一、Linux系统调优及安全设置
系统安装安全最小化原则说明
◆安装linux系统最小化，即选包最小化，yum安装软件最小化。
◆开机自启动程序服务最小化，即无用的服务不开启。
◆操作命令最小化原则，rm -f 1.txt 不用rm -fr 1.txt。
◆登录linux用户最小化原则，平时没有需求不用root登录，用普通用户登录。
◆文件及目录的权限设置最小化。一般建议设置权限：文件644，目录755。
◆各种网络服务，系统配置参数合理，不要最大化。
1、关闭selinux(也不是强制的)
执行命令：
setenforce 0
getenforce
cp /etc/selinux/config /etc/selinux/config.bak
sed -i 's@SELINUX=enforcing@SELINUX=disabled@g' /etc/selinux/config
diff /etc/selinux/config.bak /etc/selinux/config
2、切换运行级别为3文本模式
执行命令：
cp /etc/inittab /etc/inittab.bak
sed -i 's@id:\(.*\):initdefault:@id:3:initdefault:@g' /etc/inittab
diff /etc/inittab.bak /etc/inittab /tmp/syscheck.log
linux的运行级别如下：
0：关机模式
1：单用户模式
2：无网络模式的多用户
3：文本模式
4：无用
5：图形界面模式
6：重启模式
3、精简开机自启动
执行命令：
LANG=en
for a in `chkconfig --list|grep 3:on|awk '{print $1}'`;do chkconfig --level 3 $a off;done
for a in crond network rsyslog sshd;do chkconfig --level 3 $a on;done
chkconfig --list |grep 3:on >>/tmp/syscheck.log
另一种方法：
chkconfig --list|grep "3:on"|grep -vE "sshd|crond|network|rsyslog" |awk '{print $1}'|sed -r 's#^(.*)#chkconfig \1 off#g'|bash
chkconfig --list|grep "3:on"
4、更改ssh的远程登陆端口
执行命令：
/etc/init.d/iptables stop
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
cat >>/etc/ssh/sshd_config<<EOF
#######by zhangsan 2016-11-11######
Port 52113
PermitRootLogin no
PermitEmptyPasswords no
UseDNS no
GSSAPIAuthentication no
#######by zhangsan 2016-11-11######
EOF
tail -8
/etc/ssh/sshd_config>>/tmp/syscheck.log
/etc/init.d/sshd
restart
关于GSSAPIAuthentication no参数的说明：
客户端需要对服务器端的IP地址进行反解析，如果服务器的IP地址没有配置PTR记录,则连接速率会比较慢。
5、加入sudo管理
可以用命令visudo或者vi /etc/sudoers
，一般用前者，因为前者会检查语法。
格式如下：
用户
机器=（授权那个角色的权利） 命令
zhangsan ALL=(ALL) /bin/rm
授权zhangsan可以以所有用户角色的权限，执行rm。
执行命令：
echo 'zhangsan ALL=(ALL) ALL'>>/etc/sudoers
tail -1
/etc/sudoers>>/tmp/syscheck.log
验证：
[zhangsan@c66-moban ~]$ rm -f /root/a.log
rm: cannot remove `/root/a.log': Permission denied
[zhangsan@c66-moban ~]$ sudo rm -f /root/a.log
[sudo] password for zhangsan:
6、更改字符集支持中文
[root@c66-moban /]# cat /etc/sysconfig/i18n
LANG="en_US.UTF-8"
SYSFONT="latarcyrheb-sun16"
执行命令：
cp /etc/sysconfig/i18n
/etc/sysconfig/i18n.bak
echo
'LANG="zh_CN.UTF-8"'>/etc/sysconfig/i18n
source /etc/sysconfig/i18n
echo $LANG >>/tmp/syscheck.log
7、校准系统时间
执行命令：
echo '*/5 * * * * /usr/sbin/ntpdate
time.windows.com >/dev/null 2>&1'>/var/spool/cron/root
crontab -l >>/tmp/syscheck.log
[root@c66-moban /]# echo '*/5 * * * * /usr/sbin/ntpdate ntp.sjtu.edu.cn >/dev/null 2>&1' >>/var/spool/cron/root
[root@c66-moban /]# crontab -l
*/5 * * * * /usr/sbin/ntpdate ntp.sjtu.edu.cn >/dev/null 2>&1
同步到
BIOS里面：
[root@C66-mode
~]# hwclock
2015年01月08日 星期四 19时58分26秒
-0.884854 seconds
8、调整连接工具的超时时间及历史记录数
l TMOUT=5 是指SecureCRT或者Xshell的连接超时时间
l HISTSIZE=5 是指当前shell命令history的最大值
l HISTFILESIZE=5 是指.bash_history文件中保存的命令条数最大值
执行命令：
echo 'TMOUT=300' >>/etc/profile
echo 'HISTSIZE=5' >>/etc/profile
echo 'HISTFILESIZE=5' >>/etc/profile
tail -3 /etc/profile
source /etc/profile
9、加大文件描述符
文件描述符是由无符号整数表示的句柄（一般使用范围0~65535），进程使用它来标识打开的文件。文件描述符与包括相关信息（如文件的打开模式、文件的位置类型、文件的初始类型等）的文件对象相关联，这些信息被称作文件的上下文。
对于内核而言，所有打开的文件都是通过文件描述符引用的。当打开一个现有文件或者创建一个新文件时，内核向进程返回一个文件描述符。
退出后再登陆，即生效
echo '* - nofile 65535 '
>>/etc/security/limits.conf
也可以加入开机自启动
cat >> /etc/rc.local <<EOF
#open files
ulimit -HSn 65535
#stack size
ulimit -s 65535
EOF
10、优化内核参数
执行命令：
cat >>/etc/sysctl.conf<<EOF
net.ipv4.tcp_fin_timeout = 2
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_keepalive_time = 600
net.ipv4.ip_local_port_range = 4000 65000
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.route.gc_timeout = 100
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
net.core.somaxconn = 16384
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_max_orphans = 16384
#############################################################
net.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_tcp_timeout_established = 180
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
EOF
sysctl -p
网络状态说明及优化参数，详细参见：
http://yangrong.blog.51cto.com/6945369/1321594
11、清空系统显示
执行命令：
>/etc/issue
>/etc/issue.net
可以加一些重要的系统提示！
[root@C66-mode
~]# echo " This is DataBase-Server,Please Be Careful！">/etc/motd
[root@C66-mode
~]# cat /etc/motd
This is
DataBase-Server,Please Be Careful！
12、特殊文件加锁
执行命令：
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow
/etc/inittab
lsattr /etc/passwd /etc/shadow /etc/group /etc/gshadow
/etc/inittab
也可以把命令改名后再加锁：
mv /usr/bin/chattr /opt/zhangsan
/opt/zhangsan +i /etc/passwd /etc/shadow
/etc/group /etc/gshadow /etc/inittab
13、系统升级
执行命令：
cp /etc/yum.repos.d/CentOS-Base.repo
/etc/yum.repos.d/CentOS-Base.repo.bak
wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-6.repo
命令说明：
yum upgrade 只升级所有包，不升级软件和系统内核
yum update 升级所有包同时也升级软件和系统内核
升级建议：
新装的服务器 可以更新
运行的服务器，上线了。尽量不要更新
14、禁止linux系统被ping(非必须)
执行命令：
echo"net.ipv4.icmp_echo_ignore_all=1"
>> /etc/sysctl.conf
tail -1 /etc/sysctl.conf
sysctl -p