Sichern und Härten des CentOS 7-Kernels mit Sysctl

• Einführung
• Befehle
• Sichern und Härten des Kernels
• Fazit

Einführung

SysctlErmöglicht dem Benutzer die Feinabstimmung des Kernels, ohne den Kernel neu erstellen zu müssen. Außerdem werden die Änderungen sofort übernommen, sodass der Server nicht neu gestartet werden muss, damit die Änderungen wirksam werden. Dieses Tutorial bietet eine kurze Einführung sysctlund zeigt, wie Sie damit bestimmte Teile des Linux-Kernels optimieren können.

Befehle

Überprüfen Sie die unten aufgeführten Parameter und Beispiele, um sysctl zu verwenden.

Parameter

-a : Hier werden alle Werte angezeigt, die derzeit in der sysctl-Konfiguration verfügbar sind.

-A : Hiermit werden alle derzeit in der sysctl-Konfiguration verfügbaren Werte in Tabellenform angezeigt.

-e : Diese Option ignoriert Fehler bei unbekannten Schlüsseln.

-p : Hiermit wird standardmäßig eine bestimmte sysctl-Konfiguration geladen/etc/sysctl.conf

-n : Diese Option deaktiviert die Anzeige der Schlüsselnamen beim Ausdrucken der Werte.

-w : Diese Option dient zum Ändern (oder Hinzufügen) von Werten zum System bei Bedarf.

Beispiele

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

Also überprüfen wir zuerst die Standardwerte. Wenn Ihr /etc/sysctl.confFeld leer ist, werden alle Standardschlüssel und -werte angezeigt. Zweitens überprüfen wir den Wert von fs.file-maxund setzen dann den neuen Wert auf 2097152. Schließlich laden wir die neue /etc/sysctl.confKonfigurationsdatei.

Wenn Sie zusätzliche Hilfe suchen, können Sie diese verwenden man sysctl.

Sichern und Härten des Kernels

Um die Änderungen dauerhaft zu machen, müssen wir diese Werte einer Konfigurationsdatei hinzufügen. Verwenden Sie die Konfigurationsdatei, die CentOS standardmäßig bereitstellt /etc/sysctl.conf.

Öffnen Sie die Datei mit Ihrem bevorzugten Editor.

Standardmäßig sollte etwas Ähnliches angezeigt werden.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

Lassen Sie uns zuerst die Systemspeicherverwaltung verbessern.

Wir werden den Umfang des Austauschs minimieren, die Größe der Dateihandles und des Inode-Cache erhöhen und die Core-Dumps einschränken.

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

Als Nächstes können Sie die netzwerkoptimierte Leistung optimieren.

Wir werden die Anzahl der eingehenden Verbindungen und den Rückstand eingehender Verbindungen ändern, die maximale Anzahl der Speicherpuffer erhöhen und die Standard- und maximalen Sende- / Empfangspuffer erhöhen.

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

Schließlich werden wir die allgemeine Netzwerksicherheit verbessern.

Wir werden den TCP-SYN-Cookie-Schutz, den IP-Spoofing-Schutz, das Ignorieren von ICMP-Anforderungen, das Ignorieren von Broadcast-Anforderungen und die Protokollierung bei gefälschten Paketen, gerouteten Quellpaketen und Umleitungspaketen aktivieren. Gleichzeitig werden wir das IP-Quell-Routing und die Akzeptanz der ICMP-Umleitung deaktivieren.

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

Speichern und schließen Sie die Datei und laden Sie sie dann mit dem sysctl -pBefehl.

Fazit

Am Ende sollte Ihre Datei ähnlich aussehen.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0