『壹』 linux安全優化和內核參數優化方案有那些
入口安全優化
ssh配置優化
修改之前，需要將/etc/ssh/sshd_config備份一個，比如/etc/ssh/sshd_config.old， 主要優化如下參數：
Port 12011
PermitRootLogin no
UseDNS no
#防止ssh客戶端超時#
ClientAliveInterval 30
ClientAliveCountMax 99
GSSAuthentication no
主要目的更改ssh遠程埠、禁用root遠程登錄（本地還是可以root登錄的）、禁用dns、防止ssh超時、解決ssh慢，當然也可以啟用密鑰登錄，這個根據公司需求。
注意：修改以後需重啟ssh生效，另外需要iptables放行最新ssh埠。
iptables優化
原則：用到哪些放行哪些，不用的一律禁止。
舉下簡單的例子：敏感服務比如mysql這種3306控制，默認禁止遠程，確實有必要可以放行自己指定IP連接或者通過vpn撥號做跳板連接，不可直接放置於公網； 如單位有自己的公網IP或固定IP，那隻允許自己的公網IP進行連接ssh或者指定服務埠就更好了。
用戶許可權以及系統安全優化
非root用戶添加以及sudo許可權控制
用戶配置文件鎖定
服務控制
默認無關服務都禁止運行並chkconfig xxx off，只保留有用服務。這種如果是雲計算廠商提供的，一般都是優化過。如果是自己安裝的虛擬機或者託管的機器，那就需要優化下，默認只保留network、sshd、iptables、crond、以及rsyslog等必要服務，一些無關緊要的服務就可以off掉了，
內核參數優化
進程級文件以及系統級文件句柄數量參數優化
默認ulinit -n看到的是1024，這種如果系統文件開銷量非常大，那麼就會遇到各種報錯比如：
localhost kernel: VFS: file-max limit 65535 reached 或者too many open files 等等，那就是文件句柄打開數量已經超過系統限制，就需要優化了。
這個參數我們進程級優化文件如下：
vim /etc/security/limits.conf
# End of file
* soft nofile 65535
* hard nofile 65535
* soft nproc 65535
* hard nproc 65535
好了，退出當前終端以後重新登錄可以看到ulimit -n已經改成了65535。另外需要注意，進程級參數優化還需要修改文件：
/etc/security/limits.d/90-nproc.conf 這個會影響到參數。查看某一個進程的limits可以通過cat /proc/pid/limits查看。默認這個文件參數推薦設置：
[root@21yunwei 9001]# cat /etc/security/limits.d/90-nproc.conf
* soft nproc 65535
root soft nproc unlimited
系統級文件句柄優化
修改/etc/sysctl.conf添加如下參數：
fs.file-max=65535
內核參數優化（這個是非常重要的）。具體優化的文件為/etc/sysctl.conf，後尾追加優化參數：
net.ipv4.neigh.default.gc_stale_time=120
net.ipv4.conf.all.rp_filter=0
net.ipv4.conf.default.rp_filter=0
net.ipv4.conf.default.arp_announce = 2
net.ipv4.conf.all.arp_announce=2
net.core.netdev_max_backlog = 32768
net.core.somaxconn = 32768
net.core.wmem_default = 8388608
net.core.rmem_default = 8388608
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.conf.lo.arp_announce=2
net.ipv4.tcp_synack_retries = 2
#參數的值決定了內核放棄連接之前發送SYN+ACK包的數量。
net.ipv4.tcp_syn_retries = 1
#表示在內核放棄建立連接之前發送SYN包的數量。
net.ipv4.tcp_max_syn_backlog = 262144
#這個參數表示TCP三次握手建立階段接受SYN請求列隊的最大長度，默認1024，將其設置的大一些可以使出現Nginx繁忙來不及accept新連接的情況時，Linux不至於丟失客戶端發起的鏈接請求。
設置完以後執行命令sysctl -p使得配置新配置的內核參數生效。系統優化這個內核對系統本身安全以及高並發都非常的有效（可以解決大量TIME_WAIT帶來的無法訪問使用、系統文件句柄數量超出等等）。
net.ipv4.tcp_timestamps = 1 #開啟時間戳，配合tcp復用。如遇到區域網內的其他機器由於時間戳不同導致無法連接伺服器，有可能是這個參數導致。註：阿里的slb會清理掉tcp_timestampsnet.ipv4.tcp_tw_recycle = 1 #這個參數用於設置啟用timewait快速回收net.ipv4.tcp_max_tw_buckets = 6000 #參數設置為 1 ，表示允許將TIME_WAIT狀態的socket重新用於新的TCP鏈接，該參數默認為180000，過多的TIME_WAIT套接字會使Web伺服器變慢。net.ipv4.tcp_mem = 94500000 915000000 927000000 net.ipv4.tcp_fin_timeout = 1 #當伺服器主動關閉鏈接時，選項決定了套接字保持在FIN-WAIT-2狀態的時間。默認值是60秒。net.ipv4.tcp_keepalive_time = 600 #當keepalive啟動時，TCP發送keepalive消息的頻度；默認是2小時，將其設置為10分鍾，可以更快的清理無效鏈接。net.ipv4.ip_local_port_range = 1024 65000#定義UDP和TCP鏈接的本地埠的取值范圍。fs.file-max=65535 #表示最大可以打開的句柄數；
設置完以後執行命令sysctl -p使得配置新配置的內核參數生效。這個內核對系統本身安全以及高並發都非常的有效（可以解決大量TIME_WAIT帶來的無法訪問使用、系統文件句柄數量超出等等）。
『貳』 Linux內核參數之arp_ignore和arp_announce
arp_ignore和arp_announce參數都和ARP協議相關，主要用於控制系統返回arp響應和發送arp請求時的動作。這兩個參數很重要，特別是在LVS的DR場景下，它們的配置直接影響到DR轉發是否正常。
首先看一下Linux內核文檔中對於它們的描述：
arp_ignore - INTEGER
Define different modes for sending replies in response to
received ARP requests that resolve local target IP addresses:
0 - (default): reply for any local target IP address, configured
on any interface
1 - reply only if the target IP address is local address
configured on the incoming interface
2 - reply only if the target IP address is local address
configured on the incoming interface and both with the
sender's IP address are part from same subnet on this interface
3 - do not reply for local addresses configured with scope host,
only resolutions for global and link addresses are replied
4-7 - reserved
8 - do not reply for all local addresses
The max value from conf/{all,interface}/arp_ignore is used
when ARP request is received on the {interface}
arp_ignore參數的作用是控制系統在收到外部的arp請求時，是否要返回arp響應。
arp_ignore參數常用的取值主要有0，1，2，3~8較少用到：
0：響應任意網卡上接收到的對本機IP地址的arp請求（包括環回網卡上的地址），而不管該目的IP是否在接收網卡上。
1：只響應目的IP地址為接收網卡上的本地地址的arp請求。
2：只響應目的IP地址為接收網卡上的本地地址的arp請求，並且arp請求的源IP必須和接收網卡同網段。
3：如果ARP請求數據包所請求的IP地址對應的本地地址其作用域（scope）為主機（host），則不回應ARP響應數據包，如果作用域為全局（global）或鏈路（link），則回應ARP響應數據包。
4~7：保留未使用
8：不回應所有的arp請求
sysctl.conf中包含all和eth/lo（具體網卡）的arp_ignore參數，取其中較大的值生效。
arp_announce - INTEGER
Define different restriction levels for announcing the local
source IP address from IP packets in ARP requests sent on
interface:
0 - (default) Use any local address, configured on any interface
1 - Try to avoid local addresses that are not in the target's
subnet for this interface. This mode is useful when target
hosts reachable via this interface require the source IP
address in ARP requests to be part of their logical network
configured on the receiving interface. When we generate the
request we will check all our subnets that include the
target IP and will preserve the source address if it is from
such subnet. If there is no such subnet we select source
address according to the rules for level 2.
2 - Always use the best local address for this target.
In this mode we ignore the source address in the IP packet
and try to select local address that we prefer for talks with
the target host. Such local address is selected by looking
for primary IP addresses on all our subnets on the outgoing
interface that include the target IP address. If no suitable
local address is found we select the first local address
we have on the outgoing interface or on all other interfaces,
with the hope we will receive reply for our request and
even sometimes no matter the source IP address we announce.
The max value from conf/{all,interface}/arp_announce is used.
arp_announce的作用是控制系統在對外發送arp請求時，如何選擇arp請求數據包的源IP地址。（比如系統准備通過網卡發送一個數據包a，這時數據包a的源IP和目的IP一般都是知道的，而根據目的IP查詢路由表，發送網卡也是確定的，故源MAC地址也是知道的，這時就差確定目的MAC地址了。而想要獲取目的IP對應的目的MAC地址，就需要發送arp請求。arp請求的目的IP自然就是想要獲取其MAC地址的IP，而arp請求的源IP是什麼呢？ 可能第一反應會以為肯定是數據包a的源IP地址，但是這個也不是一定的，arp請求的源IP是可以選擇的，控制這個地址如何選擇就是arp_announce的作用）
arp_announce參數常用的取值有0，1，2。
0：允許使用任意網卡上的IP地址作為arp請求的源IP，通常就是使用數據包a的源IP。
1：盡量避免使用不屬於該發送網卡子網的本地地址作為發送arp請求的源IP地址。
2：忽略IP數據包的源IP地址，選擇該發送網卡上最合適的本地地址作為arp請求的源IP地址。
sysctl.conf中包含all和eth/lo（具體網卡）的arp_ignore參數，取其中較大的值生效。
（1）當arp_ignore參數配置為0時，eth1網卡上收到目的IP為環回網卡IP的arp請求，但是eth1也會返回arp響應，把自己的mac地址告訴對端。
（2）當arp_ignore參數配置為1時，eth1網卡上收到目的IP為環回網卡IP的arp請求，發現請求的IP不是自己網卡上的IP，不會回arp響應。
（3）當arp_announce參數配置為0時，系統要發送的IP包源地址為eth1的地址，IP包目的地址根據路由表查詢判斷需要從eth2網卡發出，這時會先從eth2網卡發起一個arp請求，用於獲取目的IP地址的MAC地址。該arp請求的源MAC自然是eth2網卡的MAC地址，但是源IP地址會選擇eth1網卡的地址。
（4）當arp_announce參數配置為2時，eth2網卡發起arp請求時，源IP地址會選擇eth2網卡自身的IP地址。
因為DR模式下，每個真實伺服器節點都要在環回網卡上綁定虛擬服務IP。這時候，如果客戶端對於虛擬服務IP的arp請求廣播到了各個真實伺服器節點，如果arp_ignore參數配置為0，則各個真實伺服器節點都會響應該arp請求，此時客戶端就無法正確獲取LVS節點上正確的虛擬服務IP所在網卡的MAC地址。假如某個真實伺服器節點A的網卡eth1響應了該arp請求，客戶端把A節點的eth1網卡的MAC地址誤認為是LVS節點的虛擬服務IP所在網卡的MAC，從而將業務請求消息直接發到了A節點的eth1網卡。這時候雖然因為A節點在環回網卡上也綁定了虛擬服務IP，所以A節點也能正常處理請求，業務暫時不會受到影響。但時此時由於客戶端請求沒有發到LVS的虛擬服務IP上，所以LVS的負載均衡能力沒有生效。造成的後果就是，A節點一直在單節點運行，業務量過大時可能會出現性能瓶頸。
所以DR模式下要求arp_ignore參數要求配置為1。
每個機器或者交換機中都有一張arp表，該表用於存儲對端通信節點IP地址和MAC地址的對應關系。當收到一個未知IP地址的arp請求，就會再本機的arp表中新增對端的IP和MAC記錄；當收到一個已知IP地址（arp表中已有記錄的地址）的arp請求，則會根據arp請求中的源MAC刷新自己的arp表。
如果arp_announce參數配置為0，則網卡在發送arp請求時，可能選擇的源IP地址並不是該網卡自身的IP地址，這時候收到該arp請求的其他節點或者交換機上的arp表中記錄的該網卡IP和MAC的對應關系就不正確，可能會引發一些未知的網路問題，存在安全隱患。
所以DR模式下要求arp_announce參數要求配置為2。
arp_ignore和arp_announce參數分別有all,default,lo,eth1,eth2...等對應不同網卡的具體參數。當all和具體網卡的參數值不一致時，取較大值生效。
一般只需修改all和某個具體網卡的參數即可（取決於你需要修改哪個網卡）。下面以修改lo網卡為例：
net.ipv4.conf.all.arp_ignore=1
net.ipv4.conf.lo.arp_ignore=1
net.ipv4.conf.all.arp_announce=2
net.ipv4.conf.lo.arp_announce=2
sysctl -w net.ipv4.conf.all.arp_ignore=1
sysctl -w net.ipv4.conf.lo.arp_ignore=1
sysctl -w net.ipv4.conf.all.arp_announce=2
sysctl -w net.ipv4.conf.lo.arp_announce=2
echo "1">/proc/sys/net/ipv4/conf/all/arp_ignore
echo "1">/proc/sys/net/ipv4/conf/lo/arp_ignore
echo "2">/proc/sys/net/ipv4/conf/all/arp_announce
echo "2">/proc/sys/net/ipv4/conf/lo/arp_announce
『叄』 如何用命令行設置linux內核參數
Linux設置內核參數的方法
1 內核參數的查看方法
使用「sysctl -a」命令可以查看所有正在使用的內核參數。內核參數比較多（一般多達500項），按照前綴主要分為以下幾大類：net.ipv4、net.ipv6、net.core、vm、fs、dev.parport、dev.cdrom 、dev.raid、kernel等等。相同的linux，安裝的組件和使用的方式不一樣，正在使用的內核參數是不一樣的。
所有的內核參數的說明文檔是放到/usr/src/linux/Documentation/sysctl中的，如果想知道對內核參數的說明，可以到該目錄下查看相應的說明文檔。
2 內核參數的的設置方法
由於Linux的內核參數信息都存在內存中，因此可以通過命令直接修改，並且修改後直接生效。也可以通過文件的方式進行設置。下面就介紹這兩種修改方法。
2.1 命令設置的方式
可以用兩種方法實現。
1、使用「sysctl -w 參數名=值」的方式
假設我們把net.ipv4.ip_forward的值修改為1，使用命令「sysctl -w net.ipv4.ip_forward=1」。
2、修改內核參數對應的proc文件
內核參數位於/proc/sys/之下，參數名稱是以文件所在的路徑，並將「/」以「.」來取代。舉例來說，/proc/sys/net/ip_forward的參數名稱為net.ipv4.ip_forward。
同樣把net.ipv4.ip_forward的值修改為1，使用命令「echo 「1」 > /proc/sys/net/ipv4/ip_forward」。
注意，這里proc文件跟普通的文件不一樣。一般一個文件用echo寫入內容之後，會變成一個文本文件，但echo修改proc文件之後還是個空文件。
『肆』 linux內核優化參數
cat >> /etc/sysctl.conf << EOF
# kernel optimization
net.ipv4.tcp_fin_timeout = 2
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_keepalive_time = 600
net.ipv4.ip_local_port_range = 4000 65000
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.route.gc_timeout = 100
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
net.core.somaxconn = 16384
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_max_orphans = 16384
EOF # 《Linux就該這么學》
將上面的內核參數加入/etc/sysctl.conf文件中，執行如下命令使之生效:
sysctl -p
『伍』 RedHatLinux修改內核參數，不是很懂，求指點，謝謝
/proc 裡面的文件都不是真的，他是一個特殊的文件系統。
修改這些設置我記得是在 /etc/ 裡面有一個配置，設置好後用一個軟體來刷新這個內核配置。
如果自己直接修改的話，最好是 echo xxxxx > /proc/xxx/xxx/xxx 的方式修改。
『陸』 如何修改 Linux 內核配置
由於Linux的內核參數信息都存在內存中，因此可以通過命令直接修改，並且修改後直接生效。但是，當系統重新啟動後，原來設置的參數值就會丟失，而系統每次啟動時都會自動去/etc/sysctl.conf文件中讀取內核參數，因此將內核的參數配置寫入這個文件中，是一個比較好的選擇。
首先打開/etc/sysctl.conf文件，查看如下兩行的設置值，這里是：
kernel.shmall
=
2097152
kernel.shmmax
=
4294967295
如果系統默認的配置比這里給出的值大，就不要修改原有配置。同時在/etc/sysctl.conf文件最後，添加以下內容：
fs.file-max
=
6553600
kernel.shmmni
=
4096
kernel.sem
=
250
32000
100
128
net.ipv4.ip_local_port_range
=
1024
65000
net.core.rmem_default
=
4194304
net.core.rmem_max
=
4194304
net.core.wmem_default
=
262144
net.core.wmem_max
=
262144
這里的「fs.file-max
=
6553600」其實是由「fs.file-max
=
512
*
PROCESSES」得到的，我們指定PROCESSES的值為12800，即為「fs.file-max
=512
*12800」。
sysctl.conf文件修改完畢後，接著執行「sysctl
-p」使設置生效。
［root@localhost
~］#
sysctl
-p
常用的內核參數的含義如下。
kernel.shmmax：表示單個共享內存段的最大值，以位元組為單位，此值一般為物理內存的一半，不過大一點也沒關系，這里設定的為4GB，即「4294967295/1024/1024/1024=4G」。
kernel.shmmni：表示單個共享內存段的最小值，一般為4kB，即4096bit.
kernel.shmall：表示可用共享內存的總量，單位是頁，在32位系統上一頁等於4kB，也就是4096位元組。
fs.file-max：表示文件句柄的最大數量。文件句柄表示在Linux系統中可以打開的文件數量。
ip_local_port_range：表示埠的范圍，為指定的內容。
kernel.sem：表示設置的信號量，這4個參數內容大小固定。
net.core.rmem_default：表示接收套接字緩沖區大小的預設值（以位元組為單位）。
net.core.rmem_max
：表示接收套接字緩沖區大小的最大值（以位元組為單位）
net.core.wmem_default：表示發送套接字緩沖區大小的預設值（以位元組為單位）。
net.core.wmem_max：表示發送套接字緩沖區大小的最大值（以位元組為單位）。
『柒』 linux內核參數
＂The story of _OSI(Linux)＂注釋.此參數用於修改內核中的操作系統介面字元串(_OSI string)列表默認值,這樣當BIOS向內核詢問:...
『捌』 一般優化linux的內核，需要優化什麼參數
首先要知道一點所有的TCP/IP的參數修改是臨時的，因為它們都位於/PROC/SYS/NET目錄下，如果想使參數長期保存，可以通過編輯/ETC/SYSCTL.CONF文件來實現，這里不做詳細說明，只針對Linux的TCPIP內核參數優化列舉相關參數：
1、為自動調優定義socket使用的內存
2、默認的TCP數據接收窗口大小（位元組）
3、最大的TCP數據接收窗口
4、默認的TCP發送窗口大小
5、最大的TCP數據發送窗口
6、在每個網路介面接收數據包的速率比內核處理這些包速率快時，允許送到隊列的數據包最大數目
7、定義了系統中每一個埠最大的監聽隊列長度
8、探測消息未獲得相應時，重發該消息的間隔時間
9、在認定tcp連接失效之前，最多發送多少個keepalive探測消息等。
『玖』 Linux如何在系統運行過程中修改內核參數
RedHat向管理員提供了非常好的方法，使我們可以在系統運行時更改內核參數，而不需要重新引導系統。這是通過/PRoc虛擬文件系統實現的。/proc/sys目錄下存放著大多數的內核參數，並且設計成可以在系統運行的同時進行更改。下面我們以打開內核的 ip轉發功能為例說明在系統運行時修改內核參數的兩種方法。IP轉發是指允許系統對來源和目的地都不是本機的數據包通過網路，RedHat默認屏蔽此功能，在 需要用本機作為路由器、NAT等情況下需要開啟此功能。 方法一：修改/proc下內核參數文件內容 直接修改內核參數ip_forward對應在/proc下的文件/proc/sys/net/ipv4/ip_forward。用下面命令查看ip_forward文件內容： # cat /proc/sys/net/ipv4/ip_forward 該文件默認值0是禁止ip轉發，修改為1即開啟ip轉發功能。修改命令如下： # echo 1 >/proc/sys/net/ipv4/ip_forward 修改過後就馬上生效，即內核已經打開ip轉發功能。但如果系統重啟後則又恢復為默認值0，如果想永久打開需要通過修改/etc/sysctl.conf文件的內容來實現。 方法二．修改/etc/sysctl.conf文件 默認sysctl.conf文件中有一個變數是 net.ipv4.ip_forward = 0 將後面值改為1，然後保存文件。因為每次系統啟動時初始化腳本/etc/rc.d/rc.sysinit會讀取/etc/sysctl.conf文件的內容，所以修改後每次系統啟動時都會開啟ip轉發功能。但只是修改sysctl文件不會馬上生效，如果想使修改馬上生效可以執行下面的命令： # sysctl –p 在修改其他內核參數時可以向/etc/sysctl.conf文件中添加相應變數即可，下面介紹/proc/sys下內核文件與配置文件 sysctl.conf中變數的對應關系，由於可以修改的內核參數都在/proc/sys目錄下，所以sysctl.conf的變數名省略了目錄的前面部 分（/proc/sys）。 將/proc/sys中的文件轉換成sysctl中的變數依據下面兩個簡單的規則： 1．去掉前面部分/proc/sys 2．將文件名中的斜杠變為點 這兩條規則可以將/proc/sys中的任一文件名轉換成sysctl中的變數名。 例如： /proc/sys/net/ipv4/ip_forward ＝》 net.ipv4.ip_forward /proc/sys/kernel/hostname ＝》 kernel.hostname 可以使用下面命令查詢所有可修改的變數名 # sysctl –a 下面例舉幾個簡單的內核參數： 1．/proc/sys/kernel/shmmax 該文件指定內核所允許的最大共享內存段的大小。 2．/proc/sys/kernel/threads-max 該文件指定內核所能使用的線程的最大數目。 3．/proc/sys/kernel/hostname 該文件允許您配置網路主機名。