RHEL/CentOS通用性能优化、安全配置参考
本文的配置参数是笔者在实际生产环境中反复实践总结的结果，完全适用绝大多数通用的高负载、安全性要求的网络服务器环境。故可以放心使用。
若有异议，欢迎联系[email protected]探讨。
提示：强烈建议使用RHEL 5.6/CentOS 5.6及以上版本的系统，否则可能会有差异。
一、配置yum更新源
CentOS不需要配置可以直接使用官方提供的yum源（但速度往往较慢），而RHEL在没有购买授权服务情况下，是无法使用redhat官方的yum源的。如果你使用了CentOS但对其官方提供的yum源下载速度不满意，或使用RHEL，需要从安装光盘（或ISO镜像）建立自己的yum源，那么请参照本节。
一般来说，建立yum更新源有三种方式
使用本地物理光盘
使用本地ISO文件
使用HTTP/FTP服务器
这几种方式中，使用本地光盘、本地ISO文件的缺陷很明显－－只能为本机使用，无法实现网络yum源共享，所以推荐使用HTTP方式建立yum更新源。以RHEL为标准，分别介绍这三种方式的配置
1. 使用本地光盘镜像
A. 将光盘放入光驱（虚拟机如VM, virtualbox，应该是为虚拟机分配光驱）
B. 建立挂载点
mkdir /mnt/cdrom
C. 装载光盘至挂载点
mount /dev/hdc /mnt/cdrom/
D. 编辑文件 /etc/yum.repos.d/local.repo ，输入以下内容
| [base] name=Red Hat Enterprise Linux Local Source baseurl=file:///mnt/cdrom/Server enabled=1 gpgcheck=1 gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release
[Cluster] name=Red Hat Enterprise Linux Cluster baseurl=file:///mnt/cdrom/Cluster
[ClusterStorage] name=Red Hat Enterprise Linux ClusterStorage baseurl=file:///mnt/cdrom/ClusterStorage |
E. 验证是否配置成功
yum repolist
2. 使用本地ISO镜像， 方法与使用光盘大同小异
A. 将系统镜像ISO文件上传至服务器某个目录中（我使用的镜像文件名为rhel-server-5.4-i386-dvd.iso）
B. 建立挂载目录 mkdir /mnt/OS
C. 卸载光驱并装载ISO文件至挂载目录
umount /mnt/cdrom/
mount -o loop rhel-server-5.4-i386-dvd.iso /mnt/cdrom/
D. 其它配置请参照第1小节的D、E步骤即可
3. 使用HTTP方式建立yum源，这需要预先在服务器上安装Http Server，如apache, nginx,lighttpd均可。
A. 准备好系统ISO镜像文件，上传到yum服务器某个目录中
B. 参照第2小节，将ISO文件装载到某个目录中，假设为 /mnt/os
C. 配置http服务器，发布上一步装载的目录，以nginx配置为例子 假设服务器IP为192.168.56.101
| server { server_name 192.168.56.101; location /rhel-5.4 { alias /mnt/os; autoindex on; } } |
D. 删掉旧的yum配置文件
mv -f /etc/yum.repos.d/* ~/
E. 编辑文件 /etc/yum.repos.d/onlineyum.repo 输入以下内容
| [base] name=Red Hat Enterprise Linux Online Source baseurl=http://192.168.56.101/rhel-5.4/Server enabled=1 gpgcheck=1 gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release
[Cluster] name=Red Hat Enterprise Linux Cluster baseurl=http://192.168.56.101/rhel-5.4/Cluster
[ClusterStorage] name=Red Hat Enterprise Linux ClusterStorage baseurl=http://192.168.56.101/rhel-5.4/ClusterStorage |
F. 测试配置是否生效
yum repolist
提示：
请将nginx配置中的server_name, onlineyum.repo文件中的主机名按实际情况修改
如此处理后，其它服务器只要按上述步骤建立/etc/yum.repos.d/onlineyum.repo文件即可使用共享的yum源了
二、环境设置
主要是设置shell的环境，使日常的操作更为便捷
1. 去掉SSH登录时DNS反向解析，以加快终端登录速度
| sed -r "s/.*UseDNS.+/UseDNS no/i" /etc/ssh/sshd_config > /tmp/sshd_config mv -f /tmp/sshd_config /etc/ssh/sshd_config service sshd restart |
2. 设置vi, vim的默认的tab、行号显示参数
| echo "set tabstop=4" >> /etc/virc echo "set tabstop=4" >> /etc/vimrc echo "set number" >> /etc/virc echo "set number" >> /etc/vimrc |
3. 设置vim的别名为vi, 这样当我们使用vi命令时，实质上是使用了vim
| echo "alias vi=vim" >> ~/.bashrc source ~/.bashrc |
4. 设置正确的时区
| cp /usr/share/zoneinfo/Asia/Chongqing /etc/localtime
printf 'ZONE="Asia/Chongqing" UTC=false ARC=false' > /etc/sysconfig/clock
#更新系统时间 ntpdate pool.ntp.org
#执行crontab -e, 输入以下内容，每天凌晨6点更新系统时间 06***/sbin/ntpdate pool.ntp.org 2>&1 | /bin/logger |
5. 设置终端为英文，避免中文显示乱码的不必要麻烦
| echo 'LANG="en_US.UTF-8"' > /etc/sysconfig/i18n source /etc/sysconfig/i18n |
6. 停止SELinux功能，避免出现异常现象。设置/etc/sysconfig/selinux文件中
| SELINUX=disabled |
三、服务优化 只开启必要的服务，提高安全性和性能
| 安装完Linux之后，以下服务是必须的必须开启（以RHEL 5.6为参照），没列出的服务可关闭 acpid #高级控制电源管理接口 crond #定时执行任务 haldaemon #必须开启，否则可能导致控制台键盘鼠标无法使用 hidd #同上 irqbalance #支持多cpu中断，必须开启 kudzu #检测硬件变化时自动进行配置 lvm2-monitor #用于监测LVM状态 messagebus #Linux系统进程间通讯的关键服务 mdmonitor #监测软RAID健康状态 即使没有使用软RAID, 也强烈建议启用此服务 mdmpd #同上，即使没有多路径存储设备，也强烈建议启用之 network #网络支持 readahead_early #预先加载特定的应用程序到内存中以提供性能 readahead_later #同上 smartd #硬盘故障自动检测 sshd syslog klogd #如果服务列表中存在，则必须开启
提示：配置服务可使用ntsysv工具，比较方便
其它强烈建议开启的服务 iptables #使用内核防火墙保护服务器 请根据具体需要配置防火墙规则 |
四、Linux内核优化
1. 如果使用了iptables防火墙，则按以下参数优化
| #如果发现iptbles影响网络性能或有丢包现象，执行以下命令以优化之 在高流量状态下，如果iptables的hash表过小，就会出现丢包现象，系统日志中产生ip_conntrack: table full, dropping packet.这时网络传输变得超慢。
设置为65536, 意味着netfilter可以跟踪65536*8=50多万个连接，逐步调整此值，直到不出现丢包现象为至。另外，如果这个值设置过大，也会有警告：falling back to vmalloc 因此不能过大
grep -i "ip_conntrack" /etc/modprobe.conf || echo "options ip_conntrack hashsize=65536" >> /etc/modprobe.conf
echo "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 1200" >> /etc/sysctl.conf service iptables restart sysctl -p
提示：当重启iptables服务时，以上参数会失效，所以请务必修改/etc/init.d/iptables脚本 case "$1" in start) stop start 修改为 case "$1" in start) stop start /sbin/sysctl -p > /dev/null 2>&1
即在iptables启动之后，强制重新加载/etc/sysctl.conf的配置 |
2. 优化内核网络相关参数，向/etc/sysctl.conf中追加以下内容
| net.core.netdev_max_backlog=3000 net.ipv4.conf.lo.accept_redirects=0 net.ipv4.conf.all.accept_redirects=0 net.ipv4.conf.eth0.accept_redirects=0 net.ipv4.conf.default.accept_redirects=0
net.ipv4.tcp_tw_recycle=1 net.ipv4.tcp_tw_reuse=1 net.ipv4.tcp_tw_reuse=1 net.ipv4.tcp_fin_timeout=30 net.ipv4.tcp_keepalive_time=600 net.ipv4.tcp_max_syn_backlog=8192 net.ipv4.tcp_max_tw_buckets = 9000
net.ipv4.tcp_syn_retries = 1
net.core.rmem_max=16777216 net.core.wmem_max=16777216
net.ipv4.tcp_syncookies=1 net.ipv4.tcp_rmem=4096 87380 16777216 net.ipv4.tcp_wmem=4096 65536 16777216
net.ipv4.ip_local_port_range = 102465535 vm.swappiness = 10 |
使用sysctl -p使配置生效。
在机器可重启动情况下，强烈建议重启以确认配置生效
五、配置iptables防火墙规则
在没有其它防火墙保护措施时，一定要尽可能使用iptables的强大功能保护好您的服务器。如果不善于使用iptables, 则不是一个合格的系统工程师
如果不使用iptables, 此小节不必实践
提示：在配置防火墙规则时为防止自己被拒之门外，强烈建议在作以下措施
运行crontab -e 输入以下内容
| */3 * * * * /etc/init.d/iptables stop |
即每3分钟自动停止防火墙。这样即使由于配置错误使自己被拦截，等待3分钟之后，即可解除。
开始配置防火墙规则
这里假设服务器使用两个IP段地址12.35.56.0/24（公网IP），192.168.0.0/16(内网)
服务器提供http (80端口)服务
单个IP到80端口的并发连接最多为30个
来自一个C类网段的并发连接最多为600个
ping的频率最多为10个请求每秒
来自同IP段的任何连接信任
信任已经建立的连接。
服务器出站连接全部允许
允许到1723端口的VPN连接以及gre协议（此服务器同时作为VPN服务器使用）
其它入站连接全部禁止
允许所有的出站连接
提示：本内容在RHEL 5.6 /CentOS 5.6版本上测试通过，对旧版本系统，可能会有问题
/etc/sysconfig/iptables中的内容为
| *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [94:9668] -A INPUT -i lo -j ACCEPT -A INPUT -s 192.168.0.0/16 -j ACCEPT -A INPUT -s 12.23.56.0/24 -j ACCEPT -A INPUT -p icmp -m limit --limit 10/sec --limit-burst 30 -j ACCEPT -A INPUT -p icmp -j DROP -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 32 -j DROP -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 600 --connlimit-mask 24 -j DROP -A INPUT -p tcp --dport 80 -j ACCEPT -A INPUT -p tcp --dport 1723 -j ACCEPT -A INPUT -p gre -j ACCEPT -A INPUT -j DROP COMMIT |
重启防火墙以使规则生效
| service iptables restart |
提示：经过测试发现RHEL 5.4系统上，iptables没有限制并发连接模块。
测试若没有问题，运行crontab -e 去掉我们开始添加的自动停止防火墙的任务
启用服务
| chkconfig iptables on |