_conntrack_max 這種老的引數，改成net.netfilter.nf_conntrack_max這樣才可以。
即對防火牆的優化，在5.8上是
net.ipv4.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180 net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120 net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60 net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120
在6.4上是
net.nf_conntrack_max = 25000000 net.netfilter.nf_conntrack_max = 25000000 net.netfilter.nf_conntrack_tcp_timeout_established = 180 net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120 net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60 net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
另外，在此優化過程中可能會有報錯：
1、5.8版本上
error: "net.ipv4.ip_conntrack_max"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_max"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait"is an unknown key
這個錯誤可能是你的防火牆沒有開啟或者自動處理可載入的模組ip_conntrack沒有自動載入，解決辦法有二，一是開啟防火牆，二是自動處理開載入的模組ip_conntrack
modprobe ip_conntrack echo "modprobe ip_conntrack">> /etc/rc.local
2、6.4版本上
error: "net.nf_conntrack_max"isan unknown key error: "net.netfilter.nf_conntrack_max"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_established"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_time_wait"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_close_wait"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_fin_wait"isan unknown key
這個錯誤可能是你的防火牆沒有開啟或者自動處理可載入的模組ip_conntrack沒有自動載入，解決辦法有二，一是開啟防火牆，二是自動處理開載入的模組ip_conntrack
modprobe nf_conntrack echo "modprobe nf_conntrack">> /etc/rc.local
3、6.4版本上
error: "net.bridge.bridge-nf-call-ip6tables"isan unknown key error: "net.bridge.bridge-nf-call-iptables"isan unknown key error: "net.bridge.bridge-nf-call-arptables"isan unknown key
這個錯誤是由於自動處理可載入的模組bridge沒有自動載入，解決辦法是自動處理開載入的模組ip_conntrack
modprobe bridge echo "modprobe bridge">> /etc/rc.local
到此，我們Linux系統安裝後的基礎優化已經操作的差不多了，總結下來一共有13個優化點需要我們來熟知。後面我會出一個一鍵優化的shell指令碼出來和大家一起交流學習。