RHEL/CentOS通用性能优化、安全配置参考
本文的配置参数是笔者在实际生产环境中反复实践总结的结果,完全适用绝大多数通用的高负载、安全性要求的网络服务器环境。故可以放心使用。
若有异议,欢迎联系zhangxugg@163.com探讨。
提示:强烈建议使用RHEL 5.6/CentOS 5.6及以上版本的系统,否则可能会有差异。
一、配置yum更新源
CentOS不需要配置可以直接使用官方提供的yum源(但速度往往较慢),而RHEL在没有购买授权服务情况下,是无法使用redhat官方的yum源的。如果你使用了CentOS但对其官方提供的yum源下载速度不满意,或使用RHEL,需要从安装光盘(或ISO镜像)建立自己的yum源,那么请参照本节。
一般来说,建立yum更新源有三种方式
使用本地物理光盘
使用本地ISO文件
使用HTTP/FTP服务器
这几种方式中,使用本地光盘、本地ISO文件的缺陷很明显--只能为本机使用,无法实现网络yum源共享,所以推荐使用HTTP方式建立yum更新源。以RHEL为标准,分别介绍这三种方式的配置
1. 使用本地光盘镜像
A. 将光盘放入光驱(虚拟机如VM, virtualbox,应该是为虚拟机分配光驱)
B. 建立挂载点
mkdir /mnt/cdrom
C. 装载光盘至挂载点
mount /dev/hdc /mnt/cdrom/
D. 编辑文件 /etc/yum.repos.d/local.repo ,输入以下内容
[base] name=Red Hat Enterprise Linux Local Source baseurl=file:///mnt/cdrom/Server enabled=1 gpgcheck=1 gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release
[Cluster] name=Red Hat Enterprise Linux Cluster baseurl=file:///mnt/cdrom/Cluster
[ClusterStorage] name=Red Hat Enterprise Linux ClusterStorage baseurl=file:///mnt/cdrom/ClusterStorage |
E. 验证是否配置成功
yum repolist
2. 使用本地ISO镜像, 方法与使用光盘大同小异
A. 将系统镜像ISO文件上传至服务器某个目录中(我使用的镜像文件名为rhel-server-5.4-i386-dvd.iso)
B. 建立挂载目录 mkdir /mnt/OS
C. 卸载光驱并装载ISO文件至挂载目录
umount /mnt/cdrom/
mount -o loop rhel-server-5.4-i386-dvd.iso /mnt/cdrom/
D. 其它配置请参照第1小节的D、E步骤即可
3. 使用HTTP方式建立yum源,这需要预先在服务器上安装Http Server,如apache, nginx,lighttpd均可。
A. 准备好系统ISO镜像文件,上传到yum服务器某个目录中
B. 参照第2小节,将ISO文件装载到某个目录中,假设为 /mnt/os
C. 配置http服务器,发布上一步装载的目录,以nginx配置为例子 假设服务器IP为192.168.56.101
server { server_name 192.168.56.101; location /rhel-5.4 { alias /mnt/os; autoindex on; } } |
D. 删掉旧的yum配置文件
mv -f /etc/yum.repos.d/* ~/
E. 编辑文件 /etc/yum.repos.d/onlineyum.repo 输入以下内容
[base] name=Red Hat Enterprise Linux Online Source baseurl=http://192.168.56.101/rhel-5.4/Server enabled=1 gpgcheck=1 gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release
[Cluster] name=Red Hat Enterprise Linux Cluster baseurl=http://192.168.56.101/rhel-5.4/Cluster
[ClusterStorage] name=Red Hat Enterprise Linux ClusterStorage baseurl=http://192.168.56.101/rhel-5.4/ClusterStorage |
F. 测试配置是否生效
yum repolist
提示:
请将nginx配置中的server_name, onlineyum.repo文件中的主机名按实际情况修改
如此处理后,其它服务器只要按上述步骤建立/etc/yum.repos.d/onlineyum.repo文件即可使用共享的yum源了
二、环境设置
主要是设置shell的环境,使日常的操作更为便捷
1. 去掉SSH登录时DNS反向解析,以加快终端登录速度
sed -r "s/.*UseDNS.+/UseDNS no/i" /etc/ssh/sshd_config > /tmp/sshd_config mv -f /tmp/sshd_config /etc/ssh/sshd_config service sshd restart |
2. 设置vi, vim的默认的tab、行号显示参数
echo "set tabstop=4" >> /etc/virc echo "set tabstop=4" >> /etc/vimrc echo "set number" >> /etc/virc echo "set number" >> /etc/vimrc |
3. 设置vim的别名为vi, 这样当我们使用vi命令时,实质上是使用了vim
echo "alias vi=vim" >> ~/.bashrc source ~/.bashrc |
4. 设置正确的时区
cp /usr/share/zoneinfo/Asia/Chongqing /etc/localtime
printf 'ZONE="Asia/Chongqing"\nUTC=false\nARC=false' > /etc/sysconfig/clock
#更新系统时间 ntpdate pool.ntp.org
#执行crontab -e, 输入以下内容,每天凌晨6点更新系统时间 06***/sbin/ntpdate pool.ntp.org 2>&1 | /bin/logger |
5. 设置终端为英文,避免中文显示乱码的不必要麻烦
echo 'LANG="en_US.UTF-8"' > /etc/sysconfig/i18n source /etc/sysconfig/i18n |
6. 停止SELinux功能,避免出现异常现象。设置/etc/sysconfig/selinux文件中
SELINUX=disabled |
三、服务优化 只开启必要的服务,提高安全性和性能
安装完Linux之后,以下服务是必须的必须开启(以RHEL 5.6为参照),没列出的服务可关闭 acpid #高级控制电源管理接口 crond #定时执行任务 haldaemon #必须开启,否则可能导致控制台键盘鼠标无法使用 hidd #同上 irqbalance #支持多cpu中断,必须开启 kudzu #检测硬件变化时自动进行配置 lvm2-monitor #用于监测LVM状态 messagebus #Linux系统进程间通讯的关键服务 mdmonitor #监测软RAID健康状态 即使没有使用软RAID, 也强烈建议启用此服务 mdmpd #同上,即使没有多路径存储设备,也强烈建议启用之 network #网络支持 readahead_early #预先加载特定的应用程序到内存中以提供性能 readahead_later #同上 smartd #硬盘故障自动检测 sshd syslog klogd #如果服务列表中存在,则必须开启
提示:配置服务可使用ntsysv工具,比较方便
其它强烈建议开启的服务 iptables #使用内核防火墙保护服务器 请根据具体需要配置防火墙规则 |
四、Linux内核优化
1. 如果使用了iptables防火墙,则按以下参数优化
#如果发现iptbles影响网络性能或有丢包现象,执行以下命令以优化之 在高流量状态下,如果iptables的hash表过小,就会出现丢包现象,系统日志中产生ip_conntrack: table full, dropping packet.这时网络传输变得超慢。
设置为65536, 意味着netfilter可以跟踪65536*8=50多万个连接,逐步调整此值,直到不出现丢包现象为至。另外,如果这个值设置过大,也会有警告:falling back to vmalloc 因此不能过大
grep -i "ip_conntrack" /etc/modprobe.conf || \ echo "options ip_conntrack hashsize=65536" >> /etc/modprobe.conf
echo "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 1200" >> /etc/sysctl.conf service iptables restart sysctl -p
提示:当重启iptables服务时,以上参数会失效,所以请务必修改/etc/init.d/iptables脚本 case "$1" in start) stop start 修改为 case "$1" in start) stop start /sbin/sysctl -p > /dev/null 2>&1
即在iptables启动之后,强制重新加载/etc/sysctl.conf的配置 |
2. 优化内核网络相关参数,向/etc/sysctl.conf中追加以下内容
net.core.netdev_max_backlog=3000 net.ipv4.conf.lo.accept_redirects=0 net.ipv4.conf.all.accept_redirects=0 net.ipv4.conf.eth0.accept_redirects=0 net.ipv4.conf.default.accept_redirects=0
net.ipv4.tcp_tw_recycle=1 net.ipv4.tcp_tw_reuse=1 net.ipv4.tcp_tw_reuse=1 net.ipv4.tcp_fin_timeout=30 net.ipv4.tcp_keepalive_time=600 net.ipv4.tcp_max_syn_backlog=8192 net.ipv4.tcp_max_tw_buckets = 9000
net.ipv4.tcp_syn_retries = 1
net.core.rmem_max=16777216 net.core.wmem_max=16777216
net.ipv4.tcp_syncookies=1 net.ipv4.tcp_rmem=4096 87380 16777216 net.ipv4.tcp_wmem=4096 65536 16777216
net.ipv4.ip_local_port_range = 102465535 vm.swappiness = 10 |
使用sysctl -p使配置生效。
在机器可重启动情况下,强烈建议重启以确认配置生效
五、配置iptables防火墙规则
在没有其它防火墙保护措施时,一定要尽可能使用iptables的强大功能保护好您的服务器。如果不善于使用iptables, 则不是一个合格的系统工程师
如果不使用iptables, 此小节不必实践
提示:在配置防火墙规则时为防止自己被拒之门外,强烈建议在作以下措施
运行crontab -e 输入以下内容
*/3 * * * * /etc/init.d/iptables stop |
即每3分钟自动停止防火墙。这样即使由于配置错误使自己被拦截,等待3分钟之后,即可解除。
开始配置防火墙规则
这里假设服务器使用两个IP段地址12.35.56.0/24(公网IP),192.168.0.0/16(内网)
服务器提供http (80端口)服务
单个IP到80端口的并发连接最多为30个
来自一个C类网段的并发连接最多为600个
ping的频率最多为10个请求每秒
来自同IP段的任何连接信任
信任已经建立的连接。
服务器出站连接全部允许
允许到1723端口的VPN连接以及gre协议(此服务器同时作为VPN服务器使用)
其它入站连接全部禁止
允许所有的出站连接
提示:本内容在RHEL 5.6 /CentOS 5.6版本上测试通过,对旧版本系统,可能会有问题
/etc/sysconfig/iptables中的内容为
*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [94:9668] -A INPUT -i lo -j ACCEPT -A INPUT -s 192.168.0.0/16 -j ACCEPT -A INPUT -s 12.23.56.0/24 -j ACCEPT -A INPUT -p icmp -m limit --limit 10/sec --limit-burst 30 -j ACCEPT -A INPUT -p icmp -j DROP -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 32 -j DROP -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 600 --connlimit-mask 24 -j DROP -A INPUT -p tcp --dport 80 -j ACCEPT -A INPUT -p tcp --dport 1723 -j ACCEPT -A INPUT -p gre -j ACCEPT -A INPUT -j DROP COMMIT |
重启防火墙以使规则生效
service iptables restart |
提示:经过测试发现RHEL 5.4系统上,iptables没有限制并发连接模块。
测试若没有问题,运行crontab -e 去掉我们开始添加的自动停止防火墙的任务
启用服务
chkconfig iptables on |
如果发现本文中有错误,欢迎反馈至zhangxugg@163.com
强烈建议重启机器进行验证
相关推荐
Linux网络操作系统项目教程(RHEL7.4CentOS7.4)(第3版)》-PPT课件.rar
ZABBIX6的部署要求LINUX8及以上版本,本压缩包包括ZABBIX6安装包、fping、mariaDB等软件包...本压缩包在RHEL/CENTOS/OEL等版本Linux8环境下均测试通过。 关于ZABBIX6的详细部署安装步骤,稍后请访问本人名下相应文档。
网络服务器搭建、配置与管理——Linux(RHEL8CentOS8)(微课版)(第4版)_PPT课件.zip
制作版本 centos update src...rhel 6.1/6.2 centos 6.1/6.2 ubuntu fedora 其他linux 应该都能用 稍后上传seabios-1.6.3 DELL windows 7 oem slic 2.1 bios 自动激活。 windows xp slic DMI 没验证,验证情况给个评价
56796-Linux网络操作系统项目教程(RHEL 8CentOS 8)(微课版)(第4版)-分章节课后习题答案.rar
本教程以Red Hat Enterprise Linux 7.4(RHEL7.4)和CentOS 7.4这两个广泛使用的Linux发行版为平台,详细介绍了Linux系统的安装、配置、管理和网络服务的实现。 1. **Linux基础知识**:首先,教程会介绍Linux的历史...
FileZilla v3.4.0 FTP 客户端 for RHEL5/CentOS5 i386 因 RHEL5/CentOS5 自带 GNUTLS 库版本过老,无法顺利编译 FileZilla 源代码,EPEL 中也没有 FileZilla 的包,无法 yum 得到。RF 有,直接把攫取了下来。rpm -...
安装时先卸载mariadb 和 已安装的mysql:rpm –qa | grep maria, rpm –qa | grep –i mysql,rpm –e xxx --nodeps。 mysql5.7 rpm安装顺序,common→libs→client→server→devel 安装过程报依赖错误,使用 rpm ...
rhel8/centos8下openssh9.0的rpm软件包,用于漏洞修复,提高安全性。
安装时先卸载mariadb 和 已安装的mysql:rpm –qa | grep maria, rpm –qa | grep –i mysql,rpm –e xxx --nodeps。 mysql5.7 rpm安装顺序,common→libs→client→server→devel 安装过程报依赖错误,使用 rpm ...
安装时先卸载mariadb 和 已安装的mysql:rpm –qa | grep maria, rpm –qa | grep –i mysql,rpm –e xxx --nodeps。 mysql5.7 rpm安装顺序,common→libs→client→server→devel 安装过程报依赖错误,使用 rpm ...
Linux网络操作系统项目教程(RHEL7.4 CentOS 7.4)(第3版)实训指导书 本教程旨在指导读者学习 Linux 操作系统的基本概念和实践操作,包括安装 CentOS 7 操作系统、基本网络配置、文件和目录管理、系统信息查看、进程...
tar zxvf openssh-9.0p1.tar.gz [root@localhost x86_64]# ll total 8276 -rw-r--r--. 1 root root 4239360 Jun 25 16:54 openssh-9.0p1-1.el7.x86_64.rpm -rw-r--r--....-rw-r--r--....-rw-r--r--. 1 root root 465028 ...
这篇文章介绍了 “安装完 RHEL/CentOS 7 后需要做的 30 件事情”。阅读帖子的时候请先完成 RHEL/CentOS 最小化安装,这是首选的企业和生产环境。如果还没有,你可以按照下面的指南,它会告诉你两者的最小化安装方法...
《Linux网络操作系统项目教程(RHEL-8CentOS-8)(微课版)(第4版)》电子教案全.doc
2. **Yum(Yellowdog Updater, Modified)**:是RHEL/CentOS系统中默认的包管理器,用于安装、升级、查询和删除软件包。理解yum的工作原理和命令对于替换源文件至关重要。 3. **更换yum源的步骤**: - **备份现有...
### 在RHEL/CentOS 5上配置Oracle 10g自动启动的详细步骤 本文将详细介绍如何在RHEL/CentOS 5操作系统上配置Oracle 10g数据库的自动启动功能。通过以下步骤,我们可以确保Oracle服务在系统启动时能够自动运行。 ##...
综合以上信息,这个压缩包包含了一套用于rr268x平台的RHEL/CentOS 5u2系统的模块化驱动程序和安装工具,旨在支持硬件识别、设备配置以及系统的自动安装。用户可以使用这个包来更新或初始化他们的系统,特别是对于...
例如,在 RHEL/CentOS 6 的 32 位系统上安装 EPEL: ```bash # wget http://download.fedoraproject.org/pub/epel/6/i386/epel-release-6-5.noarch.rpm # rpm -Uvh epel-release-6-5.noarch.rpm ``` **2.1.2 导入 ...
红帽虚拟化平台监控虚机ip地址/资源使用情况需要先安装这个guestAgent包才可以