Sikring og hærdning af CentOS 7-kernen med Sysctl

Introduktion

Sysctllader brugeren finjustere kernen uden at skulle genopbygge kernen. Det vil også anvende ændringerne med det samme, således at serveren ikke skal genstartes for at ændringerne træder i kraft. Denne tutorial giver en kort introduktion til sysctlog demonstrerer, hvordan man bruger den til at tilpasse bestemte dele af Linux-kernen.

Kommandoer

For at begynde at bruge sysctl skal du gennemgå parametrene og eksemplerne nedenfor.

Parametre

-a : Dette vil vise alle de værdier, der aktuelt er tilgængelige i sysctl-konfigurationen.

-A : Dette vil vise alle de værdier, der aktuelt er tilgængelige i sysctl-konfigurationen i tabelform.

-e : Denne mulighed vil ignorere fejl om ukendte nøgler.

-p : Dette bruges til at indlæse en specifik sysctl-konfiguration, som standard vil den bruge/etc/sysctl.conf

-n : Denne indstilling vil deaktivere visning af nøglenavne, når værdierne udskrives.

-w : Denne mulighed er til at ændre (eller tilføje) værdier til sysctl on-demand.

Eksempler

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

Så først tjekker vi standardværdierne. Hvis din /etc/sysctl.confer tom, vil den vise alle standardnøgler og værdier. For det andet tjekker vi, hvad værdien af fs.file-maxer, og sætter derefter den nye værdi til 2097152. Til sidst indlæser vi den nye /etc/sysctl.confkonfigurationsfil.

Hvis du leder efter yderligere hjælp, kan du bruge man sysctl.

Sikring og hærdning af kernen

For at gøre ændringerne permanente, bliver vi nødt til at tilføje disse værdier til en konfigurationsfil. Brug konfigurationsfilen CentOS leverer som standard, /etc/sysctl.conf.

Åbn filen med din foretrukne editor.

Som standard bør du se noget, der ligner dette.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

Lad os først forbedre systemhukommelsesstyringen.

Vi vil minimere mængden af ​​swapping, vi skal udføre, øge størrelsen af ​​filhåndtag og inode-cache og begrænse kernedumps.

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

Lad os derefter justere den netværksoptimerede ydeevne.

Vi vil ændre mængden af ​​indgående forbindelser og indgående forbindelser backlog, øge den maksimale mængde hukommelsesbuffere og øge standard- og maksimale sende/modtage-buffere.

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

Endelig skal vi forbedre den generelle netværkssikkerhed.

Vi vil aktivere TCP SYN-cookiebeskyttelse, IP-spoofing-beskyttelse, ignorering af ICMP-anmodninger, ignorering af broadcast-anmodninger og logning til spoofede pakker, kilderutede pakker og omdirigeringspakker. Sammen med det vil vi deaktivere IP-kilderouting og ICMP-omdirigeringsaccept.

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

Gem og luk filen, og indlæs derefter filen ved hjælp af sysctl -pkommandoen.

Konklusion

I sidste ende skal din fil ligne dette.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0