Linux Centos7 25项基础优化

1基础优化：
mkdir -p /server/tools
mkdir -p /server/scripts

2.配置所有主机域名解析
cat >>/etc/hosts<<EOF
172.16.1.5 lb01
172.16.1.6 lb02
172.16.1.7 web01
172.16.1.8 web02
172.16.1.9 web03
172.16.1.31 nfs01
172.16.1.41 backup
172.16.1.51 db01 db01.etiantian.org
172.16.1.61 m01
EOF

3.更改主机名
Hostnamectl set-hostname xxx

4.更新yum源信息
curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo

epel（extra packages）时fedora小组维护的一个额外软件包项目，提供 centos默认不提供的软件包
curl –s -o /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo

5.安全优化
关闭selinux’
Vim /etc/sysconfig/selinux
Disable
或者sed –i ‘s#SELINUX=enforcing#SELINUX=disabled#g’ /etc/sysconfig/selinux

6.关闭firewalld
Systemctl stop firewalld
Systemctl disable firewalld

7.添加普通用户，并提权
添加用户密码
useradd jj
echo 123|passwd –stdin jj
\cp /etc/sudoers /etc/sudoers.ori
提权
echo “jj ALL=(ALL) NOPASSWD: ALL” >>/etc/sudoers
tail -1 /etc/sudoers
visudo -c

8.修改字符集 设置utf8字符集
cp /etc/locale.conf /etc/locale.conf.ori
echo ‘LANG=“zh_CN.UTF-8”’ >/etc/locale.conf
source /etc/locale.conf
echo $LANG

centos7的改法
localectl set-locale LANG=“zh_CN.UTF-8”
cat /etc/locale.conf

9.设置时间同步ntpdate
yum install ntpdate -y
/usr/sbin/ntpdate ntp3.aliyun.com
date 检验时间
echo ‘#crond-id-001:time sync by jj’ >>/var/spool/cron/root
echo “* /5 * * * /usr/sbin/ntpdate ntp3.aliyun.com >/dev/null 2>&1”>>/var/spool/cron/root

10 安全性命令
echo ‘export TMOUT=300’ >>/etc/profile #会话超时时间
echo ‘export HISTSIZE=5’ >>/etc/profile #历史记录保留5
echo ‘export HISTFILESIZE=5’ >>/etc/profile #历史记录文件保留5
tail -3 /etc/profile

11.加大文件描述符
echo ‘* - nofile 65535’>>/etc/security/limits.conf
tail -1 /etc/security/limits.conf
ulimit –SHn 65535 #临时生效
ulimit –n #查看配置结果

12.优化内核
cat >>/etc/sysctl.conf<<EOF
net.ipv4.tcp_tw_reuse=1
net.ipv4.tcp_tw_recycle=1
net.ipv4.tcp_syncookies=1
net.ipv4.tcp_keepalive_time=600
net.ipv4.ip_local_port_range=4000 65000
net.ipv4.tcp_max_syn_backlog=16384
net.ipv4.tcp_max_tw_buckets=36000
net.ipv4.route.gc_timeout=100
net.ipv4.tcp_sys_retries=1
net.ipv4.tcp_synack_retries=1
net.core.somaxconn=16384
net.core.netdev_max_backlog=16384
net.ipv4.tcp_max_orphans=16384
#以下时iptables防火墙优化，防火墙没开会提示，不用理会
net.nf_conntrack_max=25000000
net.netfilter.nf_conntrack_max=25000000
net.netfilter.nf_conntrack_tcp_timeout_time_established=180
net.netfilter.nf_conntrack_tcp_timeout_time_wait=120
net.netfilter.nf_conntrack_tcp_timeout_close_wait=60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait=120
net.core.wmen_default=8388608
net.core.rmen_default=8388608
net.core.wmen_max=1677216
net.core.rmen_max=16777216
EOF
sysctl -p

13.安装系统常用软件
yum install tree nmap dos2unix lrzsz nc lsof wget tcpdump htop iftop iotop sysstat nethogs –y
yum install psmisc net-tools bash-completion vim-enhanced –y

14. 优化ssh远程连接效率（可选）
    禁止root远程连接
    修改22端口为52118
    监听内网服务器ip
    cp /etc/ssh/sshd_config{,.ori}

sed -i “17s/./Port 52118/g" /etc/ssh/sshd_config #修改默认22端口为自定义
sed -i -e "19s/./ListenAddress 172.16.1.41/g” /etc/ssh/sshd_config #修改ssh服务监听的默认ip地址，默认为0.0.0.0全部监听，可以自定义指定监听的内网ip
sed -i -e “38s/./PermitRootLogin no/g" /etc/ssh/sshd_config #关闭ssh登陆root用户
sed -i -e "64s/./PermitEmptyPasswords no/g” /etc/ssh/sshd_config #禁止空密码用户登陆连接

15.优化系统提示符（个人）
PS1="[[\e[34;1m]\u@[\e[0m][\e[32;1m]\H[\e[0m][\e[31;1m]\w[\e[0m]]\$"
放入/etc/bashrc永久生效

16.自定义别名
echo “alias ll=‘ls -l --color=auto --time-style=long-iso’” >>/etc/profile

17.修改yum配置信息
vim /etc/yum.conf
keepcache=0 改为1 保留yum安装软件包(0是不保存)
18.锁定关键系统文件如 /etc/passwd ,/etc/shadow,/etc/group,/etc/gshadow,/etc/inittab
锁定后再把chattr和lsattr改名移走（可选）
19.清空/etc/issue,/etc/issue.net 去除系统内核版本登陆的屏幕显示
20.清楚多余虚拟账号games ftp 等（可选）
21.为grub引导菜单加密码
22.禁止主机被ping
23.yum update（打补丁）

24.精简开机自启动服务
systemctl list-unit-files | grep enable | egrep -v “sshd.service|crond.service|sysstat|rsyslog|^NetworkManager.service|irqbalance.service”|awk ‘{print “systemctl disable”,$1}’|bash

systemctl list-unit-files | grep enabled

sshd ssh
crond 定时任务
sysstat 系统性能软件包
rsyslog 系统日志
networkmanager 网络管理器
irqbalance cpu中断

25.修改SHELL命令的 history 记录个数
用Vim编辑器打开vim /etc/profile
找到HISTSIZE=1000 并改为 100；
HISTSIZE=100
立即生效
source /etc/profile

篇外：
最小化原则：

1. 安装软件包最小化
2. 用户权限最小化
3. 自启动服务最小化
4. 服务运行用户最小化
5. 目录文件权限最小化