CentOS（5.8/6.7）linux生產環境若幹優化實戰

来源:http://www.cnblogs.com/hackerer/archive/2016/01/14/5129802.html
-Advertisement-
Play Games

CentOS系統安裝之後並不能立即投入生產環境使用，往往需要先經過我們運維人員的優化才行。在此講解幾點關於Linux系統安裝後的基礎優化操作。註意：本次優化都是基於CentOS（5.8/6.7）。下麵我就為大家簡單講解幾點關於Linux系統安裝後的基礎優化操作。註意：本次優化都是基於CentOS（5...


CentOS系統安裝之後並不能立即投入生產環境使用，往往需要先經過我們運維人員的優化才行。在此講解幾點關於Linux系統安裝後的基礎優化操作。註意：本次優化都是基於CentOS（5.8/6.7）。

下麵我就為大家簡單講解幾點關於Linux系統安裝後的基礎優化操作。

註意：本次優化都是基於CentOS（5.8/6.7）。關於5.8和6.7兩者優化時的小區別，我會在文中提及的。

優化條目：

 1 修改ip地址、網關、主機名、DNS等
 2 關閉selinux，清空iptables
 3 添加普通用戶併進行sudo授權管理
 4 更新yum源及必要軟體安裝
 5 定時自動更新伺服器時間
 6 精簡開機自啟動服務
 7 定時自動清理/var/spool/clientmqueue/目錄垃圾文件，放置inode節點被占滿
 8 變更預設的ssh服務埠，禁止root用戶遠程連接
 9 鎖定關鍵文件系統
10 調整文件描述符大小
11 調整字元集，使其支持中文
12 去除系統及內核版本登錄前的屏幕顯示
13 內核參數優化

1、修改ip地址、網關、主機名、DNS等

 1 [root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth0
 2 DEVICE=eth0         #網卡名字
 3 BOOTPROTO=static    #靜態IP地址獲取狀態 如：DHCP表示自動獲取IP地址
 4 IPADDR=192.168.1.113            #IP地址
 5 NETMASK=255.255.255.0           #子網掩碼
 6 ONBOOT=yes#引導時是否激活
 7 GATEWAY=192.168.1.1
 8 [root@localhost ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth0
 9 DEVICE=eth0
10 BOOTPROTO=static
11 IPADDR=192.168.1.113
12 NETMASK=255.255.255.0
13 ONBOOT=yes
14 GATEWAY=192.168.1.1
15 [root@localhost ~]# vi /etc/sysconfig/network
16 HOSTNAME=c64     #修改主機名，重啟生效
17 GATEWAY=192.168.1.1    #修改預設網關,如果上面eth0裡面不配置網關的話，預設就使用這裡的網關了。
18 [root@localhost ~]# cat /etc/sysconfig/network
19 HOSTNAME=c64
20 GATEWAY=192.168.1.1
21 我們也可以用  hostnamec64  來臨時修改主機名，重新登錄生效
22 修改DNS
23 [root@localhost ~]# vi /etc/resolv.conf   #修改DNS信息
24 nameserver 114.114.114.114
25 nameserver 8.8.8.8
26 [root@localhost ~]# cat /etc/resolv.conf  #查看修改後的DNS信息
27 nameserver 114.114.114.114
28 nameserver 8.8.8.8
29 [root@localhost ~]# service network restart   #重啟網卡，生效
30 重啟網卡，也可以用下麵的命令
31 [root@localhost ~]# /etc/init.d/network restart

2、關閉selinux，清空iptables

1 [root@server ~]# sed –i ‘s/SELINUX=enforcing/SELINUX=disabled/g’ /etc/selinux/config   #修改配置文件則永久生效，但是必須要重啟系統。
2 [root@server ~]# grep SELINUX=disabled /etc/selinux/config
3 SELINUX=disabled     #查看更改後的結果
4 [root@server ~]# setenforce 0#臨時生效命令
5 [root@server ~]# getenforce      #查看selinux當前狀態
6 Permissive

清空iptables

1 [root@server ~]# iptables –F     #清理防火牆規則
2 [root@server ~]# iptables –L     #查看防火牆規則
3 Chain INPUT (policy ACCEPT)
4 target     prot opt source               destination
5 Chain FORWARD (policy ACCEPT)
6 target     prot opt source               destination
7 Chain OUTPUT (policy ACCEPT)
8 target     prot opt source               destination
9 [root@server ~]#/etc/init.d/iptables save   #保存防火牆配置信息

3、添加普通用戶併進行sudo授權管理

1 [root@server ~]# useradd sunsky
2 [root@server ~]# echo "123456"|passwd --stdin sunsky&&history –c
3 [root@server ~]# visudo
4 在root    ALL=(ALL)    ALL此行下，添加如下內容
5 sunsky    ALL=(ALL)    ALL

4、更新yum源及必要軟體安裝

yum安裝軟體，預設獲取rpm包的途徑從國外官方源，改成國內的源。

國內較快的兩個站點：搜狐鏡像站點、網易鏡像站點

法1：自己配置好安裝源配置文件，然後上傳到linux。

 

法2：使用鏡像站點配置好的yum安裝源配置文件

1 [root@server ~]# cd /etc/yum.repos.d/
2 [root@server yum.repos.d]# /bin/mv CentOS-Base.repo CentOS-Base.repo.bak
3 [root@server yum.repos.d]# wget http://mirrors.163.com/.help/CentOS6-Base-163.repo

接下來執行如下命令，檢測yum是否正常

 1 [root@server yum.repos.d]# yum clean all #清空yum緩存

2 [root@server yum.repos.d]# yum makecache #建立yum緩存 

然後使用如下命令將系統更新到最新

 1 [root@server yum.repos.d]# rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY* #導入簽名KEY到RPM

2 [root@server yum.repos.d]# yum upgrade-y #更新系統內核到最新 

接下來就要安裝幾個必要的軟體了

 1 [root@server yum.repos.d]# yum install lrzsz ntpdate sysstat -y 

lrzsz是一個上傳下載的軟體

sysstat是用來檢測系統性能及效率的工具

5、定時自動更新伺服器時間

1 [root@server ~]# echo '*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2 >&1' >>/var/spool/cron/root
2 [root@server ~]# echo '*/10 * * * * /usr/sbin/ntpdate time.nist.gov >/dev/null 2>&1' >>/var/spool/cron/root

提示：CentOS 6.7的時間同步命令路徑不一樣

6是/usr/sbin/ntpdate

 

5是/sbin/ntpdate

擴展：在機器數量少時，以上定時任務同步時間就可以了。如果機器數量大時，可以在網內另外部署一臺時間同步伺服器NTP Server。此處僅提及，不做部署。

時間同步伺服器架構圖：

133048286.png

 

6、精簡開機自啟動服務

剛裝完操作系統可以只保留crond，network，syslog，sshd這四個服務。（Centos6.7為rsyslog）

1 [root@server ~]# for sun in `chkconfig --list|grep 3:on|awk '{print $1}'`;do chkconfig --level 3 $sun off;done
2 [root@server ~]# for sun in crond rsyslog sshd network;do chkconfig --level 3 $sun on;done
3 [root@server ~]# chkconfig --list|grep 3:on
4 crond           0:off   1:off   2:on    3:on    4:on    5:on    6:off
5 network         0:off   1:off   2:on    3:on    4:on    5:on    6:off
6 rsyslog         0:off   1:off   2:on    3:on    4:on    5:on    6:off
7 sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off

7、定時自動清理/var/spool/clientmqueue/目錄垃圾文件，放置inode節點被占滿

本優化點，在6.7上可以忽略不需要操作即可！

1 [root@server ~]# mkdir /server/scripts -p
2 [root@server ~]# vi /server/scripts/spool_clean.sh
3 #!/bin/sh
4 find/var/spool/clientmqueue/-typef -mtime +30|xargsrm-f

8、變更預設的ssh服務埠，禁止root用戶遠程連接

1 [root@server ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
2 [root@server ~]# vim /etc/ssh/sshd_config
3 Port 52113#ssh連接預設的埠
4 PermitRootLogin no   #root用戶黑客都知道，禁止它遠程登錄
5 PermitEmptyPasswords no #禁止空密碼登錄
6 UseDNS no            #不使用DNS
7 [root@server ~]# /etc/init.d/sshd reload    #從新載入配置
8 [root@server ~]# netstat -lnt     #查看埠信息
9 [root@server ~]# lsof -i tcp:52113

9、鎖定關鍵文件系統

  
1 [root@server ~]# chattr +i /etc/passwd
2 [root@server ~]# chattr +i /etc/inittab
3 [root@server ~]# chattr +i /etc/group
4 [root@server ~]# chattr +i /etc/shadow
5 [root@server ~]# chattr +i /etc/gshadow

使用chattr命令後，為了安全我們需要將其改名

 1 [root@server ~]# /bin/mv /usr/bin/chattr /usr/bin/任意名稱 

10、調整文件描述符大小

 1 [root@localhost ~]# ulimit –n #查看文件描述符大小

 1 1024  

 1 [root@localhost ~]# echo '* - nofile 65535' >> /etc/security/limits.conf 

配置完成後，重新登錄即可查看。

提示：也可以把ulimit -SHn 65535命令加入到/etc/rc.local，然後每次重啟生效

1 [root@server ~]# cat >>/etc/rc.local<<EOF
2 #open files
3 ulimit -HSn 65535
4 #stack size
5 ulimit -s 65535
6 EOF

擴展：文件描述符

文件描述符在形式上是一個非負整數。實際上，它是一個索引值，指向內核為每一個進程所維護的該進程打開文件的記錄表。當程式打開一個現有文件或者創建一個新文件時，內核向進程返回一個文件描述符。在程式設計中，一些涉及底層的程式編寫往往會圍繞著文件描述符展開。但是文件描述符這一概念往往只適用於Unix、Linux這樣的操作系統。

 

習慣上，標準輸入（standard input）的文件描述符是 0，標準輸出（standard output）是 1，標準錯誤（standard error）是 2。儘管這種習慣並非Unix內核的特性，但是因為一些 shell 和很多應用程式都使用這種習慣，因此，如果內核不遵循這種習慣的話，很多應用程式將不能使用。

11、調整字元集，使其支持中文

 1 sed-i 's#LANG="en_US.UTF-8"#LANG="zh_CN.GB18030"#'/etc/sysconfig/i18n 

 1 source/etc/sysconfig/i18n 

擴展：什麼是字元集？

簡單的說就是一套文字元號及其編碼。常用的字元集有：

GBK 定長雙位元組不是國際標準，支持系統不少

 

UTF-8 非定長 1-4位元組廣泛支持，MYSQL也使用UTF-8

12、去除系統及內核版本登錄前的屏幕顯示

 1 [root@server ~]# >/etc/redhat-release 

 1 [root@server ~]# >/etc/issue 

13、內核參數優化

說明：本優化適合apache，nginx，squid多種等web應用，特殊的業務也可能需要略作調整。

 1 [root@server ~]# vi /etc/sysctl.conf
 2 #by sun in 20131001
 3 net.ipv4.tcp_fin_timeout = 2
 4 net.ipv4.tcp_tw_reuse = 1
 5 net.ipv4.tcp_tw_recycle = 1
 6 net.ipv4.tcp_syncookies = 1
 7 net.ipv4.tcp_keepalive_time =600
 8 net.ipv4.ip_local_port_range = 4000    65000
 9 net.ipv4.tcp_max_syn_backlog = 16384
10 net.ipv4.tcp_max_tw_buckets = 36000
11 net.ipv4.route.gc_timeout = 100
12 net.ipv4.tcp_syn_retries = 1
13 net.ipv4.tcp_synack_retries = 1
14 net.core.somaxconn = 16384
15 net.core.netdev_max_backlog = 16384
16 net.ipv4.tcp_max_orphans = 16384
17 #一下參數是對iptables防火牆的優化，防火牆不開會有提示，可以忽略不理。
18 net.ipv4.ip_conntrack_max = 25000000
19 net.ipv4.netfilter.ip_conntrack_max = 25000000
20 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
21 net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
22 net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
23 net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120
24 [root@localhost ~]# sysctl –p    #使配置文件生效

提示：由於CentOS6.X系統中的模塊名不是ip_conntrack，而是nf_conntrack，所以在/etc/sysctl.conf優化時，需要把net.ipv4.netfilter.ip_conntrack_max 這種老的參數，改成net.netfilter.nf_conntrack_max這樣才可以。

即對防火牆的優化，在5.8上是

1 net.ipv4.ip_conntrack_max = 25000000
2 net.ipv4.netfilter.ip_conntrack_max = 25000000
3 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
4 net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
5 net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
6 net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120
 1 net.ipv4.tcp_syn_retries = 1
 2 net.ipv4.tcp_synack_retries = 1
 3 net.ipv4.tcp_keepalive_time = 600
 4 net.ipv4.tcp_keepalive_probes = 3
 5 net.ipv4.tcp_keepalive_intvl =15
 6 net.ipv4.tcp_retries2 = 5
 7 net.ipv4.tcp_fin_timeout = 2
 8 net.ipv4.tcp_max_tw_buckets = 36000
 9 net.ipv4.tcp_tw_recycle = 1
10 net.ipv4.tcp_tw_reuse = 1
11 net.ipv4.tcp_max_orphans = 32768
12 net.ipv4.tcp_syncookies = 1
13 net.ipv4.tcp_max_syn_backlog = 16384
14 net.ipv4.tcp_wmem = 8192 131072 16777216
15 net.ipv4.tcp_rmem = 32768 131072 16777216
16 net.ipv4.tcp_mem = 786432 1048576 1572864
17 net.ipv4.ip_local_port_range = 1024 65000
18 net.ipv4.ip_conntrack_max = 65536
19 net.ipv4.netfilter.ip_conntrack_max=65536
20 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=180
21 net.core.somaxconn = 16384
22 net.core.netdev_max_backlog = 16384

另外，在此優化過程中可能會有報錯：

1、5.8版本上

1 error: "net.ipv4.ip_conntrack_max"is an unknown key
2 error: "net.ipv4.netfilter.ip_conntrack_max"is an unknown key
3 error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established"is an unknown key
4 error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait"is an unknown key
5 error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait"is an unknown key
6 error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait"is an unknown key

這個錯誤可能是你的防火牆沒有開啟或者自動處理可載入的模塊ip_conntrack沒有自動載入，解決辦法有二，一是開啟防火牆，二是自動處理開載入的模塊ip_conntrack

 1 modprobe ip_conntrack

2 echo "modprobe ip_conntrack">> /etc/rc.local 

2、6.7版本上

1 error: "net.nf_conntrack_max"isan unknown key
2 error: "net.netfilter.nf_conntrack_max"isan unknown key
3 error: "net.netfilter.nf_conntrack_tcp_timeout_established"isan unknown key
4 error: "net.netfilter.nf_conntrack_tcp_timeout_time_wait"isan unknown key
5 error: "net.netfilter.nf_conntrack_tcp_timeout_close_wait"isan unknown key
6 error: "net.netfilter.nf_conntrack_tcp_timeout_fin_wait"isan unknown key

3、6.7版本上

1 error: "net.bridge.bridge-nf-call-ip6tables"isan unknown key
2 error: "net.bridge.bridge-nf-call-iptables"isan unknown key
3 error: "net.bridge.bridge-nf-call-arptables"isan unknown key

這個錯誤是由於自動處理可載入的模塊bridge沒有自動載入，解決辦法是自動處理開載入的模塊ip_conntrack

 1 modprobe bridge 

 1 echo "modprobe bridge">> /etc/rc.local 


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 【轉】連接MySQL資料庫(android,php,MySQL)
    管理MySQL資料庫最簡單和最便利的方式是PHP腳本。運行PHP腳本使用HTTP協議和android系統連接。我們以JSON格式編碼數據,因為Android和PHP都有現成的處理JSON函數。下麵示例代碼,根據給定的條件從資料庫讀取數據,轉換為JSON數據。通過HTTP協議傳給android，and...
  • iOS中json解析出現的null,nil,NSNumber的問題
    在iOS開發過程中經常需要與伺服器進行數據通訊，Json就是一種常用的高效簡潔的數據格式。問題現象但是幾個項目下來一直遇到一個坑爹的問題，程式在獲取某些數據之後莫名崩潰。其實很早就發現了原因：由於伺服器的資料庫中有些欄位為空，然後以Json形式返回給客戶端時就會出現這樣的數據：?1"somevalu...
  • Android--listView的divider分割線樣式和邊距
    1、建立一個drawable文件list_divider.xml 2、設置listView的divider的樣式//必須帶上,否則不顯示
  • 美圖秀秀-美化圖片之【特效】界面設計
    本文是特效界面設計，在美圖秀秀的特效模塊主要是實現圖片添加濾鏡效果，界面挺炫的。界麵包含黑邊和虛化按鈕，4種類型的濾鏡，每種類型又包含許多具體濾鏡效果，當我們點擊時候開始處理圖片1.載入圖片self.imageView = [[UIImageView alloc] initWithImage:s.....
  • UIView的交換實現,子視圖交替變換
    其中加了一些動畫2016-01-13其中主要的方法有:Demo下載地址,Demo中有介紹:https://github.com/lizhaojie001/UIview.git
  • Redis學習筆記2-使用 Redis 作為 LRU 緩存
    當 Redis 作為緩存使用時，當你添加新的數據時，有時候很方便使 Redis 自動回收老的數據。LRU 實際上是被唯一支持的數據移除方法。Redis 的 maxmemory 指令，用於限制記憶體使用到一個固定的容量，也包含深入探討 Redis 使用的 LRU 演算法，一個近似準確的 LRU。maxme...
  • MS SQL 兩種分頁
    ------ row number ---------------- row number ----------declare @pageSize int,@pageIndex intset @pageSize = 20;set @pageIndex = 2select * from (SELECT...
  • 關係型資料庫與NOSQL
    本文轉載自:http://www.cnblogs.com/chay1227/archive/2013/03/17/2964020.html(只作轉載, 不代表本站和博主同意文中觀點或證實文中信息)關係型資料庫 關係型資料庫把所有的數據都通過行和列的二元表現形式表示出來。關係型資料庫的優勢：1. 保....
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類