การรักษาความปลอดภัยและการชุบเมล็ด CentOS 7 ด้วย Sysctl

• บทนำ
• คำสั่ง
• การรักษาความปลอดภัยและการแข็งตัวของเคอร์เนล
• ข้อสรุป

บทนำ

Sysctlช่วยให้ผู้ใช้ปรับแต่งเคอร์เนลโดยไม่ต้องสร้างเคอร์เนลใหม่ นอกจากนี้ยังจะใช้การเปลี่ยนแปลงทันทีดังนั้นเซิร์ฟเวอร์จึงไม่จำเป็นต้องรีบูตเพื่อให้การเปลี่ยนแปลงมีผล บทช่วยสอนนี้มีการแนะนำสั้น ๆsysctlและสาธิตวิธีใช้เพื่อปรับแต่งส่วนเฉพาะของเคอร์เนล Linux

คำสั่ง

หากต้องการเริ่มใช้ sysctl ให้ตรวจสอบพารามิเตอร์และตัวอย่างที่แสดงด้านล่าง

พารามิเตอร์

-a : สิ่งนี้จะแสดงค่าทั้งหมดที่มีอยู่ในการกำหนดค่า sysctl

-A : สิ่งนี้จะแสดงค่าทั้งหมดที่มีอยู่ในการกำหนดค่า sysctl ในรูปแบบตาราง

-e : ตัวเลือกนี้จะไม่สนใจข้อผิดพลาดเกี่ยวกับคีย์ที่ไม่รู้จัก

-p : นี่ใช้เพื่อโหลดการกำหนดค่า sysctl เฉพาะโดยค่าเริ่มต้นมันจะใช้/etc/sysctl.conf

-n : ตัวเลือกนี้จะปิดการใช้งานการแสดงชื่อคีย์เมื่อพิมพ์ค่า

-w : ตัวเลือกนี้มีไว้สำหรับการเปลี่ยนค่า (หรือเพิ่ม) เพื่อ sysctl ตามความต้องการ

ตัวอย่าง

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

ดังนั้นก่อนอื่นเราจะตรวจสอบค่าเริ่มต้น หากคุณ/etc/sysctl.confว่างเปล่ามันจะแสดงปุ่มและค่าเริ่มต้นทั้งหมด ประการที่สองเรากำลังตรวจสอบสิ่งที่มีค่าของมีแล้วการตั้งค่าใหม่เพื่อfs.file-max 2097152สุดท้ายเรากำลังโหลด/etc/sysctl.confไฟล์กำหนดค่าใหม่

man sysctlหากคุณกำลังมองสำหรับความช่วยเหลือเพิ่มเติมคุณสามารถใช้

การรักษาความปลอดภัยและการแข็งตัวของเคอร์เนล

เพื่อทำการเปลี่ยนแปลงอย่างถาวรเราจะต้องเพิ่มค่าเหล่านี้ไปยังไฟล์การกำหนดค่า ใช้แฟ้มการกำหนดค่า CentOS /etc/sysctl.confให้โดยค่าเริ่มต้น

เปิดไฟล์ด้วยโปรแกรมแก้ไขที่คุณชื่นชอบ

โดยค่าเริ่มต้นคุณจะเห็นสิ่งที่คล้ายกับสิ่งนี้

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

มาปรับปรุงการจัดการหน่วยความจำระบบก่อน

เราจะลดจำนวนการแลกเปลี่ยนที่เราต้องทำลดขนาดของการจัดการไฟล์และแคช inode และ จำกัด การทิ้งขยะหลัก

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

ถัดไปให้ปรับประสิทธิภาพเครือข่ายให้เหมาะสมที่สุด

เรากำลังจะเปลี่ยนปริมาณการเชื่อมต่อขาเข้าและการเชื่อมต่อขาเข้าขาเข้าเพิ่มจำนวนบัฟเฟอร์หน่วยความจำสูงสุดและเพิ่มบัฟเฟอร์การส่ง / รับค่าเริ่มต้นและสูงสุด

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

สุดท้ายเราจะปรับปรุงความปลอดภัยเครือข่ายทั่วไป

เรากำลังจะเปิดใช้งานการป้องกันคุกกี้ TCP SYN, การป้องกันการปลอมแปลง IP, ละเว้นการร้องขอ ICMP, ละเว้นการร้องขอการออกอากาศและการบันทึกลงในแพ็คเก็ตที่ปลอมแปลง, แพ็คเก็ตที่เราต์ต้นทางและแพ็กเก็ตที่เปลี่ยนเส้นทาง นอกจากนั้นเราจะปิดใช้งานการกำหนดเส้นทางแหล่ง IP และการยอมรับการเปลี่ยนเส้นทาง ICMP

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

บันทึกและปิดไฟล์จากนั้นโหลดไฟล์โดยใช้sysctl -pคำสั่ง

ข้อสรุป

ในท้ายที่สุดไฟล์ของคุณควรมีลักษณะเช่นนี้

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0