一、初始化配置

禁用服務(wù)

1chkconfig--level35iptablesoff

2.chkconfig-level35ip6tablesoff

serviceiptablesstop

4chkconfig--level35postfixoff

禁用SeLinux

1vi/etc/selinux/configSELINUX-'disabled

配置YUM源配置

[root^rhel63yum.repos.d]#vilocal.repo

2.[local]

3.name?local

4.baseurl-file:///mnt/Server

5enabled-1

gpgcheck=0

可以配置為光盤，內(nèi)部YUM源或EPEL等

常用軟件安裝

*yuminstallftptelnetmakeimakegcccompat-libstdcw-33gcc-cilibstdcwlibxpke

rnelkernel-develkernel-headersrshkshIsofopenssh-clients-y

#yuminstalliptraf.x86_64unzip.x86_64libaio.x86_64ejectsysfsutilsdmidecodepclu

tilsdstatIsscsi-y

安裝xwindows

哥yumgroupinstall"XWindowSystem**-y

等yumgrouplnstallDesktop-y（可以不安裝?面）

fyuminstallxorg-xll-apps-y（包含xclock）

配置ntp

.*/10?*??/usr/sbin/ntpdate

Crontab添加如上記錄，指定內(nèi)部ntp服務(wù)器

SSH登錄設(shè)置

修改ssh禁用DNS選項：

echo"UseDNSno**>>/etc/ssh/sshd_configservicesshdrestart

添加允許指定用戶登錄：

1echo"AllowUsersuserl->>/etc/ssh/sshd_config

2servicesshdrestart

上傳掃描工具

rescan-scsi-bus.sh

網(wǎng)絡(luò)上有該腳本，下載自行使用

修改歷史記錄格式

echo"exportHISTTIMEFORMAT='%FXT'">>/etc/profile

二、安全加固

本次安全加固內(nèi)容主要參考的是Redhat和Centos系列版本系統(tǒng)：

參考鏈接

/CentosSecurity/CentosSafe/2015/0315/4881.ht

ml

注釋掉系統(tǒng)不需要的用戶和用戶組

注意：不建議直接刪除，當(dāng)你需要某個用戶時，自己重新添加會很麻煩。

cp/etc/passwd/etc/passwdbak律修改之前無備份

vi/etc/passwd新輯用戶，在前面加上*注釋漳此行

iradm:x:3:4:adni：/var/adn:/sbin/nologin

?lp:x:4：7:Ip:/var/spool/lpd:/sbin/nologin

"sync:x:5:0:sync:/sbin:/bin/sync

ffshutdown:x:6:0:shutdown:/sbin:/sbin/shutdown

ffhalt:x:7:0:halt:/sbin:/sbin/halt

4uucp:x:10:14:uus:/var/spool/uucp:/sbin/nologin

^operator:x:ll：e：operator:/root:/sbin/nologin

?games:x:12:100:games:/usr/games:/sbin/nologln

4gopher:x:13:30:gopher:/var/gopher:/sbin/nologin

?ftp:x:14：50:FTPUser:/var/ftp"sbin/nologin*注羥捶ftp年名賬號

cp/etc/group/etc/groupbak號嵯改之前先籥份

vi/etc/group常編輯用戶組,在前面加上替主粹掉此行

7adm:x:4：root,adm(daemon

"lp:x:7:daemon,lp

^uucp:x:14:uucp

irgames:x:20:

*dip：X：40：

關(guān)閉系統(tǒng)不需要的服務(wù)

1.serviceacpidstopchkconfigacpidoff，停止照務(wù)，取啟開機(jī)起動#電耳進(jìn)階設(shè)定，常用在

Laptop上

serviceautofsstopchkconfigautofsoff，厚用自動掛載檔情系統(tǒng)與遇邊裝罟

servicebluetoothstopchkconfigbluetoothoff#停用Bluetoot施導(dǎo)

-servicecpuspeedstopchkconfigcpuspeedoff#停用控制CPU速堂主方用來省電

servicecupsstopchkconfigcupsoff彳停用CommonUNIXPrintingSystem使系統(tǒng)支援

印表機(jī)

6.serviceip6tablesstopchkconfigip6tablesoff，早止IPv6

?.如果要1反復(fù)果一個服券，可以執(zhí)行下面攆作

serviceacpidstartchkconfigacpidon

.至止韭root用戶執(zhí)行/etc/rc.d/init下的系統(tǒng)命令孚止非root用戶執(zhí)行/etc/rc.d"nit.d/下的

系統(tǒng)命令

chnod-R700/etc/rc.d/init.d/"

…chmod-R777/etc/rc.d/init.d/*多次&巾認(rèn)設(shè)!S

給下面的文件加上不可更改屬性，從而防止非授權(quán)用戶獲得權(quán)限

chattr+i/etc/passwd

chattr4-i/etc/shadow

chattr/etc/group

Achattr*i/etc/gshadow

chattr/etc/services嗡系統(tǒng)照務(wù)編口列表文件加鎖，防止未經(jīng)許可的刪除或東加服務(wù)

Isattr/etc/passwd/etc/shadow/etc/group/etc/gshadow/etc/services#顯示文

件的震性

7.注意：執(zhí)行以上權(quán)限修改之后，就無法淆加刪除用戶了.

&如里再霧季加刪除用戶，需萼先取泊上面的設(shè)置，等用戶添加1H除完成之后，再執(zhí)行上面的攆作

chattr-i/etc/passwd#取啟程阻鎖定設(shè)貴

chattr-i/etc/shadow

i：.chattr-i/etc/group

11chattri/etc/gshadow

?chattr-i/etc/services并取啟系統(tǒng)月降造口列表文件力3鎖

14.現(xiàn)在可以進(jìn)行添加刪除用戶了，掾作完之后再鎖定目錄文件

限制不同文件的權(quán)限

1chattr+a.bash_history科避免刪除.bash_history或者重定向到/dev/null

chattr.bash_history

chmod7G0/usr/bin飲宴chmod555/usr/bin

chmod700Zbin/ping恢復(fù)chmod4755/bin/ping

chmod700/usr/bin/vim舊復(fù)chmod755/usr/bin/vim

chmod700/bin/netstat恢fichmod755/bin/nerstat

chmod7?0/usr/bin/tail飯與chmod755/usr/bin/tail

chmod700/usr/bin/less恢復(fù)chmod755/usr/bin/less

chmod706/usr/bin/headIRSchmod75SZusr/bin/head

chmod790/bin/cat恢復(fù)chmod755/bin/cat

chmod700/bin/uname保夏chmod755/bin/uname

chmodseeZbin/ps歷復(fù)chmod755/bin/ps

禁止使用Ctrl+Alt+Del快捷犍重啟服務(wù)器

cp/etc/inittab/ecc/inittabbak

2.vi/etc/inittab#注!?掉T面這一行

#ca::ctrlaltdel:/sbin/shutdown-tB-rnow

使用yumupdate更新系統(tǒng)時不升級內(nèi)核，只更新軟件包

注意：由于系統(tǒng)與硬件的兼容性問題，有可能升級內(nèi)核后導(dǎo)致服務(wù)器不能正常啟

動，這是非?？膳碌?，沒有特別的需要，建議不要隨意升級內(nèi)核。

一，cp/etc/yum.conf/etc/yum.confbak

L修改yum的況者文件vi/etc/yum.conf在的皋后安二口exclude-kernel'

3.2、直接在yu同命令后面加上如下的參數(shù)：

yumexclude-kemel*update

5.查看系統(tǒng)版本cat/etc/issue

6.查看內(nèi)核版本uname-a

關(guān)閉Centos自動更新

chkconfig-listyumupdatesd林顯示當(dāng)前系統(tǒng)狀態(tài)

yum-updatesde：關(guān)閉1：關(guān)閉2:啟用3:啟用4:總用5:居用6:壬閉

5.serviceyum-updatesdstop林關(guān)閉開目菱數(shù)為start

4.停止yum-updatesd:[,確定]

,serviceyun?-updatesdstatus喳看是看美閉

.yum-updatesd已停

chkconfig--level35yum-updatesdoff=享止開片目動（系統(tǒng)程式為3.5）

.chkconfigyumupdatesdoff&裝止開啟口動（所有后動膜式全部禁止）

chkconfiglistyumupdates。并顯示當(dāng)前系統(tǒng)狀態(tài)

:>.yum-updatesd關(guān)閉】：美閉2:啟用3：關(guān)閉4：后用5:關(guān)閉6:關(guān)閉

關(guān)閉多余的虛擬控制臺

我們知道從控制臺切換到X窗口，一般采用Alt-F7，為什么呢？因為系

統(tǒng)默認(rèn)定義了6個虛擬控制臺，

所以X就成了第7個。實際上，很多人一般不會需要這么多虛擬控制臺的，修

改/etc/inittab,注釋掉那些你不需要的。

cp/etc/inittab/etc/inittabbak

2vi/etc/inittab

9Rungettysinstandardrunlevels

1:234S:respawn:/sbin/mingettyttyl

#2:2345:respawn:/sbin/mingettytty2

93:2345:respawn:/sbin/mingettytty3

w4:2M5:respawn:/sbin/mingettytty4

8.f5:2345:respawn:/sbin/mingettyttyS

96:2345:respawn:/sbin/mingettytty6

修改history命令記錄

cp/etc/profile/etc/profilebak

vi/etc/profile

找到HISTSIZE-ieee改為HISTSIZE>Se

隱藏服務(wù)器系統(tǒng)信息

在缺省情況下，當(dāng)你登陸到linux系統(tǒng)，它會告訴你該linux發(fā)行版的名稱、版本、

內(nèi)核版本、服務(wù)器的名稱。

為了不讓這些默認(rèn)的信息泄露出來，我們要進(jìn)行下面的操作，讓它只顯示一個

"login:"提示符。

刪除/etc/issueffi/etc/這兩個文件，或者把這2個文件改名,效果是

一樣的。

一mv/etc/issue/etc/issuebak

mv/etc//etc/bak

優(yōu)化Linux內(nèi)核參數(shù)

cp/etc/sysctl.conf/etc/sysctl.con-fbak

vi/etc/sysctl.conf存在文件末尾,、加以下內(nèi)苔

net.ipv4.tcp-max-syn-backlog-65536

net.corenetdev_max__backlog-32768

net.core.somaxcorn=32768

net.core.wniem_default*8388608

net.core.rmem_de^ault-8388608

net.core.rmem-max=16777216

net.core.tvnjem_max-16777216

netipv4tcp_timestamps=0

net.ipv4.tcp_synack_retries=2

net.ipv4.tcp_syn_retries-2

net.ipv4.tcp_tw_recycle=1

14.#net.ipv4.tcp_tw_len-1

net.ipv4.tcp_tw_reuse-1

net.ipv4.tcp_mem=94590960915600000927900006

net.ipv4.tcp_max_orphans-3276800

1?rnet.ipv4.tcp_fir_timeout-30

irnet.ipv4.tcp-keepalive.time=120

net.ipv4.ip_local_port_range1002465535，（表示用于向外連我的境□芍圍，法備情況Tlfi

小：32768到6106。注亶：這里不要6黑低值設(shè)的太低，否則可能會占用橙正鬻的靖口I）

/sbin/sysctl-p■他配置立即生效

系統(tǒng)優(yōu)化

cp/etc/profile/etc/profilebak2

vi/etc/profile，在文件末尾添加以下內(nèi)容

ulimit-cunlimited

ulimit-sunlimited

ulimit-SHn6553s

sourceetc/profile*使配苣立即生效

ulimit-a曾顯示當(dāng)前的各種用戶進(jìn)程限到

服務(wù)器禁止ping

cp/etc/rc.d/rc.local/etc/rc.d/rc.localbak

2.vi/etc/rc.d/rc.localw在文件末尾增加下面這一行

echo1>/proc/sys/net/ipv4/icmp_echo_ignore_a11

4.參數(shù)8表示允許1

檢查口令策略設(shè)置是否符合復(fù)雜度要求

cp-p/etc/pam.d/system-auth/etc/pam.d/systemauth_bak

viZetc/pam.d/system-auth

可度用pampam_cracklibmodule或pam_pass輯dqcmodule實現(xiàn)七碼復(fù)雜度，空者不非同時使用

passwordrequisitepam_cracklib.sodcredit-1ucredit--lleredit--1ocredit--1

minclass>2minlen?8

passwordsufficientpam_unix.somd5shadownulloktry_first_passuse_authtok

檢查登錄提示-是否設(shè)置登錄成功后警告Banner

修改文件/etc/motd的內(nèi)容，如沒有該文件，則創(chuàng)建它。

*echo"Authorizedusersonly.Allactivitymaybemonitoredandreported">/etc/wot

檢查是否設(shè)置登錄超時

執(zhí)行備份：

cp-p/etc/profile/etc/profile_bak

cpp/etc/csh.cshrc/etc/csh.cshrc_bak

修改/etc/csh.cshrc文件，添加如下行：

setautologout-30

改變這項設(shè)置后，重新登錄才能有效

三、多路徑設(shè)置

隨著X86環(huán)境的普及化，Linux的市場占有率也越來越高，為了方便后續(xù)的設(shè)備

管理我們和Linux自帶多路徑軟件的成熟化，我們在日常的設(shè)備多路徑軟件選擇

方面經(jīng)常會首先考慮使用DM軟件,本次多路徑設(shè)置主要是結(jié)合REDHAT和

CENTOS自帶軟件DMiMultipath

參考：

Linux操作系統(tǒng)層面Multipath配置使用技巧及注意事項（點擊標(biāo)題可讀）

四、系統(tǒng)異常性能指標(biāo)獲取

CPU占用最高的10個進(jìn)程

psaxww-ouser,pid,pcpu,pmem,start,time,comm|headl;psaxww-o

user,pid,pcpu,pmem,start,time,comm|grep-vPID|sort-nr-k3|head

psauxheadl;psauxgrepvPID；sortrnk43|head

psauxwhead-l;psauxw|sort-rn-k3|head-10

內(nèi)存占用最高的10個進(jìn)程

psaxwwouser,pid,pcpu,ptnem,start,time,co?wi|head1;psaxww-o

user,pid,pcpu,pmem,start,time,comm|grep-vPID|sort-nr-k4head

psaux|head-l;psaux|grep-vPIDIsort-rn-k+41head

psauxw|head-l;psauxw|sort-rn-k4head-10

虛擬內(nèi)存使用最多的前10個進(jìn)程

psauxwjhead-l;psauxw|sort-rn-kS|head-10

查看系統(tǒng)負(fù)載

dstat--topmem--top-io--top-cpu--nocolor110

統(tǒng)計當(dāng)前連接數(shù)

ss-angrep-v-State"awkEND{for(ainS)printa,S[a]}

netstat-tan|awk*/Atcp/{+?S[$NF]}ENO{for(ainS)printa,S[a]}'

當(dāng)前連接數(shù)最多的10個進(jìn)程

1.ss-tnpgrep-v"State"awk'(print$6)*|awk-F…''{print$2}'|awk*{**S

[$1]}END{for(ainS)printa,S[a]}*sort-nr-k2|head

netstat-tnpgrep-v"Active"|grep-v,'TIME_WAIT"|grep-v"State"|awk-F'T

'(print$HF)*Iawk>{??S[$l]}END{for(ainS)printa,S[a]}'sort-nr-k2|head

五、LVM日常使用

LVM在日常運維工作當(dāng)中占據(jù)著很大的比重,在此我列舉LVM常見的日常操作

及步驟。

I.添加一個磁盤到OS,格式化文件系統(tǒng)使用，參考如下：

掃描磁盤

一.pvcreate/dev/sdb

vgcreate-s8Mdatavg/dev/sdb

3Ivcreate-L10G-ndatalvdatavg

mkfs.extS/dev/datavg/datalv

5mount/dev/datavg/datalv/data

Ivextend-L20G/dev/datavg/datalv

resizeifs/dev/datavg/datavlv

這個其中每個步驟就不在做詳細(xì)解釋，有興趣的可以獨自搜索

2.文件系統(tǒng)的擴(kuò)容和縮?。ǜ募到y(tǒng)縮小要相當(dāng)?shù)纳髦兀?/p>

/Isscsi

2.[i：e：e：e]cd/dvdNECV>!WarVHwareIDECDR101ee/dev/sre

[2:0:0：0]diskVMwareVirtualdisk10/dev/sda

:[2：e：l：e）diskVMwareVirtualdisk1e/dev/sdb

[2：e：2：e]diskVMwareVirtualdisk1e/dev/sdc

[2：0：3：e]diskVMwareVirtualdisk10/dev/sdd

8.4pvs

9.PVVGFmtAttrPSizePFree

/dev/sda2VolGrouplvm2a--49.Sig0

ii/dev/sdbVolGrouplvm2a--se.eeg6.57g

ffpvcreate/dev/sdc

Writingphysicalvolumedatatodisk"/dev/sdc-

Physicalvolume"/dev/sdcMsuccessfullycreated

#vgcreatedatavg/dev/sdc

Volumegroup-datavg"successfullycreated

20#Vgs

21.VG<PV#LVItswAttrVSizeVFree

22.VolGroup229wz--n-99.50g6.57g

13.datavg100wz--n-5.00g5.06g

24.

25#Ivcreatedatavg-ndatalv-L3g

Logicalvolume"datalv*'created

2〉nmkfs.ext4/dev/datavg/datalv

29.mke2fs1.41.12(17-May-2010)

-Filesystemlabel-

.1OStype:Linux

Blocksize^4096(log>2)

Fragmentsize=4096(log>2)

Stride-0blocks.Stripewidth*?blocks

196608inodes,786432blocks

39321blocks(S.60X)reservedforthesuperuser

Firstdatablock>0

3?Maximumfilesystemblocks-805306368

24blockgroups

.32768blockspergroup,32768fragmentspergroup

8192inodespergroup

Superblockbackupsstoredonblocks:

43.32768,98304,163840,229376,294912

?Writinginodetables:done

Creatingjournal(16384blocks):done

Writingsuperblocksandfilesystemaccountinginformation

done

Thisfilesystemwillbeautomaticallycheckedevery27mountsor

180days,whichevercomesfirst.Usetune2fs-cor-itooverride.

E0

51.wmkdir/datafs

52mount/dev/datavg/datalv/datafs/

54.#df-h

55FilesystenSizeUsedAvailUse%Mountedon

/dev/mapper/VolGrouplv_root

88G3.868065%/

匚8.tnpfs939Me939M0%/dev/shm

:/dev/sdal485M33M427M8%/boot

/dev/mapper/datavg-datalv

3.GG69M2.863%/datafs

在線擴(kuò)容文件系統(tǒng)：

1?vgsdatavg

VG#PV#LV#SNAttrVSizeVFree

datavg110wz--n-S.eeg2.00g

4.

ffIvextend-L4G/dev/datavg/datalv

Extendinglogicalvolumedatalvto4.00GIB

Logicalvolumedatalvsuccessfullyresized

[root^esayopsresize2fs/dev/datavgdatalv

resize2fs1.41.12(1/-May-201O)

Filesystemat/dev/datavg/datalvismountedon/datafs;onlineresizingrequired

olddesc_blocks-1,new_desc_blocks?1

Performinganon-lineresizeof/dev/datavg/datalvto1048576(44c)blocks.

Thefilesystemon/dev/datavg/datalvisnow1048576blockslong.

14.

15.#df-h

16FilesystenSizeUsedAvailUse%Mountedon

7./dev/mapper/VolGroup-lv__root

18.88G3.8G80G5%/

tmpfs939H0939M&%/dev/shm

20/dev/sdal485M33M427M8%/boot

2/dev/mapper/datavg-datalv

22.4.0G76M3.7G2X/datafs

縮小文件系統(tǒng)：

1.希Ivs

2.LVVGAttrLSizePoolOriginData%MoveLogCopy%Convert

3.lv_rootVolGroup-wi-ao-89.00g

4.lv_swapVolGroupwi-ao--3.94g

5.datalvdatavg-wi-a—4.00g

6?

7.umount/datafs

8.

9.#df-h

ie.FilesystemSizeUsedAvailUse%Mountedon

ii./dev/mapper/VolGroup-lv_root

12.88G3.8680G5%/

13.tmpfs939M6939M0%/dev/shm

14./dev/sdal485M33M427M8%/boot

15.

16.

17.?resize2fs/dev/datavg/datalv2G

resizeifs1.41.12(17-May2G1G)

Pleaserun'e2fsck-f/dev/datavg/datalv,first.

2.9e2fsck-f/dev/datavg/datalv

?e2fsck1.41.12(17-May-2010)

.3Pass1:Checkinginodes,blocks,andsizes

Pass2:Checkingdirectorystructure

Pass3:Checkingdirectoryconnectivity

Pass4：Checkingreferencecounts

.Pass5:Checkinggroupsummaryinformation

dev/datavg/datalv：11/262144files(0.0%non-contiguous).34？82/1048S7fblocks

29.

e.9resizeifs/dev/datavg/datalv2G

：1.resize2fs1.41.12(17-May-2010)

Resizingthefilesystemon/dev/datavg/datalvto524288(4k)blocks.

Thefilesystemon/dev/datavg/datalvisnow524288blockslong.

M.

35#mount/dev/datavg/datalv/datafs/

M.

37.9df-h

3?.FilesysteaSizeUsedAvailUse%Mountedon

39./dev/mapper/VolGroup-lv_root

40.88G3.8G8065X/

41.tnpfs939Me939M0%/dev/shm

42./dev/sdal485M3訓(xùn)427M8X/boot

43.zdev/mapper/datavgdatalv

44.2.0669M1.9G4%/datafs

3.在線刪除一個共享磁盤LUN

1.pvremove

2multipath-f

echo1>/sys/block/sdd/device/delete

例如：

[root^esayops/]?Isscsig

2.[i：e：e：e]cd/dvdNECVHWarVMwareIDECDR1Oi.ee/dev/sreZdev/sgO

3.[2：e：e：e]diskVMwareVirtualdisk1.0/dev/sda/dev/sgl

4.[2：e：i：e]diskVMwareVirtualdisk1.0/dev/sdb/dev/sg2

5.[2：e：2：e]diskVMwareVirtualdiski.e/dev/sdc/dev/sg3

6.[2：e：3：o]diskVHwareVirtualdiskI.?/dev/sddZdev/sg4

刪除一個不用的lun

[root^esayops/]#echo1>/sys/block/sdd/device/delete

[root^esayops/卜Isscsi

3.[1:0：0：0]cd/dvdHECVMWarVMware:IDECDR101.00/dev/sr0

4.[2：e：e：e]diskVMwareVirtualdisk1.0/dev/sda

5[2:G：1：0]diskVMwareVirtualdisk1.0/dev/sdb

6.[2：e：2：e]diskVMwareVirtualdiskl.e/dev/sdc

刪除環(huán)節(jié)：

1.Takethediskoffline:

cd/sys/block/sdb/device

echo"offline”>state

2.Deletefrom/dev

6.echo1>delete

Youcanmakeyourownscriptwiththenamermdev??

9.*!/bin/ksh

10.dev?1l

[(!-d"$dev"]]&&echow$devdoesnotexist0&&exit1

12.echo"offline"j/sys/block/^Sdev^/device/state

echo1>/sys/block/**$devM/device/delete

六、Linux運維命令掌握

Linux下面日常運維使用的命令有太多了，可以根據(jù)個人的情況進(jìn)行適當(dāng)?shù)挠洃洝?/p>

系統(tǒng)負(fù)載：top,nmon,dstat等

網(wǎng)絡(luò):等

ss,netstat,route,diag,ping,ipzIsof

io:dd,iostat,fio,nmon,dstat,pvs,Ivs,vgs等

內(nèi)存：free,dstat等

進(jìn)程：ps,Isof等

配置:Iscpu