基本原则：
- 最小的权限+最小的服务=最大的安全
- 操作之前先备份；
- 为避免配置错误无法登录主机，请始终保持有一个终端已用root登录并不退出，在另一个终端中做配置修改。这样即使改错，也不至于因系统无法登录导致永远无法登录或恢复配置。
查看系统32位还是64位
[root@localhost etc]# uname -r
2.6.32-504.el6.x86_64
[root@localhost etc]# uname -a
Linux localhost.localdomain 2.6.32-504.el6.x86_64 #1 SMP Wed Oct 15 04:27:16 UTC 2014 x86_64 x86_64 x86_64 GNU/Linux
[root@localhost etc]# uname -m
x86_64
[root@localhost etc]# cat /etc/rehat-release
cat: /etc/rehat-release: 没有那个文件或目录
[root@localhost etc]# cat /etc/redhat-release
CentOS release 6.5 (Final)
配置网卡
使用setup命令或编辑/etc/sysconfig/network-scripts/ifcfg-eth0内容
网卡配置完成后执行
ifup eth0 启动网卡
ifconfig eth0 查看获取的ip
ping baidu.com 检测网卡是否畅通
尽量不用/etc/init.d/network restart重启网卡，这会影响物理机上的所有网卡
[root@localhost ~]# ifdown eth0 && ifup eth0 快速重启
网卡配置文件
[root@localhost ~]# cat /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0 # 网卡名， eth1第二块网卡名，以此类推
TYPE=Ethernet # 上网类型，以太网
UUID=8d6bdf86-1fda-4334-99bb-74b634018e9d # 唯一标志码
ONBOOT=yes # 开机自启动
NM_CONTROLLED=yes # 是否通过NetworkManager管理网卡设备
BOOTPROTO=dhcp # 启动协议，none|bootp|dhcp三种选项
HWADDR=00:0C:29:50:98:80 # 网卡mac地址
DEFROUTE=yes
PEERDNS=yes
PEERROUTES=yes
IPV4_FAILURE_FATAL=yes
IPV6INIT=no # 是否支持IP6
NAME="System eth0"
LAST_CONNECT=1486401226
IPADDR=10.0.1.16 # 固定IP
PREFIX=23
GATEWAY=10.0.0.1
NETMASK=255.255.255.0 #子网掩码
DNS1=114.114.114.114 # 主DNS，默认会覆盖/etc/resolv.conf的配置
更新系统，打补丁
[root@localhost ~]# cp/etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup
[root@localhost ~]# <span class="crayon-v">wget</span> <span class="crayon-o">-</span><span class="crayon-v">O</span> <span class="crayon-o">/</span><span class="crayon-v">etc</span><span class="crayon-o">/</span><span class="crayon-v">yum</span><span class="crayon-e">.repos</span><span class="crayon-e">.d</span><span class="crayon-o">/</span><span class="crayon-v">CentOS</span><span class="crayon-o">-</span><span class="crayon-v">Base</span><span class="crayon-e">.repo</span> <span class="crayon-v">http</span><span class="crayon-o">:</span><span class="crayon-o">/</span><span class="crayon-o">/</span><span class="crayon-v">mirrors</span><span class="crayon-sy">.</span><span class="crayon-cn">163.com</span><span class="crayon-o">/</span><span class="crayon-e">.help</span><span class="crayon-o">/</span><span class="crayon-v">CentOS6</span><span class="crayon-o">-</span><span class="crayon-v">Base</span><span class="crayon-o">-</span><span class="crayon-cn">163.repo</span>
[root@localhost ~]# yum clean all
[root@localhost ~]# yum makecache
[root@localhost ~]# yum update -y # 更新系统，打补丁
安装额外的工具软件包
[root@localhost ~]# yum install tree telnet dos2unix sysstat lrzsz nc nmap -y
sysstat包含了iostat(cpu使用率和硬盘吞吐率)、mpstat(单个或多个)处理器相关的数据、sor(收集报告并存储系统活跃信息)
yum grouplist 查看所有包名称
yum groupinstall "Development Tools" 指定包组名安装，注意需要双引号
连接不上服务排查
1、检查物理链路是否有问题（客户端执行）
ping 10.0.0.7 # 排查线路问题
windows：tracert -d 10.0.0.7 # 检查线路是否畅通 -d 不进行反向解析
linux：traceroute 10.0.0.7 -n
2、服务是否开启端口（客户端执行）
telnet 10.0.0.7 22
nmap 10.0.0.7 -p 22 （linux环境，需要安装）
3、是否防火墙阻挡（服务端执行）
/etc/init.d/iptables status
例如：检查ssh服务是否开启
[root@localhost ~]# ps -ef | grep sshd | grep -v grep
root 1225 1 0 15:47 ? 00:00:00 sshd: xpp [priv]
xpp 1228 1225 0 15:47 ? 00:00:10 sshd: xpp@pts/0
root 2424 1 0 17:31 ? 00:00:00 /usr/sbin/sshd
[root@localhost ~]# netstat -lntup | grep sshd
tcp 0 0 0.0.0.0:52113 0.0.0.0:* LISTEN 2424/sshd
tcp 0 0 :::52113 :::* LISTEN 2424/sshd
[root@localhost ~]#
添加普通用户账号
[root@localhost ~]# useradd xpp
[root@localhost ~]# passwd xpp
Changing password for user xpp.
New password:
BAD PASSWORD: it is based on a dictionary word
BAD PASSWORD: is too simple
Retype new password:
passwd: all authentication tokens updated successfully.
注释掉系统不需要的用户和用户组
[root@localhost ~]# cp /etc/passwd /etc/passwdbak #修改之前先备份
[root@localhost ~]# vi /etc/passwd #编辑用户，在前面加上#注释掉此行
#adm:x:3:4:adm:/var/adm:/sbin/nologin
#lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
#sync:x:5:0:sync:/sbin:/bin/sync
#shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
#halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
#uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
#operator:x:11:0:operator:/root:/sbin/nologin
#games:x:12:100:games:/usr/games:/sbin/nologin
#gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
#ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
[root@localhost ~]# cp /etc/group /etc/groupbak #修改之前先备份
[root@localhost ~]# vi /etc/group #编辑用户组，在前面加上#注释掉此行
#adm:x:4:root,adm,daemon
#lp:x:7:daemon,lp
#uucp:x:14:uucp
#games:x:20:
#dip:x:40:
关闭系统不需要的服务
方法1：
执行ntsysv命令
方法2：
执行setuo命令->system service,然后在弹出的窗口中进行设置
[root@localhost ~]# chkconfig | grep 3:on #检查开机自启动的服务
[root@localhost ~]# for oldboy in `chkconfig --list|grep "3:on"|awk '{print $1}'|grep -vE "crond|network|sshd|rsyslog|sysstat"`;do chkconfig $oldboy off;done
只保留五个服务
crond 0:off 1:off 2:on 3:on 4:on 5:on 6:off
network 0:off 1:off 2:on 3:on 4:on 5:on 6:off
rsyslog 0:off 1:off 2:on 3:on 4:on 5:on 6:off
sshd 0:off 1:off 2:on 3:on 4:on 5:on 6:off
sysstat 0:off 1:on 2:on 3:on 4:on 5:on 6:off
关闭seLinux及iptables(在工作场景，如果有外部IP一般要打开)
[root@localhost ~]# sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config #关闭selinx
[root@localhost ~]# /etc/init.d/iptables stop #关闭防火墙
iptables: Setting chains to policy ACCEPT: filter [ OK ]
iptables: Flushing firewall rules: [ OK ]
iptables: Unloading modules: [ OK ]
[root@localhost ~]#
[root@localhost ~]#
[root@localhost ~]# /etc/init.d/iptables stop #重复执行确认已关闭
[root@localhost ~]# chkconfig iptables off #关闭开机自启动命令，前面已经关闭这里无需执行
[root@localhost ~]# chkconfig --list|grep ipt
iptables 0:off 1:off 2:off 3:off 4:off 5:off 6:off
跟改SSH服务端远程登录配置
echo "#-----------------sshConfig修改ssh默认登录端口,禁止root登录----------#"
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.`date +"%F%H%M%S"`
sed -i 's%#Port 22%Port 52113%' /etc/ssh/sshd_config #修改端口
sed -i 's%#PermitRootLogin yes%PermitRootLogin no%' /etc/ssh/sshd_config #是否允许密码为空的用户远程登录
sed -i 's%#UseDNS yes%UseDNS no%' /etc/ssh/sshd_config #指定sshd是否应该对远程主机名进行反向解析
sed -i 's%GSSAPIAuthentication yes%GSSAPIAuthentication no%' /etc/ssh/sshd_config #解决linux之间使用ssh远程连接慢的问题
egrep "UseDNS|52113|RootLogin|EmptyPass|GSSAPIAuthentication" /etc/ssh/sshd_config
/etc/init.d/sshd reload
添加密钥
[xpp@localhost ~]$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/xpp/.ssh/id_rsa):
Created directory '/home/xpp/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/xpp/.ssh/id_rsa.
Your public key has been saved in /home/xpp/.ssh/id_rsa.pub.
The key fingerprint is:
09:ee:a6:b7:c7:bc:20:20:46:e4:54:d0:c3:50:e6:46 [email protected]
The key's randomart image is:
+--[ RSA 2048]----+
| =BE |
|+ ++ |
| o o. . |
|. . . . . |
|... . S |
|.. . . |
| . +o |
| +..+ |
| ...o.. |
+-----------------+
具体参考：http://www.xuepanpan.com/blog/299
根据自己服务器给普通账号设置sudo
具体参考: http://www.xuepanpan.com/blog/299
删除系统登录欢迎信息
删除/etc/issue、/etc/issue.net、/etc/redhat-release和/etc/motd文件内容
[root@localhost ~]# echo /dev/null >/etc/issue
[root@localhost ~]# echo /dev/null >/etc/issue.net
[root@localhost ~]# echo /dev/null >/etc/redhat-release
[root@localhost ~]# echo /dev/null >/etc/motd
禁止 Control-Alt-Delete 键盘关闭命令
[root@localhost ~]# vim /etc/init/control-alt-delete.conf
找到如下内容：exec /sbin/shutdown -r now “Control-Alt-Delete pressed”在之前加上“ #”，注释掉即可
设置Shell历史命令记录功能
[root@localhost ~]# vim /etc/bashrc
加入下面四行内容让history命令自动记录所有shell命令的执行时间
HISTFILESIZE=4000
HISTSIZE=4000
HISTTIMEFORMAT='%F %T'
export HISTTIMEFORMAT
设置tcp_wrappers 防火墙只允许固定IP登录
查看系统是否安装了 Tcp_Wrappers
[root@localhost ~]# rpm -q tcp_wrappers
tcp_wrappers-7.6-57.el6.x86_64
[root@localhost xpp]# rpm -qa | grep tcp
tcp_wrappers-libs-7.6-57.el6.x86_64
tcpdump-4.0.0-3.20090921gitdf3cb4.2.el6.x86_64
tcp_wrappers-7.6-57.el6.x86_64
[root@localhost ~]# vim /etc/hosts.allow
添加内容：
sshd:172.16.1.118
[root@localhost ~]# vim /etc/hosts.allow
添加内容：
sshd:ALL
linux中文显示设置
[root@localhost etc]# cat /etc/sysconfig/i18n
LANG="en_US.UTF-8"
SYSFONT="latarcyrheb-sun16"
[root@localhost etc]# cp /etc/sysconfig/i18n /etc/sysconfig/i18n.ori
[root@localhost etc]# echo 'LANG="zh_CN.UTF-8"' >/etc/sysconfig/i18n
[root@localhost etc]# source /etc/sysconfig/i18n #使上文修改生效
[root@localhost etc]# echo $LANG
zh_CN.UTF-8
设置Linux服务器时间同步
[root@localhost ~]# echo "#times sync by lee at $(date +%F)" >>/var/spool/cron/root
[root@localhost ~]# echo "*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2>&1" >> /var/spool/cron/root
[root@localhost ~]# crontab -l
#times sync by lee at 2017-12-28
*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2>&1
调整Linux文件描述符数量
TBD
Linux内核参数优化
TBD
定时清理邮件服务临时目录垃圾文件
TBD
锁定关键文件，防止篡改
TBD
禁止系统被Ping
TBD
升级具有典型漏洞的软件版本
TBD
基础优化与安全
- 不用root登录，使用普通用户，通过sudo授权
- 更改默认ssh端口，禁止root远程登录，甚至修改ssh只监听内网IP
- 定时自动更新系统时间
- 更新yum源
- 关闭SELinux和iptables
- 调整文件描述符数量。进程及文件的打开都会消耗文件描述符数量
- 定时自动清零邮件临时目录，防止磁盘inode数量被小文件占满
- 精简开机任务（如只保留crond、sshd、network、rsyslog、systat）
- linux内核优化/etc/sysctl.conf，执行sysctl -p生效
- 更改系统字符集LANG=en_us.UTF-8或LANG=zh_CN.UTF-8
- 锁定系统关键文件，如/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow、/etc/inittab，处理以上内容吧chattr、lsatr改名为oldboy并转移，这样就安全多了。
- 清除系统版本信息，清空或修改/etc/issue、/etc/issue.net，去除登录后的系统信息显示
- 清除系统多余的虚拟用户账号
