Linux系統安裝後的基礎優化-基於CentOS（5.8/6.4）

在運維工作中，我們發現Linux系統安裝之後並不能立即投入生產環境使用，往往需要先經過我們運維人員的優化才行。

下面我就為大家簡單講解幾點關於Linux系統安裝後的基礎優化操作。

注意：本次優化都是基於CentOS（5.8/6.4）。關於5.8和6.4兩者優化時的小區別，我會在文中提及的。

優化條目：

修改ip地址、閘道器、主機名、DNS等
關閉selinux，清空iptables
新增普通使用者並進行sudo授權管理
更新yum源及必要軟體安裝
定時自動更新伺服器時間
精簡開機自啟動服務
定時自動清理/var/spool/clientmqueue/目錄垃圾檔案，放置inode節點被佔滿
變更預設的ssh服務埠，禁止root使用者遠端連線
鎖定關鍵檔案系統
調整檔案描述符大小
調整字符集，使其支援中文
去除系統及核心版本登入前的螢幕顯示
核心引數優化

1、修改ip地址、閘道器、主機名、DNS等

[root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0         #網路卡名字
BOOTPROTO=static    #靜態IP地址獲取狀態 如：DHCP表示自動獲取IP地址
IPADDR=192.168.1.113            #IP地址
NETMASK=255.255.255.0           #子網掩碼
ONBOOT=yes                      #引導時是否啟用
GATEWAY=192.168.1.1
[root@localhost ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
BOOTPROTO=static
IPADDR=192.168.1.113
NETMASK=255.255.255.0
ONBOOT=yes
GATEWAY=192.168.1.1
[root@localhost ~]# vi /etc/sysconfig/network
HOSTNAME=c64     #修改主機名，重啟生效
GATEWAY=192.168.1.1    #修改預設閘道器,如果上面eth0裡面不配置閘道器的話，預設就使用這裡的閘道器了。
[root@localhost ~]# cat /etc/sysconfig/network
HOSTNAME=c64
GATEWAY=192.168.1.1
我們也可以用  hostname c64  來臨時修改主機名，重新登入生效
修改DNS
[root@localhost ~]# vi /etc/resolv.conf   #修改DNS資訊
nameserver 114.114.114.114
nameserver 8.8.8.8
[root@localhost ~]# cat /etc/resolv.conf  #檢視修改後的DNS資訊
nameserver 114.114.114.114
nameserver 8.8.8.8
[root@localhost ~]# service network restart   #重啟網路卡，生效
重啟網路卡，也可以用下面的命令
[root@localhost ~]# /etc/init.d/network restart

2、

2、關閉selinux，清空iptables

關閉selinux

[root@c64 ~]# sed –i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config   #修改配置檔案則永久生效，但是必須要重啟系統。
[root@c64 ~]# grep SELINUX=disabled /etc/selinux/config
SELINUX=disabled     #檢視更改後的結果
[root@c64 ~]# setenforce 0   #臨時生效命令
[root@c64 ~]# getenforce      #檢視selinux當前狀態
Permissive

清空iptables

[root@c64 ~]# iptables –F     #清理防火牆規則
[root@c64 ~]# iptables –L     #檢視防火牆規則
Chain INPUT (policy ACCEPT)
target     prot opt source               destination  
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination  
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@c64 ~]#/etc/init.d/iptables save   #儲存防火牆配置資訊

3、新增普通使用者並進行sudo授權管理

[root@c64 ~]# useradd sunsky
[root@c64 ~]# echo "123456"|passwd --stdin sunsky&&history –c
[root@c64 ~]# visudo
在root    ALL=(ALL)    ALL此行下，新增如下內容
sunsky    ALL=(ALL)    ALL

4、更新yum源及必要軟體安裝

yum安裝軟體，預設獲取rpm包的途徑從國外官方源，改成國內的源。

國內較快的兩個站點：搜狐映象站點、網易映象站點

法1：自己配置好安裝源配置檔案，然後上傳到linux。

法2：使用映象站點配置好的yum安裝源配置檔案

[root@c64 ~]# cd /etc/yum.repos.d/
[root@c64 yum.repos.d]# /bin/mv CentOS-Base.repo CentOS-Base.repo.bak
[root@c64 yum.repos.d]# wget http://mirrors.163.com/.help/CentOS6-Base-163.repo

接下來執行如下命令，檢測yum是否正常

[root@c64 yum.repos.d]# yum clean all  #清空yum快取
[root@c64 yum.repos.d]# yum makecache  #建立yum快取

然後使用如下命令將系統更新到最新

[root@c64 yum.repos.d]# rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY*       #匯入簽名KEY到RPM
[root@c64 yum.repos.d]# yum  upgrade -y     #更新系統核心到最新

接下來就要安裝幾個必要的軟體了

[root@c64 yum.repos.d]# yum install lrzsz ntpdate sysstat -y

lrzsz是一個上傳下載的軟體

ntpdate是用來與遠端時間伺服器進行時間更新的軟體

sysstat是用來檢測系統效能及效率的工具

5、定時自動更新伺服器時間

[root@c64 ~]# echo '*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2 >&1' >>/var/spool/cron/root
[root@c64 ~]# echo '*/10 * * * * /usr/sbin/ntpdate time.nist.gov >/dev/null 2>&1' >>/var/spool/cron/root

提示：CentOS 6.4的時間同步命令路徑不一樣

6是/usr/sbin/ntpdate

5是/sbin/ntpdate

擴充套件：在機器數量少時，以上定時任務同步時間就可以了。如果機器數量大時，可以在網內另外部署一臺時間同步伺服器NTP Server。此處僅提及，不做部署。

時間同步伺服器架構圖：

6、精簡開機自啟動服務

剛裝完作業系統可以只保留crond，network，syslog，sshd這四個服務。（Centos6.4為rsyslog）

[root@c64 ~]# for sun in `chkconfig --list|grep 3:on|awk '{print $1}'`;do chkconfig --level 3 $sun off;done
[root@c64 ~]# for sun in crond rsyslog sshd network;do chkconfig --level 3 $sun on;done
[root@c64 ~]# chkconfig --list|grep 3:on
crond           0:off   1:off   2:on    3:on    4:on    5:on    6:off
network         0:off   1:off   2:on    3:on    4:on    5:on    6:off
rsyslog         0:off   1:off   2:on    3:on    4:on    5:on    6:off
sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off

7、定時自動清理/var/spool/clientmqueue/目錄垃圾檔案，放置inode節點被佔滿

本優化點，在6.4上可以忽略不需要操作即可！

[root@c64 ~]# mkdir /server/scripts -p
[root@c64 ~]# vi /server/scripts/spool_clean.sh
#!/bin/sh
find /var/spool/clientmqueue/ -type f -mtime +30|xargs rm -f

然後將其加入到crontab定時任務中

[root@c64 ~]# echo '*/30 * * * * /bin/sh /server/scripts/spool_clean.sh >/dev/null 2>&1' >>/var/spool/cron/root

8、變更預設的ssh服務埠，禁止root使用者遠端連線

[root@c64 ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
[root@c64 ~]# vim /etc/ssh/sshd_config
Port 52113           #ssh連線預設的埠
PermitRootLogin no   #root使用者***都知道，禁止它遠端登入
PermitEmptyPasswords no #禁止空密碼登入
UseDNS no            #不使用DNS
[root@c64 ~]# /etc/init.d/sshd reload    #從新載入配置
[root@c64 ~]# netstat -lnt     #檢視埠資訊
[root@c64 ~]# lsof -i tcp:52113

9、鎖定關鍵檔案系統

[root@c64 ~]# chattr +i /etc/passwd
[root@c64 ~]# chattr +i /etc/inittab
[root@c64 ~]# chattr +i /etc/group
[root@c64 ~]# chattr +i /etc/shadow
[root@c64 ~]# chattr +i /etc/gshadow

使用chattr命令後，為了安全我們需要將其改名

[root@c64 ~]# /bin/mv /usr/bin/chattr /usr/bin/任意名稱

10、調整檔案描述符大小

[root@localhost ~]# ulimit –n        #檢視檔案描述符大小
1024
[root@localhost ~]# echo '*  -  nofile  65535' >> /etc/security/limits.conf

配置完成後，重新登入即可檢視。

提示：也可以把ulimit -SHn 65535命令加入到/etc/rc.local，然後每次重啟生效

[root@c64 ~]# cat >>/etc/rc.local<<EOF
#open files
ulimit -HSn 65535
#stack size
ulimit -s 65535
EOF

擴充套件：檔案描述符

檔案描述符在形式上是一個非負整數。實際上，它是一個索引值，指向核心為每一個程式所維護的該程式開啟檔案的記錄表。當程式開啟一個現有檔案或者建立一個新檔案時，核心向程式返回一個檔案描述符。在程式設計中，一些涉及底層的程式編寫往往會圍繞著檔案描述符展開。但是檔案描述符這一概念往往只適用於Unix、Linux這樣的作業系統。

習慣上，標準輸入（standard input）的檔案描述符是 0，標準輸出（standard output）是 1，標準錯誤（standard error）是 2。儘管這種習慣並非Unix核心的特性，但是因為一些 shell 和很多應用程式都使用這種習慣，因此，如果核心不遵循這種習慣的話，很多應用程式將不能使用。

11、調整字符集，使其支援中文

sed -i 's#LANG="en_US.UTF-8"#LANG="zh_CN.GB18030"#' /etc/sysconfig/i18n
source /etc/sysconfig/i18n

擴充套件：什麼是字符集？

簡單的說就是一套文字元號及其編碼。常用的字符集有：

GBK 定長雙位元組不是國際標準，支援系統不少

UTF-8 非定長 1-4位元組廣泛支援，MYSQL也使用UTF-8

12、去除系統及核心版本登入前的螢幕顯示

[root@c64 ~]# >/etc/redhat-release
[root@c64 ~]# >/etc/issue

13、核心引數優化

說明：本優化適合apache，nginx，squid多種等web應用，特殊的業務也可能需要略作調整。

[root@c64 ~]# vi /etc/sysctl.conf
#by sun in 20131001
net.ipv4.tcp_fin_timeout = 2
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_keepalive_time =600
net.ipv4.ip_local_port_range = 4000    65000
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.route.gc_timeout = 100
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
net.core.somaxconn = 16384
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_max_orphans = 16384
#一下引數是對iptables防火牆的優化，防火牆不開會有提示，可以忽略不理。
net.ipv4.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120
[root@localhost ~]# sysctl –p    #使配置檔案生效

提示：由於CentOS6.X系統中的模組名不是ip_conntrack，而是nf_conntrack，所以在/etc/sysctl.conf優化時，需要把net.ipv4.netfilter.ip_conntrack_max 這種老的引數，改成net.netfilter.nf_conntrack_max這樣才可以。

即對防火牆的優化，在5.8上是

net.ipv4.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120

在6.4上是

net.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_tcp_timeout_established = 180
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

另外，在此優化過程中可能會有報錯：

1、5.8版本上

error: "net.ipv4.ip_conntrack_max" is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_max" is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established" is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait" is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait" is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait" is an unknown key

這個錯誤可能是你的防火牆沒有開啟或者自動處理可載入的模組ip_conntrack沒有自動載入，解決辦法有二，一是開啟防火牆，二是自動處理開載入的模組ip_conntrack

modprobe ip_conntrack
echo "modprobe ip_conntrack" >> /etc/rc.local

2、6.4版本上

error: "net.nf_conntrack_max" is an unknown key
error: "net.netfilter.nf_conntrack_max" is an unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_established" is an unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_time_wait" is an unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_close_wait" is an unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_fin_wait" is an unknown key

這個錯誤可能是你的防火牆沒有開啟或者自動處理可載入的模組ip_conntrack沒有自動載入，解決辦法有二，一是開啟防火牆，二是自動處理開載入的模組ip_conntrack

modprobe nf_conntrack
echo "modprobe nf_conntrack" >> /etc/rc.local

3、6.4版本上

error: "net.bridge.bridge-nf-call-ip6tables" is an unknown key
error: "net.bridge.bridge-nf-call-iptables" is an unknown key
error: "net.bridge.bridge-nf-call-arptables" is an unknown key

這個錯誤是由於自動處理可載入的模組bridge沒有自動載入，解決辦法是自動處理開載入的模組ip_conntrack

modprobe bridge
echo "modprobe bridge" >> /etc/rc.local

到此，我們Linux系統安裝後的基礎優化已經操作的差不多了，總結下來一共有13個優化點需要我們來熟知。後面我會出一個一鍵優化的shell指令碼出來和大家一起交流學習。