linux生產環境精華優化實戰配置（親測）

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

編寫人：陳飛

郵箱：980098396@qq.com

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

CentOS系統安裝以後並不能當即投入生產環境使用，每每須要先通過咱們運維人員的優化才行。在此講解幾點關於Linux系統安裝後的基礎優化操做。注意：本次優化都是基於CentOS（5.8/6.4）。

下面我就爲你們簡單講解幾點關於Linux系統安裝後的基礎優化操做。

注意：本次優化都是基於CentOS（5.8/6.4）。關於5.8和6.4二者優化時的小區別，我會在文中說起的。

優化條目：

1 2 3 4 5 6 7 8 9 10 11 12 13

修改ip地址、網關、主機名、DNS等 關閉selinux，清空iptables 添加普通用戶並進行sudo受權管理 更新yum源及必要軟件安裝 定時自動更新服務器時間 精簡開機自啓動服務 定時自動清理/var/spool/clientmqueue/目錄垃圾文件，放置inode節點被佔滿 變動默認的ssh服務端口，禁止root用戶遠程鏈接 鎖定關鍵文件系統 調整文件描述符大小 調整字符集，使其支持中文 去除系統及內核版本登陸前的屏幕顯示 內核參數優化

一、修改ip地址、網關、主機名、DNS等

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31

[root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth0 DEVICE=eth0         #網卡名字 BOOTPROTO=static    #靜態IP地址獲取狀態 如：DHCP表示自動獲取IP地址 IPADDR=192.168.1.113            #IP地址 NETMASK=255.255.255.0           #子網掩碼 ONBOOT=yes#引導時是否激活 GATEWAY=192.168.1.1 [root@localhost ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth0 DEVICE=eth0 BOOTPROTO=static IPADDR=192.168.1.113 NETMASK=255.255.255.0 ONBOOT=yes GATEWAY=192.168.1.1 [root@localhost ~]# vi /etc/sysconfig/network HOSTNAME=c64     #修改主機名，重啓生效 GATEWAY=192.168.1.1    #修改默認網關,若是上面eth0裏面不配置網關的話，默認就使用這裏的網關了。 [root@localhost ~]# cat /etc/sysconfig/network HOSTNAME=c64 GATEWAY=192.168.1.1 咱們也能夠用  hostnamec64  來臨時修改主機名，從新登陸生效 修改DNS [root@localhost ~]# vi /etc/resolv.conf   #修改DNS信息 nameserver 114.114.114.114 nameserver 8.8.8.8 [root@localhost ~]# cat /etc/resolv.conf  #查看修改後的DNS信息 nameserver 114.114.114.114 nameserver 8.8.8.8 [root@localhost ~]# service network restart   #重啓網卡，生效 重啓網卡，也能夠用下面的命令 [root@localhost ~]# /etc/init.d/network restart

二、關閉selinux，清空iptables

關閉selinux 

1 2 3 4 5 6

[root@c64 ~]# sed –i ‘s/SELINUX=enforcing/SELINUX=disabled/g’ /etc/selinux/config   #修改配置文件則永久生效，可是必需要重啓系統。 [root@c64 ~]# grep SELINUX=disabled /etc/selinux/config SELINUX=disabled     #查看更改後的結果 [root@c64 ~]# setenforce 0#臨時生效命令 [root@c64 ~]# getenforce      #查看selinux當前狀態 Permissive

清空iptables

1 2 3 4 5 6 7 8 9

[root@c64 ~]# iptables –F     #清理防火牆規則 [root@c64 ~]# iptables –L     #查看防火牆規則 Chain INPUT (policy ACCEPT) target     prot opt source               destination Chain FORWARD (policy ACCEPT) target     prot opt source               destination Chain OUTPUT (policy ACCEPT) target     prot opt source               destination [root@c64 ~]#/etc/init.d/iptables save   #保存防火牆配置信息

三、添加普通用戶並進行sudo受權管理

1 2 3 4 5

[root@c64 ~]# useradd sunsky [root@c64 ~]# echo "123456"|passwd --stdin sunsky&&history –c [root@c64 ~]# visudo 在root    ALL=(ALL)    ALL此行下，添加以下內容 sunsky    ALL=(ALL)    ALL

四、更新yum源及必要軟件安裝

yum安裝軟件，默認獲取rpm包的途徑從國外官方源，改爲國內的源。

國內較快的兩個站點：搜狐鏡像站點、網易鏡像站點

法1：本身配置好安裝源配置文件，而後上傳到linux。

法2：使用鏡像站點配置好的yum安裝源配置文件

1 2 3

[root@c64 ~]# cd /etc/yum.repos.d/ [root@c64 yum.repos.d]# /bin/mv CentOS-Base.repo CentOS-Base.repo.bak [root@c64 yum.repos.d]# wget http://mirrors.163.com/.help/CentOS6-Base-163.repo

接下來執行以下命令，檢測yum是否正常

1 2	[root@c64 yum.repos.d]# yum clean all  #清空yum緩存 [root@c64 yum.repos.d]# yum makecache  #創建yum緩存

而後使用以下命令將系統更新到最新

1 2	[root@c64 yum.repos.d]# rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY*       #導入簽名KEY到RPM [root@c64 yum.repos.d]# yum  upgrade-y     #更新系統內核到最新

接下來就要安裝幾個必要的軟件了

1	[root@c64 yum.repos.d]# yum install lrzsz ntpdate sysstat -y

lrzsz是一個上傳下載的軟件

sysstat是用來檢測系統性能及效率的工具

五、定時自動更新服務器時間

1 2	[root@c64 ~]# echo '*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2 >&1' >>/var/spool/cron/root [root@c64 ~]# echo '*/10 * * * * /usr/sbin/ntpdate time.nist.gov >/dev/null 2>&1' >>/var/spool/cron/root

ntp服務器(時間服務器) 做用：讓服務器時間同步        端口：123
服務端
vim /etc/ntp.conf 
restrict default nomodify notrap            這個命令以上的都註釋掉
server  127.127.1.0                         這個命令上的也註釋掉
fudge   127.127.1.0 stratum 10
service ntpd restart

客戶端
ntpdate 172.16.10.1

提示：CentOS 6.4的時間同步命令路徑不同

6是/usr/sbin/ntpdate

5是/sbin/ntpdate

擴展：在機器數量少時，以上定時任務同步時間就能夠了。若是機器數量大時，能夠在網內另外部署一臺時間同步服務器NTP Server。此處僅說起，不作部署。

時間同步服務器架構圖：

 

六、精簡開機自啓動服務

剛裝完操做系統能夠只保留crond，network，syslog，sshd這四個服務。（Centos6.4爲rsyslog）

1 2 3 4 5 6 7

[root@c64 ~]# for sun in `chkconfig --list|grep 3:on|awk '{print $1}'`;do chkconfig --level 3 $sun off;done [root@c64 ~]# for sun in crond rsyslog sshd network;do chkconfig --level 3 $sun on;done [root@c64 ~]# chkconfig --list|grep 3:on crond           0:off   1:off   2:on    3:on    4:on    5:on    6:off network         0:off   1:off   2:on    3:on    4:on    5:on    6:off rsyslog         0:off   1:off   2:on    3:on    4:on    5:on    6:off sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off

七、定時自動清理/var/spool/clientmqueue/目錄垃圾文件，放置inode節點被佔滿

本優化點，在6.4上能夠忽略不須要操做便可！

1 2 3 4

[root@c64 ~]# mkdir /server/scripts -p [root@c64 ~]# vi /server/scripts/spool_clean.sh #!/bin/sh find/var/spool/clientmqueue/-typef -mtime +30|xargs   rm-f

而後將其加入到crontab定時任務中

1	[root@c64 ~]# echo '*/30 * * * * /bin/sh /server/scripts/spool_clean.sh >/dev/null 2>&1'>>/var/spool/cron/root

八、變動默認的ssh服務端口，禁止root用戶遠程鏈接

1 2 3 4 5 6 7 8 9

[root@c64 ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak [root@c64 ~]# vim /etc/ssh/sshd_config Port 52113#ssh鏈接默認的端口 PermitRootLogin no   #root用戶***都知道，禁止它遠程登陸 PermitEmptyPasswords no #禁止空密碼登陸 UseDNS no            #不使用DNS [root@c64 ~]# /etc/init.d/sshd reload    #重新加載配置 [root@c64 ~]# netstat -lnt     #查看端口信息 [root@c64 ~]# lsof -i tcp:52113

九、鎖定關鍵文件系統

1 2 3 4 5

[root@c64 ~]# chattr +i /etc/passwd [root@c64 ~]# chattr +i /etc/inittab [root@c64 ~]# chattr +i /etc/group [root@c64 ~]# chattr +i /etc/shadow [root@c64 ~]# chattr +i /etc/gshadow

使用chattr命令後，爲了安全咱們須要將其更名

1	[root@c64 ~]# /bin/mv /usr/bin/chattr /usr/bin/任意名稱

十、調整文件描述符大小

1 2 3

[root@localhost ~]# ulimit –n        #查看文件描述符大小 1024 [root@localhost ~]# echo '*  -  nofile  65535' >> /etc/security/limits.conf

配置完成後，從新登陸便可查看。

提示：也能夠把ulimit -SHn 65535命令加入到/etc/rc.local，而後每次重啓生效

1 2 3 4 5 6

[root@c64 ~]# cat >>/etc/rc.local<<EOF #open files ulimit -HSn 65535 #stack size ulimit -s 65535 EOF

 

擴展：文件描述符

文件描述符在形式上是一個非負整數。實際上，它是一個索引值，指向內核爲每個進程所維護的該進程打開文件的記錄表。當程序打開一個現有文件或者建立一個新文件時，內核向進程返回一個文件描述符。在程序設計中，一些涉及底層的程序編寫每每會圍繞着文件描述符展開。可是文件描述符這一律念每每只適用於Unix、Linux這樣的操做系統。

習慣上，標準輸入（standard input）的文件描述符是 0，標準輸出（standard output）是 1，標準錯誤（standard error）是 2。儘管這種習慣並不是Unix內核的特性，可是由於一些 shell 和不少應用程序都使用這種習慣，所以，若是內核不遵循這種習慣的話，不少應用程序將不能使用。

 

十一、調整字符集，使其支持中文

1 2	sed-i 's#LANG="en_US.UTF-8"#LANG="zh_CN.GB18030"#'/etc/sysconfig/i18n source/etc/sysconfig/i18n

擴展：什麼是字符集？

簡單的說就是一套文字符號及其編碼。經常使用的字符集有：

GBK 定長雙字節不是國際標準，支持系統很多

UTF-8 非定長 1-4字節普遍支持，MYSQL也使用UTF-8

十二、去除系統及內核版本登陸前的屏幕顯示

1 2	[root@c64 ~]# >/etc/redhat-release [root@c64 ~]# >/etc/issue

13、內核參數優化

說明：本優化適合apache，nginx，squid多種等web應用，特殊的業務也可能須要略做調整。

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24

[root@c64 ~]# vi /etc/sysctl.conf #by sun in 20131001 net.ipv4.tcp_fin_timeout = 2 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_keepalive_time =600 net.ipv4.ip_local_port_range = 4000    65000 net.ipv4.tcp_max_syn_backlog = 16384 net.ipv4.tcp_max_tw_buckets = 36000 net.ipv4.route.gc_timeout = 100 net.ipv4.tcp_syn_retries = 1 net.ipv4.tcp_synack_retries = 1 net.core.somaxconn = 16384 net.core.netdev_max_backlog = 16384 net.ipv4.tcp_max_orphans = 16384 #一下參數是對iptables防火牆的優化，防火牆不開會有提示，能夠忽略不理。 net.ipv4.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180 net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120 net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60 net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120 [root@localhost ~]# sysctl –p    #使配置文件生效

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

編寫人：陳飛

郵箱：980098396@qq.com

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

提示：因爲CentOS6.X系統中的模塊名不是ip_conntrack，而是nf_conntrack，因此在/etc/sysctl.conf優化時，須要把net.ipv4.netfilter.ip_conntrack_max 這種老的參數，改爲net.netfilter.nf_conntrack_max這樣才能夠。

即對防火牆的優化，在5.8上是

1 2 3 4 5 6

net.ipv4.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180 net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120 net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60 net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120

在6.4上是

1 2 3 4 5 6

net.nf_conntrack_max = 25000000 net.netfilter.nf_conntrack_max = 25000000 net.netfilter.nf_conntrack_tcp_timeout_established = 180 net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120 net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60 net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

另外，在此優化過程當中可能會有報錯：

一、5.8版本上

1 2 3 4 5 6

error: "net.ipv4.ip_conntrack_max"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_max"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait"is an unknown key error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait"is an unknown key

這個錯誤多是你的防火牆沒有開啓或者自動處理可載入的模塊ip_conntrack沒有自動載入，解決辦法有二，一是開啓防火牆，二是自動處理開載入的模塊ip_conntrack

1 2	modprobe ip_conntrack echo "modprobe ip_conntrack">> /etc/rc.local

二、6.4版本上

1 2 3 4 5 6

error: "net.nf_conntrack_max"isan unknown key error: "net.netfilter.nf_conntrack_max"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_established"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_time_wait"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_close_wait"isan unknown key error: "net.netfilter.nf_conntrack_tcp_timeout_fin_wait"isan unknown key

這個錯誤多是你的防火牆沒有開啓或者自動處理可載入的模塊ip_conntrack沒有自動載入，解決辦法有二，一是開啓防火牆，二是自動處理開載入的模塊ip_conntrack

1 2	modprobe nf_conntrack echo "modprobe nf_conntrack">> /etc/rc.local

三、6.4版本上

1 2 3

error: "net.bridge.bridge-nf-call-ip6tables"isan unknown key error: "net.bridge.bridge-nf-call-iptables"isan unknown key error: "net.bridge.bridge-nf-call-arptables"isan unknown key

這個錯誤是因爲自動處理可載入的模塊bridge沒有自動載入，解決辦法是自動處理開載入的模塊ip_conntrack

1 2	modprobe bridge echo "modprobe bridge">> /etc/rc.local

到此，咱們Linux系統安裝後的基礎優化已經操做的差很少了，總結下來一共有13個優化點須要咱們來熟知。後面我會出一個一鍵優化的shell腳本出來和你們一塊兒交流學習。

[root@c64 yum.repos.d]# yum install lrzsz ntpdate sysstat -y


lrzsz是一個上傳下載的軟件

ntpdate是用來與遠程時間服務器進行時間更新的軟件

sysstat是用來檢測系統性能及效率的工具

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

編寫人：陳飛

郵箱：980098396@qq.com

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++