Asegurando y endureciendo el núcleo de CentOS 7 con Sysctl

• Introducción
• Comandos
• Asegurando y endureciendo el núcleo
• Conclusión

Introducción

Sysctlpermite al usuario ajustar el núcleo sin tener que reconstruirlo. También aplicará los cambios de inmediato, por lo que el servidor no tendrá que reiniciarse para que los cambios surtan efecto. Este tutorial proporciona una breve introducción sysctly demuestra cómo usarlo para modificar partes específicas del kernel de Linux.

Comandos

Para comenzar a usar sysctl, revise los parámetros y ejemplos que se enumeran a continuación.

Parámetros

-a : Esto mostrará todos los valores disponibles actualmente en la configuración sysctl.

-A : Esto mostrará todos los valores disponibles actualmente en la configuración de sysctl en forma de tabla.

-e : esta opción ignorará errores sobre claves desconocidas.

-p : Esto se usa para cargar una configuración sysctl específica, por defecto usará/etc/sysctl.conf

-n : esta opción deshabilitará la visualización de los nombres de las teclas al imprimir los valores.

-w : esta opción es para cambiar (o agregar) valores al sysctl a pedido.

Ejemplos

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

Entonces, primero estamos verificando los valores predeterminados. Si /etc/sysctl.confestá vacío, mostrará todas las claves y valores predeterminados. En segundo lugar, verificamos cuál es el valor de fs.file-maxy luego establecemos el nuevo valor en 2097152. Finalmente, estamos cargando el nuevo /etc/sysctl.confarchivo de configuración.

Si está buscando ayuda adicional, puede usarla man sysctl.

Asegurando y endureciendo el núcleo

Para que los cambios sean permanentes, tendremos que agregar estos valores a un archivo de configuración. Utilice el archivo de configuración de CentOS ofrece por defecto, /etc/sysctl.conf.

Abre el archivo con tu editor favorito.

Por defecto, debería ver algo similar a esto.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

Mejoremos primero la gestión de la memoria del sistema.

Vamos a minimizar la cantidad de intercambio que necesitamos hacer, aumentar el tamaño de los identificadores de archivos y el caché de inodo, y restringir los volcados de núcleo.

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

A continuación, ajustemos el rendimiento optimizado de la red.

Vamos a cambiar la cantidad de conexiones entrantes y la acumulación de conexiones entrantes, aumentar la cantidad máxima de memorias intermedias de memoria y aumentar las memorias intermedias máximas y predeterminadas de envío / recepción.

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

Finalmente, vamos a mejorar la seguridad general de la red.

Vamos a habilitar la protección de cookies TCP SYN, la protección de falsificación de IP, ignorar las solicitudes de ICMP, ignorar las solicitudes de difusión e iniciar sesión en paquetes falsificados, paquetes enrutados de origen y paquetes de redireccionamiento. Junto con eso, vamos a deshabilitar el enrutamiento de origen IP y la aceptación de redireccionamiento ICMP.

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

Guarde y cierre el archivo y luego cargue el archivo con el sysctl -pcomando

Conclusión

Al final, su archivo debería ser similar a esto.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0