CentOS系统常规初始化操作的示例分析
小编给大家分享一下CentOS系统常规初始化操作的示例分析,相信大部分人都还不怎么了解,因此分享这篇文章给大家参考一下,希望大家阅读完这篇文章后大有收获,下面让我们一起去了解一下吧!
成都创新互联公司专业为企业提供堆龙德庆网站建设、堆龙德庆做网站、堆龙德庆网站设计、堆龙德庆网站制作等企业网站建设、网页设计与制作、堆龙德庆企业网站模板建站服务,10多年堆龙德庆做网站经验,不只是建网站,更提供有价值的思路和整体网络服务。
环境准备:
1)设置本地国际化语言为en_US.UTF-8
[root@c58 ~]# sed -i 's/^\(LANG=\).*$/\1"en_US.UTF-8"/' /etc/sysconfig/i18n
[root@c58 ~]# cat /etc/sysconfig/i18n
LANG="en_US.UTF-8"
[root@c58 ~]# LANG=en_US.UTF-8
2)更新系统软件包
备份默认yum源:
find /etc/yum.repos.d -name '*.repo' -exec mv {} {}.bak \;
添加163yum源:
redhat5或centos5:
wget http://mirrors.163.com/.help/CentOS5-Base-163.repo -P /etc/yum.repos.d
redhat6或centos6
wget http://mirrors.163.com/.help/CentOS6-Base-163.repo -P /etc/yum.repos.d
添加epel yum源:
redhat5.x 32bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/5/i386/epel-release-5-4.noarch.rpm
redhat5.x 64bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/5/x86_64/epel-release-5-4.noarch.rpm
redhat6.x 32bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/6/i386/epel-release-6-8.noarch.rpm
redhat6.x 64bit:
rpm -ivh http://dl.fedoraproject.org/pub/epel/6/x86_64/epel-release-6-8.noarch.rpm
>
更新证书:
yum -y upgrade ca-certificates --disablerepo=epel
更新系统所有软件包:
yum clean allyum makecacheyum -y upgrade
下文以redhat5/centos5为例
一、服务最小化原则
关闭所有开机自启动服务,仅开启sshd、crond、network、iptables、syslog(redhat5)、rsyslog(redhat6),然后在此基础上按需添加需要开机启动的服务。
1)关闭所有开机自启动服务
[root@c58 ~]# for i in `chkconfig --list | awk '{if ($1~/^$/) {exit 0;} else {print $1}}'`; do chkconfig $i off; done
2)开启基础服务
[root@c58 ~]# for i in sshd network syslog crond iptables; do chkconfig $i on; done
3)查看开启的服务
[root@c58 ~]# chkconfig --list | grep '3:on'
crond 0:off 1:off 2:on 3:on 4:on 5:on 6:off
iptables 0:off 1:off 2:on 3:on 4:on 5:on 6:off
network 0:off 1:off 2:on 3:on 4:on 5:on 6:off
sshd 0:off 1:off 2:on 3:on 4:on 5:on 6:off
syslog 0:off 1:off 2:on 3:on 4:on 5:on 6:off
二、用户登录限制
1)禁止使用root用户使用远程ssh
[root@c58 ~]# cd /etc/ssh
[root@c58 ssh]# cp sshd_config sshd_config~
[root@c58 ssh]# sed -i 's/#\(PermitRootLogin \)yes/\1no/' sshd_config
[root@c58 ssh]# grep 'PermitRoot' /etc/ssh/sshd_config
PermitRootLogin no
2)禁用登录提示信息
[root@c58 ssh]# >/etc/motd
3)修改ssh的默认监听端口(tcp:22)
#这里修改为tcp的11983端口
[root@c58 ssh]# sed -i 's/#\(Port \)22/\11983/' sshd_config
[root@c58 ssh]# grep 'Port ' sshd_config
Port 11983
4)只允许指定的ip可以ssh (可选)
方法1(使用tcpwrapper):
#只允许192.168.124.0网段的ip使用ssh
echo "sshd:192.168.124.0/255.255.255.0" >> /etc/hosts.allow
echo "sshd:ALL" >> /etc/hosts.deny
方法2(使用iptables):
#注意,远程操作时需留心,以免把自己也拒绝而导致无法远程连接。如只允许192.168.1.0网段的所有ip进行ssh,其他所有ip都拒绝#先允许自己的ip,以防被后面的操作误伤
iptables -I INPUT -s 10.0.0.1 -p tcp --dport 22 -j ACCEPT
#允许192.168.1.0网段
iptables -I 2 INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
#拒绝所有
iptables -I 3 INPUT -p tcp --dport 22 -j DROP
#保存iptables的设置:
cp /etc/sysconfig/iptables /etc/sysconfig/iptables~
iptables-save > /etc/sysconfig/iptables
最后,重启sshd服务使上面配置生效(不用担心重启时已打开的远程终端连接会断开,重启只会对新开的终端生效)
[root@c58 ssh]# /etc/init.d/sshd restart
Stopping sshd: [ OK ]
Starting sshd: [ OK ]
三、用户及命令权限最小化
创建一个普通用户tom,将其加入sudo组,该用户作为系统管理员
groupadd sudo #创建sudo组
useradd -G sudo tom #创建tom用户,加入sudo组
passwd tom #设置tom用户的登陆密码
修改sudo配置文件,授权sudo组的用户可以以root身份执行所有命令(可以针对不同用户授予不同的命令执行权限,这里允许执行所有命令,生产环境中系统管理员应该按需为用户分配尽可能少的可执行命令,以实现权限最少化),用户执行的所有sudo操作都将记录在/var/log/sudo.log中,以便日后的安全事件排查。执行命令如下:
[root@cloud ~]# cat >> /etc/sudoers < > %sudo ALL=(root) ALL > Defaults logfile=/var/log/sudo.log > EOF [root@cloud ~]# visudo -c [root@cloud ~]# echo "local2.debug /var/log/sudo.log" >> /etc/syslog.conf [root@cloud ~]# /etc/init.d/syslog restart 注:"visudo -c"命令用于检查 /etc/sudoers 文件的语法正确性 四、内核安全参数设置 vim /etc/sysctl.conf #添加如下内容: #关闭对ping包的响应(可选,一般不建议,因为不方便网络故障时的排查) net.ipv4.icmp_echo_ignore_all = 1 #关闭对广播ping的响应 net.ipv4.icmp_echo_ignore_broadcasts = 1 #开启syncookie用于防范syn flood攻击,当出现syn等待队列溢出时(syn数量超过tcp_max_syn_backlog的设置值),启用cookie来处理,server在回复syn_ack前会先请求client回复一个序列号,该序列号中要求包含原先syn包中的信息,如果序列号不正确,则server端会忽略此syn连接。 net.ipv4.tcp_syncookies = 1 #设置sync_ack的最大重传次数,默认值为5,范围0-255,重传5次的时间大约为180s net.ipv4.tcp_synack_retries = 3 # 设置当keepalive打开的情况下,keepalive消息的发送间隔,默认为2小时(由于目前网络攻击等因素,造成了利用这个进行的攻击很频繁,如果两边建立了连接,然后不发送任何数据或者rst/fin消息,那么持续的时间就是2小时,成就了空连接攻击,tcp_keepalive_time就是预防此情形的.) net.ipv4.tcp_keepalive_time = 1200 保存退出后,执行"sysctl -p"命令将以上设置加载到内核使其立刻生效 五、 内核性能相关参数设置(可选) vim /etc/sysctl.conf #添加如下内容: #设置syn等待队列的长度,对于内存大于128M的机器,默认值是1024,在并发请求较大时,可以调大该值 net.ipv4.tcp_max_syn_backlog #开启timewait重用。允许将time_wait socket重新用于新的tcp连接 net.ipv4.tcp_tw_reuse = 1 #开启tcp连接中time_wait socket的快速回收 net.ipv4.tcp_tw_recycle = 1 #TCP发送keepalive探测以确定该连接已经断开的次数,默认值为9 net.ipv4.tcp_keepalive_probes = 5 #指定探测消息发送的频率,该值乘以tcp_keepalive_probes就可以得到从开始探测到连接被删除所需的时间。默认值为75,也就是没有活动的连接将在大约11分钟以后将被丢弃。(对于普通应用来说,这个值有一些偏大,可以根据需要改小.特别是web类服务器需要改小该值,15是个比较合适的值) net.ipv4.tcp_keepalive_intvl = 15 #表示系统同时保持TIME_WAIT socket的最大数量,如果超过这个数字,TIME_WAIT套接字将立刻被清除并输出警告信息。默认为180000,改为5000.对于squid服务器来说,此参数可以控制TIME_WAIT套接字的最大数量,避免squid服务器被大量的TIME_WAIT socket拖死。 net.ipv4.tcp_max_tw_buckets = 5000 #表示向外连接的端口范围。默认值很小:32768~61000,改为1024~65000 net.ipv4.ip_local_port_range=1024 65000 保存退出后,执行"sysctl -p"命令将以上设置加载到内核使其立刻生效 以上是“CentOS系统常规初始化操作的示例分析”这篇文章的所有内容,感谢各位的阅读!相信大家都有了一定的了解,希望分享的内容对大家有所帮助,如果还想学习更多知识,欢迎关注创新互联行业资讯频道!
分享名称:CentOS系统常规初始化操作的示例分析
网页地址:http://myzitong.com/article/ipijhs.html