Linux服務器安全配置

原創 IT小智 2020-02-23 00:13
 

Linux服務器安全配置


衆所周知，網絡安全是一個非常重要的課題，而服務器是網絡安全中最關鍵的環節。Linux被認爲是一個比較安全的Internet服務器，作爲一種開放源代碼操作系統，一旦Linux系統中發現有安全漏洞，Internet上來自世界各地的志願者會踊躍修補它。然而，系統管理員往往不能及時地得到信息並進行更正，這就給黑客以可乘之機。相對於這些系統本身的安全漏洞，更多的安全問題是由不當的配置造成的，可以通過適當的配置來防止。服務器上運行的服務越多，不當的配置出現的機會也就越多，出現安全問題的可能性就越大。對此，下面將介紹一些增強Linux/Unix服務器系統安全性的知識。

　 一、系統安全記錄文件 
　操作系統內部的記錄文件是檢測是否有網絡入侵的重要線索。如果您的系統是直接連到Internet，您發現有很多人對您的系統做Telnet/FTP登錄嘗試，可以運行\"#more /var/log/secure | grep refused\"來檢查系統所受到的攻擊，以便採取相應的對策，如使用SSH來替換Telnet/rlogin等。

　 二、啓動和登錄安全性 
　 1．BIOS安全 
　 設置BIOS密碼且修改引導次序禁止從軟盤啓動系統。 
　 2．用戶口令 
　用戶口令是Linux安全的一個基本起點，很多人使用的用戶口令過於簡單，這等於給侵入者敞開了大門，雖然從理論上說，只要有足夠的時間和資源可以利用，就沒有不能破解的用戶口令，但選取得當的口令是難於破解的。較好的用戶口令是那些只有他自己容易記得並理解的一串字符，並且絕對不要在任何地方寫出來。
　 3．默認賬號 
　應該禁止所有默認的被操作系統本身啓動的並且不必要的賬號，當您第一次安裝系統時就應該這麼做，Linux提供了很多默認賬號，而賬號越多，系統就越容易受到攻擊。 
　 可以用下面的命令刪除賬號。 
　 # userdel用戶名 
　 或者用以下的命令刪除組用戶賬號。 
　 # groupdel username 
　 4．口令文件 
　 chattr命令給下面的文件加上不可更改屬性，從而防止非授權用戶獲得權限。 
　 # chattr +i /etc/passwd 
　 # chattr +i /etc/shadow 
　 # chattr +i /etc/group 
　 # chattr +i /etc/gshadow 
　 5．禁止Ctrl+Alt+Delete重新啓動機器命令 
　 修改/etc/inittab文件，將\"ca::ctrlaltdel:/sbin/shutdown -t3 -r now\"一行註釋掉。然後重新設置/etc/rc.d/init.d/目錄下所有文件的許可權限，運行如下命令：
　 # chmod -R 700 /etc/rc.d/init.d/* 
　 這樣便僅有root可以讀、寫或執行上述所有腳本文件。 
　 6．限制su命令 
　如果您不想任何人能夠su作爲root，可以編輯/etc/pam.d/su文件，增加如下兩行： 
　 auth sufficient /lib/security/pam_rootok.so debug 
　 auth required /lib/security/pam_wheel.so group=isd 
　這時，僅isd組的用戶可以su作爲root。此後，如果您希望用戶admin能夠su作爲root，可以運行如下命令： 
　 # usermod -G10 admin 
　 7．刪減登錄信息 
　默認情況下，登錄提示信息包括Linux發行版、內核版本名和服務器主機名等。對於一臺安全性要求較高的機器來說這樣泄漏了過多的信息。可以編輯/etc/rc.d/rc.local將輸出系統信息的如下行註釋掉。
　 # This will overwrite /etc/issue at every boot. So， make any changes you 
　 # want to make to /etc/issue here or you will lose them when you reboot. 
　 # echo \"\" > /etc/issue 
　 # echo \"$R\" >> /etc/issue 
　 # echo \"Kernel $(uname -r) on $a $(uname -m)\" >> /etc/issue 
　 # cp -f /etc/issue /etc/issue.net 
　 # echo >> /etc/issue 
　 然後，進行如下操作： 
　 # rm -f /etc/issue 
　 # rm -f /etc/issue.net 
　 # touch /etc/issue 
　 # touch /etc/issue.net 

　 三、限制網絡訪問 
　 1．NFS訪問 
　如果你使用NFS網絡文件系統服務，應該確保您的/etc/exports具有最嚴格的訪問權限設置，也就是意味着不要使用任何通配符、不允許root寫權限並且只能安裝爲只讀文件系統。編輯文件/etc/exports並加入如下兩行。
　 /dir/to/export host1.mydomain.com(ro，root_squash) 
　 /dir/to/export host2.mydomain.com(ro，root_squash) 
　 /dir/to/export 是您想輸出的目錄，host.mydomain.com是登錄這個目錄的機器名，ro意味着mount成只讀系統，root_squash禁止root寫入該目錄。爲了使改動生效，運行如下命令。
　 # /usr/sbin/exportfs -a 
　 2．Inetd設置 
　首先要確認/etc/inetd.conf的所有者是root，且文件權限設置爲600。設置完成後，可以使用\"stat\"命令進行檢查。 
　 # chmod 600 /etc/inetd.conf 
　 然後，編輯/etc/inetd.conf禁止以下服務。 
　 ftp telnet shell login exec talk ntalk imap pop-2 pop-3 finger auth 
　如果您安裝了ssh/scp，也可以禁止掉Telnet/FTP。爲了使改變生效，運行如下命令： 
　 #killall -HUP inetd 
　默認情況下，多數Linux系統允許所有的請求，而用TCP_WRAPPERS增強系統安全性是舉手之勞，您可以修改/etc/hosts.deny和/etc/hosts.allow來增加訪問限制。例如，將/etc/hosts.deny設爲\"ALL: ALL\"可以默認拒絕所有訪問。然後在/etc/hosts.allow文件中添加允許的訪問。例如，\"sshd: 192.168.1.10/255.255.255.0 gate.openarch.com\"表示允許IP地址192.168.1.10和主機名gate.openarch.com允許通過SSH連接。
　 配置完成後，可以用tcpdchk檢查: 
　 # tcpdchk 
　 tcpchk是TCP_Wrapper配置檢查工具，它檢查您的tcp wrapper配置並報告所有發現的潛在/存在的問題。 
　 3．登錄終端設置 
　 /etc/securetty文件指定了允許root登錄的tty設備，由/bin/login程序讀取，其格式是一個被允許的名字列表，您可以編輯/etc/securetty且註釋掉如下的行。
　 #tty1 
　 # tty2 
　 # tty3 
　 # tty4 
　 # tty5 
　 # tty6 
　 這時，root僅可在tty1終端登錄。 
　 4．避免顯示系統和版本信息。 
　如果您希望遠程登錄用戶看不到系統和版本信息，可以通過一下操作改變/etc/inetd.conf文件： 
　 telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h 
　 加-h表示telnet不顯示系統信息，而僅僅顯示\"login:\" 

　 四、防止攻擊 
　 1．阻止ping 如果沒人能ping通您的系統，安全性自然增加了。爲此，可以在/etc/rc.d/rc.local文件中增加如下一行： 
　 echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all 
　 2．防止IP欺騙 
　 編輯host.conf文件並增加如下幾行來防止IP欺騙攻擊。 
　 order bind，hosts 
　 multi off 
　 nospoof on 
　 3．防止DoS攻擊 
　對系統所有的用戶設置資源限制可以防止DoS類型攻擊。如最大進程數和內存使用數量等。例如，可以在/etc/security/limits.conf中添加如下幾行：
　 * hard core 0 
　 * hard rss 5000 
　 * hard nproc 20 
　 然後必須編輯/etc/pam.d/login文件檢查下面一行是否存在。 
　 session required /lib/security/pam_limits.so 

　上面的命令禁止調試文件，限制進程數爲50並且限制內存使用爲5MB。 


8.阻止任何人su作爲root

如果你不想任何人能夠su作爲root,你能編輯/etc/pam.d/su加下面的行：

查看文本打印
  1. #vi /etc/pam.d/su  
  2. auth sufficient /lib/security/$ISA/pam_rootok.so debug  
  3. auth required /lib/security/$ISA/pam_wheel.so group=website  
  4. 意味着僅僅website組的用戶可以su作爲root.  

10.修改ssh服務的sshd 端口

ssh默認會監聽在22端口，你可以修改至6022端口以避過常規的掃描。
注意：修改端口錯誤可能會導致你下次連不到服務器，可以先同時開着22和6022兩個端口，然後再關掉22端口；
重啓sshd不會彈掉你當前的連接，可以另外開一個客戶端來測試服務;

查看文本打印
  1. #vi /etc/ssh/sshd_config  
  2. #增加修改  
  3. #Port 22 #關閉22端口  
  4. Port 6022 #增加6022端口  
  5. #重啓sshd服務  
  6. service sshd restart  
  7. 檢查一下sshd的監聽端口對不對  
  8. netstat -lnp|grep ssh  
  9. #iptables開放sshd的6022端口  
  10. vi /etc/sysconfig/iptables  
  11. #如果使用redhat默認規則則增加  
  12. -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 6022 -j ACCEPT  
  13. #或  
  14. iptables -A INPUT -p tcp --dport 6022 -j ACCEPT  
  15. iptables -A OUTPUT -p udp --sport 6022 -j ACCEPT  

重啓iptables 服務

查看文本打印
  1. service iptables restart  
  2. #測試兩個端口是否都能連上，連上後再將22端口刪除  
詳細參考：
Linux操作系統下SSH默認22端口修改方法

　經過以上的設置，你的Linux服務器已經可以對絕大多數已知的安全問題和網絡攻擊具有免疫能力，但一名優秀的系統管理員仍然要時刻注意網絡安全動態，隨時對已經暴露出的和潛在安全漏洞進行修補。

11.關閉系統不使用的服務：

cd /etc/init.d #進入到系統init進程啓動目錄
在這裏有兩個方法，可以關閉init目錄下的服務，

一、將init目錄下的文件名mv成*.old類的文件名，即修改文件名，作用就是在系統啓動的時候找不到這個服務的啓動文件。

二、使用chkconfig系統命令來關閉系統啓動等級的服務。

注：在使用以下任何一種方法時，請先檢查需要關閉的服務是否是本服務器特別需要啓動支持的服務，以防關閉正常使用的服務。

使用chkcofig命令來關閉不使用的系統服務 (level前面爲2個減號)要想在修改啓動腳本前瞭解有多少服務正在運行，輸入：

查看文本打印
  1. ps aux | wc -l  

然後修改啓動腳本後，重啓系統，再次輸入上面的命令，就可計算出減少了多少項服務。越少服務在運行，安全性就越好。另外運行以下命令可以瞭解還有多少服務在運行：

查看文本打印
  1. netstat -na --ip  

批量方式先停止服務

for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do service $i stop;done

關閉啓動服務

for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do chkconfig $i off;done

以下爲手動方式及解釋,執行批量方式後不需再執行了

查看文本打印
  1. chkconfig --level 345 apmd off ##筆記本需要  
  2. chkconfig --level 345 netfs off ## nfs客戶端  
  3. chkconfig --level 345 yppasswdd off ## NIS服務器，此服務漏洞很多  
  4. chkconfig --level 345 ypserv off ## NIS服務器，此服務漏洞很多  
  5. chkconfig --level 345 dhcpd off ## dhcp服務  
  6. chkconfig --level 345 portmap off ##運行rpc(111端口)服務必需  
  7. chkconfig --level 345 lpd off ##打印服務  
  8. chkconfig --level 345 nfs off ## NFS服務器，漏洞極多  
  9. chkconfig --level 345 sendmail off ##郵件服務, 漏洞極多  
  10. chkconfig --level 345 snmpd off ## SNMP，遠程用戶能從中獲得許多系統信息  
  11. chkconfig --level 345 rstatd off ##避免運行r服務，遠程用戶可以從中獲取很多信息  
  12. chkconfig --level 345 atd off ##和cron很相似的定時運行程序的服務  
  13. 注：以上chkcofig 命令中的3和5是系統啓動的類型，以下爲數字代表意思  
  14. 0:開機(請不要切換到此等級)  
  15. 1:單人使用者模式的文字界面  
  16. 2:多人使用者模式的文字界面,不具有網絡檔案系統(NFS)功能  
  17. 3:多人使用者模式的文字界面,具有網絡檔案系統(NFS)功能  
  18. 4:某些發行版的linux使用此等級進入x windows system  
  19. 5:某些發行版的linux使用此等級進入x windows system  
  20. 6:重新啓動  

如果不指定--level 單用on和off開關，系統默認只對運行級3，4，5有效

查看文本打印
  1. chkconfig cups off #打印機  
  2. chkconfig bluetooth off # 藍牙  
  3. chkconfig hidd off # 藍牙  
  4. chkconfig ip6tables off # ipv6  
  5. chkconfig ipsec off # vpn  
  6. chkconfig auditd off #用戶空間監控程序  
  7. chkconfig autofs off #光盤軟盤硬盤等自動加載服務  
  8. chkconfig avahi-daemon off #主要用於Zero Configuration Networking ，一般沒什麼用建議關閉  
  9. chkconfig avahi-dnsconfd off #主要用於Zero Configuration Networking ,同上,建議關閉  
  10. chkconfig cpuspeed off #動態調整CPU頻率的進程，在服務器系統中這個進程建議關閉  
  11. chkconfig isdn off #isdn  
  12. chkconfig kudzu off #硬件自動監測服務  
  13. chkconfig nfslock off #NFS文檔鎖定功能。文檔共享支持，無需的能夠關了  
  14. chkconfig nscd off #負責密碼和組的查詢，在有NIS服務時需要  
  15. chkconfig pcscd off #智能卡支持，,如果沒有可以關了  
  16. chkconfig yum-updatesd off #yum更新  
  17. chkconfig acpid off  
  18. chkconfig autofs off  
  19. chkconfig firstboot off  
  20. chkconfig mcstrans off #selinux  
  21. chkconfig microcode_ctl off  
  22. chkconfig rpcgssd off  
  23. chkconfig rpcidmapd off  
  24. chkconfig setroubleshoot off  
  25. chkconfig xfs off  
  26. chkconfig xinetd off  
  27. chkconfig messagebus off  
  28. chkconfig gpm off #鼠標  
  29. chkconfig restorecond off #selinux  
  30. chkconfig haldaemon off  
  31. chkconfig sysstat off  
  32. chkconfig readahead_early off  
  33. chkconfig anacron off  

需要保留的服務

查看文本打印
  1. crond , irqbalance , microcode_ctl ,network , sshd ,syslog  

因爲有些服務已運行，所以設置完後需重啓

查看文本打印
  1. chkconfig  
  2. /*  

語法：chkconfig [--add][--del][--list][系統服務] 或 chkconfig [--level <等級代號>][系統服務][on/off/reset]

補充說明：這是Red Hat公司遵循GPL規則所開發的程序，它可查詢操作系統在每一個執行等級中會執行哪些系統服務，其中包括各類常駐服務。

參數：

查看文本打印
  1. --add 　增加所指定的系統服務，讓chkconfig指令得以管理它，並同時在系統啓動的敘述文件內增加相關數據。  
  2. --del 　刪除所指定的系統服務，不再由chkconfig指令管理，並同時在系統啓動的敘述文件內刪除相關數據。  
  3. --level<等級代號> 　指定讀系統服務要在哪一個執行等級中開啓或關畢  
  4. /  

12.阻止系統響應任何從外部/內部來的ping請求

既然沒有人能ping通你的機器並收到響應，你可以大大增強你的站點的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次啓動後自動運行。

查看文本打印
  1. echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all  
  2. #這個可以不做哈  

13.修改“/etc/host.conf”文件

查看文本打印
  1. “/etc/host.conf”說明了如何解析地址。編輯“/etc/host.conf”文件（vi /etc/host.conf），加入下面這行：  
  2. # Lookup names via DNS first then fall back to /etc/hosts.  
  3. order hosts,bind  
  4. # We have machines with multiple IP addresses.  
  5. multi on  
  6. # Check for IP address spoofing.  
  7. nospoof on  

第一項設置首先通過DNS解析IP地址，然後通過hosts文件解析。第二項設置檢測是否“/etc/hosts”文件中的主機是否擁有多個IP地址（比如有多個以太口網卡）。第三項設置說明要注意對本機未經許可的電子欺騙。

14.不允許從不同的控制檯進行root登陸

"/etc/securetty"文件允許你定義root用戶可以從那個TTY設備登陸。你可以編輯"/etc/securetty"文件，再不需要登陸的TTY設備前添加“#”標誌，來禁止從該TTY設備進行root登陸。

在/etc/inittab文件中有如下一段話：

查看文本打印
  1. # Run gettys in standard runlevels  
  2. 1:2345:respawn:/sbin/mingetty tty1  
  3. 2:2345:respawn:/sbin/mingetty tty2  
  4. #3:2345:respawn:/sbin/mingetty tty3  
  5. #4:2345:respawn:/sbin/mingetty tty4  
  6. #5:2345:respawn:/sbin/mingetty tty5  
  7. #6:2345:respawn:/sbin/mingetty tty6  

系統默認的可以使用6個控制檯，即Alt+F1,Alt+F2...，這裏在3，4，5，6前面加上“#”，註釋該句話，這樣現在只有兩個控制檯可供使用，最好保留兩個。然後重新啓動init進程，改動即可生效！

15.禁止Control-Alt-Delete鍵盤關閉命令

查看文本打印
  1. 在"/etc/inittab" 文件中註釋掉下面這行（使用#）：  
  2. ca::ctrlaltdel:/sbin/shutdown -t3 -r now  
  3. 改爲：  
  4. #ca::ctrlaltdel:/sbin/shutdown -t3 -r now  
  5. 爲了使這項改動起作用，輸入下面這個命令：  
  6. # /sbin/init q  

16.用chattr命令給下面的文件加上不可更改屬性。

查看文本打印
  1. [root@c1gstudio]# chattr +i /etc/passwd  
  2. [root@c1gstudio]# chattr +i /etc/shadow  
  3. [root@c1gstudio]# chattr +i /etc/group  
  4. [root@c1gstudio]# chattr +i /etc/gshadow  

【注：chattr是改變文件屬性的命令，參數i代表不得任意更動文件或目錄,此處的i爲不可修改位(immutable)。查看方法：lsattr /etc/passwd，撤銷爲chattr –i /etc/group】

補充說明：這項指令可改變存放在ext2文件系統上的文件或目錄屬性，這些屬性共有以下8種模式：

查看文本打印
  1. a：讓文件或目錄僅供附加用途。  
  2. b：不更新文件或目錄的最後存取時間。  
  3. c：將文件或目錄壓縮後存放。  
  4. d：將文件或目錄排除在傾倒操作之外。  
  5. i：不得任意更動文件或目錄。  
  6. s：保密性刪除文件或目錄。  
  7. S：即時更新文件或目錄。  
  8. u：預防以外刪除。  

參數：

查看文本打印
  1. -R 遞歸處理，將指定目錄下的所有文件及子目錄一併處理。  
  2. -v<版本編號> 設置文件或目錄版本。  
  3. -V 顯示指令執行過程。  
  4. +<屬性> 開啓文件或目錄的該項屬性。  
  5. -<屬性> 關閉文件或目錄的該項屬性。  
  6. =<屬性> 指定文件或目錄的該項屬性。  

17.給系統服務端口列表文件加鎖

主要作用：防止未經許可的刪除或添加服務

查看文本打印
  1. chattr +i /etc/services  
  2. 【查看方法：lsattr /etc/ services，撤銷爲chattr –i /etc/ services】  

18.系統文件權限修改

linux文件系統的安全主要是通過設置文件的權限來實現的。每一個Linux的文件或目錄，都有3組屬性，分別定義文件或目錄的所有者，用戶組和其他人的使用權限（只讀、可寫、可執行、允許SUID、允許SGID等）。特別注意，權限爲SUID和SGID的可執行文件，在程序運行過程中，會給進程賦予所有者的權限，如果被黑客發現並利用就會給系統造成危害。

(1)修改init目錄文件執行權限：

查看文本打印
  1. chmod -R 700 /etc/init.d/* （遞歸處理，owner具有rwx，group無，others無）  

(2)修改部分系統文件的SUID和SGID的權限：

查看文本打印
  1. chmod a-s /usr/bin/chage  
  2. chmod a-s /usr/bin/gpasswd  
  3. chmod a-s /usr/bin/wall  
  4. chmod a-s /usr/bin/chfn  
  5. chmod a-s /usr/bin/chsh  
  6. chmod a-s /usr/bin/newgrp  
  7. chmod a-s /usr/bin/write  
  8. chmod a-s /usr/sbin/usernetctl  
  9. chmod a-s /usr/sbin/traceroute  
  10. chmod a-s /bin/mount  
  11. chmod a-s /bin/umount  
  12. chmod a-s /sbin/netreport  

(3)修改系統引導文件

查看文本打印
  1. chmod 600 /etc/grub.conf  
  2. chattr +i /etc/grub.conf  
  3. 【查看方法：lsattr /etc/grub.conf，撤銷爲chattr –i /etc/grub.conf】  

19.增加dns

查看文本打印
  1. #vi /etc/resolv.conf  
  2. nameserver 8.8.8.8 #google dns  
  3. nameserver 8.8.4.4  

20.hostname 修改

查看文本打印
  1. #注意需先把mysql、postfix等服務停了  
  2. 1.hostname servername  
  3. 2.vi /etc/sysconfig/network  
  4. service network restart  
  5. 3.vi /etc/hosts  

21.selinux 修改

開啓selinux可以增加安全性，但裝軟件時可能會遇到一些奇怪問題
以下是關閉方法

查看文本打印
  1. #vi /etc/selinux/config  

改成disabled

22.關閉ipv6

查看文本打印
  1. echo "alias net-pf-10 off" >> /etc/modprobe.conf  
  2. echo "alias ipv6 off" >> /etc/modprobe.conf  
  3. #vi /etc/sysconfig/network  
  4. NETWORKING_IPV6=no  

重啓服務

查看文本打印
  1. Service ip6tables stop  
  2. Service network restart  

關閉自動啓動

查看文本打印
  1. chkconfig --level 235 ip6tables off  

23.設置iptables

iptables 默認安全規則腳本

重啓系統

以上大部分設置可以運行腳本來完成。linux安全設置快捷腳本

設置完成後重啓系統

其它設置項

linux調整系統時區/時間的方法

把/usr/share/zoneinfo裏相應的時區與/etc/localtime做個軟link.比如使用上海時區的時間:ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localtime 如果要使用UTC計時方式，則應在/etc/sysconfig/clock文件裏改UTC=TRUE 時間的設置: 使用date 命令加s參數修改，注意linux的時間格式爲"月日時分年",也可以只修改時間date -s 22:30:20,如果修改的是年月日和時間，格式爲"月日時分年.秒",2007-03-18 11:01:56則應寫爲"date -s 031811012007.56 硬件時間與當前時間更新: hwclock --systohc 如果硬件記時用UTC,則爲 hwclock --systohc --utc

linux調整系統時區/時間的方法

1) 找到相應的時區文件

查看文本打印
  1. /usr/share/zoneinfo/Asia/Shanghai  

用這個文件替換當前的/etc/localtime文件。
步驟： cp –i /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

選擇覆蓋

2) 修改/etc/sysconfig/clock文件，修改爲：

查看文本打印
  1. ZONE="Asia/Shanghai"  
  2. UTC=false  
  3. ARC=false  

3)
時間設定成2005年8月30日的命令如下：

查看文本打印
  1. #date -s 08/30/2005  

將系統時間設定成下午6點40分0秒的命令如下：

查看文本打印
  1. #date -s 18:40:00  

4)同步BIOS時鐘，強制把系統時間寫入CMOS，命令如下：

查看文本打印
  1. #clock -w  

安裝ntpd

查看文本打印
  1. #yum install ntp  
  2. #chkconfig --levels 235 ntpd on  
  3. #ntpdate ntp.api.bz #先手動校準下  
  4. #service ntpd start  

設置語言

英文語言，中文支持

查看文本打印
  1. #vi /etc/sysconfig/i18n  
  2. LANG="en_US.UTF-8"  
  3. SUPPORTED="zh_CN.UTF-8:zh_CN:zh"  
  4. SYSFONT="latarcyrheb-sun16"  

tmpwatch 定時清除

假設服務器自定義了PHP的session和upload目錄

查看文本打印
  1. #vi /etc/cron.daily/tmpwatch  
  2. 在240 /tmp 前增加  
  3. -x /tmp/session -x /tmp/upload  
  4. #mkdir /tmp/session  
  5. #mkdir /tmp/upload  
  6. #chown nobody:nobody /tmp/upload  
  7. #chmod 0770 /tmp/upload  

11.關閉系統不使用的服務：

cd /etc/init.d #進入到系統init進程啓動目錄
在這裏有兩個方法，可以關閉init目錄下的服務，

一、將init目錄下的文件名mv成*.old類的文件名，即修改文件名，作用就是在系統啓動的時候找不到這個服務的啓動文件。

二、使用chkconfig系統命令來關閉系統啓動等級的服務。

注：在使用以下任何一種方法時，請先檢查需要關閉的服務是否是本服務器特別需要啓動支持的服務，以防關閉正常使用的服務。

使用chkcofig命令來關閉不使用的系統服務 (level前面爲2個減號)要想在修改啓動腳本前瞭解有多少服務正在運行，輸入：

查看文本打印
  1. ps aux | wc -l  

然後修改啓動腳本後，重啓系統，再次輸入上面的命令，就可計算出減少了多少項服務。越少服務在運行，安全性就越好。另外運行以下命令可以瞭解還有多少服務在運行：

查看文本打印
  1. netstat -na --ip  

批量方式先停止服務

for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do service $i stop;done

關閉啓動服務

for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do chkconfig $i off;done

以下爲手動方式及解釋,執行批量方式後不需再執行了

查看文本打印
  1. chkconfig --level 345 apmd off ##筆記本需要  
  2. chkconfig --level 345 netfs off ## nfs客戶端  
  3. chkconfig --level 345 yppasswdd off ## NIS服務器，此服務漏洞很多  
  4. chkconfig --level 345 ypserv off ## NIS服務器，此服務漏洞很多  
  5. chkconfig --level 345 dhcpd off ## dhcp服務  
  6. chkconfig --level 345 portmap off ##運行rpc(111端口)服務必需  
  7. chkconfig --level 345 lpd off ##打印服務  
  8. chkconfig --level 345 nfs off ## NFS服務器，漏洞極多  
  9. chkconfig --level 345 sendmail off ##郵件服務, 漏洞極多  
  10. chkconfig --level 345 snmpd off ## SNMP，遠程用戶能從中獲得許多系統信息  
  11. chkconfig --level 345 rstatd off ##避免運行r服務，遠程用戶可以從中獲取很多信息  
  12. chkconfig --level 345 atd off ##和cron很相似的定時運行程序的服務  
  13. 注：以上chkcofig 命令中的3和5是系統啓動的類型，以下爲數字代表意思  
  14. 0:開機(請不要切換到此等級)  
  15. 1:單人使用者模式的文字界面  
  16. 2:多人使用者模式的文字界面,不具有網絡檔案系統(NFS)功能  
  17. 3:多人使用者模式的文字界面,具有網絡檔案系統(NFS)功能  
  18. 4:某些發行版的linux使用此等級進入x windows system  
  19. 5:某些發行版的linux使用此等級進入x windows system  
  20. 6:重新啓動  

如果不指定--level 單用on和off開關，系統默認只對運行級3，4，5有效

查看文本打印
  1. chkconfig cups off #打印機  
  2. chkconfig bluetooth off # 藍牙  
  3. chkconfig hidd off # 藍牙  
  4. chkconfig ip6tables off # ipv6  
  5. chkconfig ipsec off # vpn  
  6. chkconfig auditd off #用戶空間監控程序  
  7. chkconfig autofs off #光盤軟盤硬盤等自動加載服務  
  8. chkconfig avahi-daemon off #主要用於Zero Configuration Networking ，一般沒什麼用建議關閉  
  9. chkconfig avahi-dnsconfd off #主要用於Zero Configuration Networking ,同上,建議關閉  
  10. chkconfig cpuspeed off #動態調整CPU頻率的進程，在服務器系統中這個進程建議關閉  
  11. chkconfig isdn off #isdn  
  12. chkconfig kudzu off #硬件自動監測服務  
  13. chkconfig nfslock off #NFS文檔鎖定功能。文檔共享支持，無需的能夠關了  
  14. chkconfig nscd off #負責密碼和組的查詢，在有NIS服務時需要  
  15. chkconfig pcscd off #智能卡支持，,如果沒有可以關了  
  16. chkconfig yum-updatesd off #yum更新  
  17. chkconfig acpid off  
  18. chkconfig autofs off  
  19. chkconfig firstboot off  
  20. chkconfig mcstrans off #selinux  
  21. chkconfig microcode_ctl off  
  22. chkconfig rpcgssd off  
  23. chkconfig rpcidmapd off  
  24. chkconfig setroubleshoot off  
  25. chkconfig xfs off  
  26. chkconfig xinetd off  
  27. chkconfig messagebus off  
  28. chkconfig gpm off #鼠標  
  29. chkconfig restorecond off #selinux  
  30. chkconfig haldaemon off  
  31. chkconfig sysstat off  
  32. chkconfig readahead_early off  
  33. chkconfig anacron off  

需要保留的服務

查看文本打印
  1. crond , irqbalance , microcode_ctl ,network , sshd ,syslog  

因爲有些服務已運行，所以設置完後需重啓

查看文本打印
  1. chkconfig  
  2. /*  

語法：chkconfig [--add][--del][--list][系統服務] 或 chkconfig [--level <等級代號>][系統服務][on/off/reset]

補充說明：這是Red Hat公司遵循GPL規則所開發的程序，它可查詢操作系統在每一個執行等級中會執行哪些系統服務，其中包括各類常駐服務。

參數：

查看文本打印
  1. --add 　增加所指定的系統服務，讓chkconfig指令得以管理它，並同時在系統啓動的敘述文件內增加相關數據。  
  2. --del 　刪除所指定的系統服務，不再由chkconfig指令管理，並同時在系統啓動的敘述文件內刪除相關數據。  
  3. --level<等級代號> 　指定讀系統服務要在哪一個執行等級中開啓或關畢  
  4. /  

21.selinux 修改

開啓selinux可以增加安全性，但裝軟件時可能會遇到一些奇怪問題
以下是關閉方法

查看文本打印
  1. #vi /etc/selinux/config  

改成disabled

發表評論
所有評論
還沒有人評論，想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章

二進制文件查看工具和方法

查看二進制文件可以通過多種方法實現，取決於你想要的具體信息和你使用的操作系統。以下是一些常見的方法和工具： 使用十六進制編輯器 十六進制編輯器可以顯示文件的十六進制表示和對應的ASCII字符。這些工具非常適合查看和編輯二進制文件。 Win

原創 2024-05-30 02:27:38

scp遠程連接複製文件或目錄

文件拷貝 將本地文件拷貝到遠程服務器中 scp 本地文件 遠程服務用戶名@遠程服務器IP地址:指定拷貝到遠程服務器的文件夾路徑 或 scp 本地文件 遠程服務用戶名@遠程服務器名稱:指定拷貝到遠程服務器的文件夾路徑  將遠程服務器

原創 2024-05-30 00:06:48

乾貨收藏！Calico的BGP RouteReflector策略實踐

本文分享自華爲雲社區《Calico BGP RouteReflector策略實踐》，作者：可以交個朋友。 一 背景 容器網絡組件Calico支持多種後端模式，有Overlay的IPIP、Vxlan模式，也有Underlay純路由的BGP模

原創 2024-05-29 22:58:38

centos7按照MYSQL8（安裝包）

查詢Linux的clibc版本 rpm -qa | grep glibc 現在mysql官網找到對應glibc版本的下載url 然後在linux內下載 wget https://dev.mysql.com/get/Downloads

Rsky08 2024-05-29 22:15:17

由淺入深在實踐中玩轉Zabbix，解決剩下20%的監控需求！

本文整理自Zabbix中級認證專家李銘栓（滿分學員）在Zabbix Meetup廣州站的演講。 掌握這幾種監控方式解決80%的監控問題，剩下的20%如何實現？這裏有答案！ 幾點經驗分享： 1

Zabbix中國 2024-05-24 22:33:53

Linux操作系統的安裝策略與過程

【關鍵詞】linux安裝 【提問】如何在不同硬件配置和操作系統環境下成功安裝Linux？ 【文章】Linux操作系統的安裝策略與過程 在現代計算機技術不斷演進的今天，Linux已成爲世界上最流行且功能強大的開源操作系統之一。它不僅廣泛應用於

原創 2024-05-22 01:50:32

linux加載動態庫失敗

一般我們在Linux下執行某些外部程序的時候可能會提示找不到共享庫的錯誤, 比如: tmux: error while loading shared libraries: libevent-1.4.so.2: cannot open sha

mskk 2024-05-21 00:52:55

Docker on Centos-docker-compose

1、查看網絡 docker network ls docker network inspect $container_name 2、docker-compose微服務庫擴容 前提：application.yml配置文件要做相應調整 dock

原創 2024-05-20 11:27:29

Linux中的tty和pts

一、幾個基本概念 tty（Teletypewriter） 來源於“電傳打印機”，Linux系統中則是終端設備的統稱，同時也代指操作系統中支持終端設備的tty子系統。   console（控制檯）

原創 2024-05-18 00:45:13

個人開發者如何入門 Java 異步編程

標題：《從零開始：一份詳盡的Linux安裝教程》 引言： 在數字化的世界裏，Linux操作系統以其開源的特性、高度的安全性和穩定性，成爲了服務器和個人電腦的熱門選擇。無論是開發者、系統管理員還是技術愛好者，掌握Linux的安裝與配置都是一項

原創 2024-05-17 01:49:09

在Linux操作系統的安裝過程中，如何選擇合適的發行版

【關鍵詞】{{linux安裝}} 【提問】{{question}} 在Linux操作系統的安裝過程中，如何選擇合適的發行版，並確保安裝過程順利進行？此外，對於不同硬件配置的用戶，有哪些特定的安裝注意事項和優化策略？ 【文章】{{Linux操

原創 2024-05-17 01:49:06

流水線 YAML 高級用法來了！大幅降低重複代碼、靈活編排多任務

作者：木煙 在 YAML 化配置流水線時，你是否會遇到以下問題？ 單流水線中批量執行類似任務場景時，YAML 中需要定義多個類似邏輯的 Job，Job 越多，流水線 YAML 配置的越長，YAML 中的重複代碼越多，代碼複用性低，可讀性差

原創 2024-05-16 21:13:44

高效調度新篇章：詳解DolphinScheduler 3.2.0生產級集羣搭建

轉載自tuoluzhe8521 導讀：通過簡化複雜的任務依賴關係， DolphinScheduler爲數據工程師提供了強大的工作流程管理和調度能力。在3.2.0版本中，DolphinScheduler帶來了一系列新功能和改進，使其在生產環

原創 2024-05-15 21:22:54

Spring 按條件裝配使用方法

條件註冊 Spring 4.0 引入條件註冊機制，暴露給用戶的API是@Conditional和Condition接口，把@Conditional聲明在一個 @Component類上，並接受一組條件（Condition實現），容器初始化期間

原創 2024-05-15 11:50:12

界面組件DevExpress Reporting v24.1預覽版 - 擁有原生Angular報表查看器

DevExpress Reporting是.NET Framework下功能完善的報表平臺，它附帶了易於使用的Visual Studio報表設計器和豐富的報表控件集，包括數據透視表、圖表，因此您可以構建無與倫比、信息清晰的報表。 下一個主要

原創 2024-05-14 12:21:34